CN104281808B - 一种通用的Android恶意行为检测方法 - Google Patents

Abstract

本发明公开了一种通用的Android恶意行为检测方法。本方法为：1)在手机上设置一守护进程，并在该守护进程与内核Binder驱动之间建立通信连接；2)在该手机上安装并运行多个第三方应用程序，手机内核驱动将截获的每一通信消息发送给该守护进程；3)该守护进程根据通信消息生成日志文件，记录接收的通信消息；4)恶意行为检测平台将所述日志文件导入数据库，查找数据库中包含目标隐私数据的记录，对于查找得到的记录，进行恶意行为检测：如果通信一方不具有访问权限，或者存在A‑>S,S‑>B且发生时间间隔小于设定阈值，则存在恶意行为。本发明收集的信息全面、普适、可重用，可做多种面向具体安全需求的安全分析方法设计。

Description

一种通用的Android恶意行为检测方法

技术领域

本发明属于移动终端安全领域，主要涉及Android恶意行为检测分析，更确切的是涉及一种基于对Android通信机制Binder消息流的采集和处理，检测和分析Android应用恶意行为的通用方法。

背景技术

移动互联网时代的来临，使得大量的智能移动终端涌入市场。根据Gartner的最新报告显示，预计在2014年度传统个人PC、平板电脑以及智能手机的出货量将达到24亿台。在24亿台中，智能手机和平板电脑占据88％的份额，而这其中Android系统设备又占据绝大多数。Android是Google和开放手机联盟创建的开放的移动平台，其开放性使得开发人员可以很方便的进行各种系统和应用开发，从而催生了大量的第三方应用，但Android市场上的应用程序管理混乱，导致Android系统上的恶意应用频发。智能手机上存储了大量的用户隐私信息，包括通讯录、短信、通话记录、网银密码以及论坛账号等，这些信息的泄露都会给用户造成巨大的损失。自从2004年第一个手机恶意程序开始，手机上(尤其是Android平台)的恶意应用程序就迅猛发展，因此提出有效的方法对恶意应用进行检测分析是亟待解决的问题。

目前对恶意行为的检测主要有静态和动态两种方法。静态方法主要使用反汇编反编译技术对应用的源码进行控制流或数据流的分析。Enck等人实现了Dalvik字节码反汇编工具ded，将字节码转换为源码，通过现有的Java源码分析工具，检测分析应用的恶意行为。动态方法是在运行中收集应用程序的行为信息，可以通过行为追踪的方式，动态捕获程序执行的操作，分析程序的行为。TaintDroid，作为一种动态污点分析工具，通过对敏感对象打标签实现实时监控与分析，检测是否有恶意应用向外发送敏感数据，以及辅助对程序行为的分析。AppInspector采用动态分析方法，为程序自动生成输入并记录程序运行过程中的日志，通过分析日志来检测应用中是否有泄露隐私的行为。

上述的安全分析方法都是针对某类具体安全需求而设计的，如TaintDroid和AppInspector的目的都是隐私数据保护，虽然具有目的性强，信息量相对较小的优点，但收集的信息不具有通用性，新安全需求的出现会导致信息的重新收集或安全分析方法的完全重新设计。一种通用的分析方法是指收集的信息全面且通用，分析方法依据具体的安全需求，利用收集的通用信息完成。在现有的移动终端领域，还不存在一种通用的基于信息流的恶意行为动态检测方法。

发明内容

本发明致力于构建一种基于Binder通信消息流的Android恶意行为检测方法，以Android底层通信机制Binder为切入点，全面收集应用之间、应用与操作系统之间的交互信息，收集的Binder日志信息导入数据库中，这样面向具体安全需求的分析就转变为对数据库的查询、修改等操作，最终分析结果通过web页面展示出来。

所述Binder通信是Android系统上最主要的一种通信方式，Android上层的通信方式如Intent以及匿名共享内存等，对应到底层都通过Binder方式实现。在实际的实现中，Binder是作为一个特殊的字符型设备而存在的，其实现遵循Linux设备驱动模型。

本发明的恶意行为检测分析方法主要涉及以下三个环节：

(1)采集通信信息并生成日志文件。用户空间设置守护进程，守护进程负责把内核Binder驱动传过来的Binder日志信息，写入到日志文件中。考虑到Binder通信日志的数量级很大，实现了日志文件的自动转储功能。

(2)处理并分析日志文件。把日志文件导入数据库，对采集到的Binder通信信息进行分析，面向具体安全需求的分析就转变为对数据库的查询、修改等操作。

(3)基本信息维护及分析结果展示。为用户提供可视化、可编辑的前台页面显示，对后台变化的数据进行动态显示，分析已有的Binder通信信息，可以绘出手机的状态图，状态图包含手机中的进程信息，进程间的通信关系。

在上述采集信息并生成日志文件的环节中，守护进程设置在Android的应用程序框架层，通过信号量机制与内核层的Binder驱动通信，Binder驱动把截获的Binder通信消息传给守护进程，守护进程根据其接收到的消息字段，生成日志文件。考虑到Binder通信日志的数量级很大，过大的文件不适合分析，并且会占用过多的手机存储，因此实现了文件的自动转储功能。

所述Binder通信消息包含的字段为：发送方应用的进程号、进程名、应用名、应用描述、接收方进程的进程号、进程名、应用名、应用描述、通信的数据包大小、数据包内容(以二进制形式存储)等。

所述守护进程与内核Binder驱动通信的方法为，内核层的Binder驱动和守护进程都维护了一个结构体数组，数组大小为32，每个结构体代表一条Binder通信消息，结构体中的成员变量即为Binder通信消息包含的字段。Binder驱动每截获一条Binder通信消息，就把该条消息赋值到数组的一个结构体中，当数组的32个结构体都被重新赋值后，Binder驱动就通过信号量机制通知守护进程。守护进程利用设备控制接口函数ioctl访问Binder驱动，由Binder驱动把其维护的结构体数组的内容原样拷贝到守护进程维护的结构体数组中，数组中的信息然后被守护进程写入到日志文件中。Binder驱动维护的结构体数组是可以重复赋值的，当旧的值被拷贝到守护进程中后，Binder驱动会将新截获的Binder通信信息写入，覆盖之前的值。

所述日志文件的自动转储功能为日志文件达到一定大小时，将文件转存到PC上并删除，然后继续生成新的日志文件。

在上述处理并分析日志文件的环节中，由于生成的日志文件是二进制形式，不易阅读且操作复杂，因此把日志文件导入数据库，可直观看到通信双方的信息以及通信的数据包等内容。此时对Binder日志文件的分析就转变为对数据库的查询、修改等操作。

所述日志文件导入数据库为在数据库中新建一个表，表中字段与日志文件中的字段一一对应，对日志文件中的记录逐字段分析，写到数据库相应的字段中。

所述对Binder日志文件的分析为面向具体安全需求的分析，比如查找日志文件中是否包含某类隐私数据，就转变为对数据库中的字段进行匹配查找操作，在找到包含目标隐私数据的内容同时，能直接得到通信双方的信息，根据通信双方的信息再进行后续分析。具体分析有如下几种情况：

1)通信双方都是Android自带的系统应用，则该条通信路径为可信路径。

2)通信双方中的一方为第三方应用，则查看该第三方应用是否有相应的权限(应用安装时用户授予的权限)访问目标隐私数据，如果有，则该条路径为可信，否则说明存在恶意行为。

3)通信双方都是第三方应用，则查看两者是否都有相应的权限访问目标隐私数据，如果两者都有，则该条路径为可信，否则说明存在恶意行为。

上述是发现单个应用的恶意行为，根据所得到的查找结果，也可以分析应用间的恶意行为。如果找到的包含目标隐私数据的通信路径有如下两条：A->S,S->B。其中S为系统应用，A与B是第三方应用，每一条通信路径的信息在存入到Binder驱动维护的结构体数组时，会生成一个ID,ID是递增的。如果上面的两条通信路径的ID差值小于等于某个阈值(该阈值根据实际情况设定，暂定为5)，则说明，包含相同目标隐私数据的这两条路径的发生时间很接近，即A与B之间存在恶意行为。

在上述基本信息维护及分析结果展示的环节中，用户可以通过前台页面查看静态信息，项目信息，以及显示手机的状态。

所述静态信息包括应用程序信息和手机信息，应用程序信息包含应用程序名、版本号、提供商、软件功能描述；手机信息包含IMEI、手机型号、手机号码、Android版本号。

所述项目信息包括项目类型、项目名称、项目创建日期、创建人。项目类型为该项目的分析目标，目标可定义为分析隐私数据泄露。一个项目中可以包含多个手机，用户可以向项目中增加手机。

所述显示手机的状态为对项目中包含的每个手机的状态进行显示，手机状态图用来动态显示数据库中的手机状态表。该表记录了手机中的历史及当前进程，以及进程之间的通信关系，手机状态图以有向图的方式展示该表。

与现有技术相比，本发明的积极效果为：

传统信息流分析方法通常基于具体安全问题进行应用运行信息收集，收集到的信息不具有通用性，新的安全需求的出现会要求信息的重新收集。本发明的目的是提供一个通用的信息收集分析方法，在信息收集阶段不考虑具体的安全需求，尽量做到信息收集的全面、普适、可重用。基于收集的信息再做面向具体安全需求的研究方法设计，本发明以检测隐私数据的泄露为具体安全需求，设计的安全分析方法既可以发现单个应用的恶意行为，也可以通过通信路径的关联，发掘应用间的恶意行为。另外，也可以基于其他的安全需求设计分析方法，该方法也是对前面已经收集到的通信信息进行分析，从而发现应用的恶意行为。这正是通用的信息收集方法的意义所在，当安全需求发生变化时，信息不需要重新收集，只需要重新设计基于已经收集的信息进行分析的方法。为了实现更直观的分析结果展示，本发明还提供了Web页面展示部分，为用户提供可视化、可编辑的前台页面展示，并对后台变化的数据做动态展示，手机状态图以图形化的形式展示了手机实时的安全状态。

附图说明

图1为本发明方法的系统架构图。

图2为手机状态图。

具体实施方式

下面通过实施例结合附图对本发明作进一步描述。

基于Binder消息流的Android恶意行为检测分析方法，包括信息采集模块，日志分析模块和展示模块。其中信息采集模块收集内核Binder驱动传来的通信消息，并写入日志文件中；日志分析模块借助数据库，对已生成的日志文件作分析，生成手机状态表；展示模块为用户提供可视化的图形界面，生成手机状态图。参见图1。

基于Binder消息流的Android恶意行为检测分析方法用下述实施例来进一步说明。

实施例1

本实例描述用户获取Binder通信日志文件，将日志文件导入数据库，基于具体的安全需求对数据库中的条目做分析，检测是否有恶意行为，并把恶意行为通过状态图在前端页面展示出来。

首先是生成Binder通信日志文件。生成并转储日志文件的过程是由系统完成的，用户只需要完成下面两件事情：

1)在PC上运行一个客户端程序，该程序通过socket连接手机，并指定日志文件在PC上的存放路径，命令格式举例如下

./client 193.168.1.151 /home/zqh/google-nexus/client/binderlog。

2)安装并运行大量第三方应用，如从豌豆荚下载安装的100个应用。此时，在指定存放路径就会生成一个个大小固定的日志文件。

随后，把生成的日志文件导入到名为binderLog的数据库表中，现截取一部分binderLog的记录如下表所示：

这个表里，主要包含三个第三方应用，分别是天气预报(com.zqh.weather)，通讯录(com.zqh.contacts)，通讯录provider(包名com.zqh.contactsprovider)，其中通讯录provider以contentprovider接口的形式向其他应用提供操作通讯录数据库的方法，通讯录应用提供联系人信息的查看、增加、删除、修改等操作，天气预报应用提供全国各大城市的天气情况，并通过访问通讯录应用间接获得联系人信息。表中Type字段代表通信的类型，0代表发送Binder通信请求，2代表应答，0和2是配对的一组消息。From_id和From_name分布代表发送方的进程号和进程名，To_id和To_name代表接收方的进程号和进程名。Data_size是通信内容的大小，Data是通信内容(由于Data是二进制形式表示的，所以此处无法用文本表示)。

binderLog记录中的日志条目很庞大，运行十几个应用就会有上万条的记录，基于这些记录可以做面向具体安全需求的分析，如追踪隐私数据的泄露，即在通信内容中查找隐私数据字符串。下面以追踪隐私数据的泄露为例，对数据库中的日志记录分析。

假设通讯录中有如下两个联系人信息：

Tom 18223459876 tom@163.com

Lily 13587652389 lily@126.com

现在选取字符串Tom和Lily，在数据库的Binder通信内容中查找包含这两个字符串的通信日志条目，把查找到的条目放到名为phoneState的表中。phoneState即为手机的状态表，存放所有进程之间的通信关系，有问题的条目直接放到表中，没有问题的记录做去重处理后再放入，去重处理使phoneState表中条目的数量级有了大幅度减小。

为了提供更好的展示效果，利用前端绘图技术在web页面上把phoneState表的内容转换成状态图。状态图以有向图的形式记录了手机中的进程以及进程之间的关系，状态图的节点是手机上的进程，节点之间的连线代表进程之间的通信关系，如果进程之间的通信是合法的，则边为实线，否则边为虚线。上面追踪联系人信息泄露的例子，所绘出的状态图如图2所示。

由图2虚线的箭头可以看出，contacts经由系统进程system_server，将联系人信息传给cityweather。通过查看contacts和cityweather的权限列表可知，contacts应用具有访问联系人信息的权限，但cityweather不具备该权限，所以虚线的路径代表了应用间的恶意行为。

以上通过简单的说明描述了本发明提供的基于Binder消息流的Android恶意行为检测分析方法，本领域的技术人员应该理解，在不超出本发明实质和范围的情况下，可以进行修改。

Claims (5)

1.一种通用的Android恶意行为检测方法，其步骤为：

1)在Android手机上设置一守护进程，并在该守护进程与内核Binder驱动之间建立通信连接；

2)在该手机上安装并运行多个第三方应用程序，手机内核Binder驱动将截获的每一通信消息发送给该守护进程；

3)该守护进程根据手机内核Binder驱动传过来的通信消息生成日志文件，记录接收的通信消息；

4)Android恶意行为检测平台将所述日志文件导入数据库，查找数据库中包含目标隐私数据的记录，对于查找得到的记录，进行恶意行为检测：

a)如果该条记录通信双方中的一方为第三方应用，则查看该第三方应用是否有相应的权限访问目标隐私数据，如果有，则该条记录通信双方对应的通信路径为可信，否则存在恶意行为；

b)如果通信双方都是第三方应用，则查看两者是否都有相应的权限访问目标隐私数据，如果两者都有，则该条记录通信双方对应的通信路径为可信，否则说明存在恶意行为；

c)如果找到的包含目标隐私数据的通信路径有如下两条：A->S,S->B；其中S为系统应用，A与B是第三方应用，如果两条路径的发生时间间隔小于设定阈值，则第三方应用A与B之间存在恶意行为。

2.如权利要求1所述的方法，其特征在于客户端对所述日志文件进行自动转存，即当日志文件达到设定大小时，所述客户端将其转存到指定路径并删掉旧的日志文件，由守护进程重新生成新的日志文件；所述Android恶意行为检测平台从该指定路径读取日志文件。

3.如权利要求1或2所述的方法，其特征在于所述通信消息包含的字段为：发送方应用的进程号、进程名、应用名和应用描述，接收方进程的进程号、进程名、应用名、应用描述、通信的数据包大小和数据包内容。

4.如权利要求1或2所述的方法，其特征在于该守护进程与手机内核Binder驱动之间通信的方法为：在该内核Binder驱动和该守护进程中分别维护一个结构体数组，其中每个结构体存储一条通信消息，结构体中的成员变量即为通信消息包含的字段；内核Binder每截获一条通信消息，则将其赋值到内核Binder所维护的结构体数组的一个结构体中，当结构体数组中的所有结构体都被重新赋值后，内核Binder通过信号量机制通知该守护进程；该守护进程访问内核Binder，由内核Binder将其维护的结构体数组的内容拷贝到该守护进程维护的结构体数组中。

5.如权利要求1所述的方法，其特征在于所述Android恶意行为检测平台根据检测结果生成手机的状态图进行展现：状态图以有向图的形式记录了手机中的进程以及进程之间的关系，状态图的节点是手机上的进程，节点之间的连线代表进程之间的通信关系，如果进程之间的通信是合法的，则边为实线，否则边为虚线。