CN104751051A - 恶意广告的识别方法及装置、移动终端 - Google Patents

Abstract

本发明提供了一种恶意广告的识别方法及装置、移动终端，属于移动安全领域。其中，该恶意广告的识别方法包括：获取通知栏的弹出广告的信息，所述信息至少包括有弹出广告的栈名和广告内容；确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中；在所述弹出广告的栈名不在预设的黑栈名列表的情况下，将所述弹出广告的广告内容与已知恶意广告的内容进行匹配；在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告。通过本发明的技术方案，能够准确地识别出通知栏弹出的恶意广告。

Description

恶意广告的识别方法及装置、移动终端

技术领域

本发明涉及移动安全领域，特别是指一种恶意广告的识别方法及装置、移动终端。

背景技术

随着Android系统以及智能终端的不断普及，各种Android病毒程序也日渐兴起，恶意广告在目前Android平台恶意软件行为中占比较大的一个部分，已经成为Android智能终端安全的首要威胁。

恶意广告厂商通过插入若干恶意广告SDK（Software Development Kit,软件开发工具包）或者恶意代码的apk诱导用户下载使用，以此获取非法收益。通知栏广告是新的广告方式，其通过Android系统等开放式操作系统公开的通知栏消息接口，向智能终端发送通知栏消息。由于Android智能终端的设计缺陷，如果发送通知栏消息的软件不主动向用户提示发送者的身份，那么终端使用者是不知道哪款软件发送的通知栏广告，因此很多恶意的软件就频繁的发送这些消息，骚扰用户，强制用户查看广告，诱导用户下载广告推送的软件。

恶意广告的危害可以归纳为：影响智能终端的操作体验、消耗流量和窃取隐私，如今恶意广告的变种异常活跃，几乎让人防不胜防，对此类广告的识别是移动安全很重要的一个部分。目前对恶意广告的识别方法之一就是将其反编译成明文代码，然后通过提取代码特征进而判断其是否具有恶意广告行为。但是恶意广告厂商往往通过代码混淆、栈名混淆、字符串加密等方式进行对抗，使得恶意广告程序的静态特征不固定，因此通过这种方法就不再能有效地识别出恶意广告。

发明内容

本发明要解决的技术问题是提供一种恶意广告的识别方法及装置、移动终端，能够快速准确地识别出通知栏弹出的恶意广告。

为解决上述技术问题，本发明的实施例提供技术方案如下：

一方面，提供一种恶意广告的识别方法，包括：

获取通知栏的弹出广告的信息，所述信息至少包括有弹出广告的栈名和广告内容；

确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中；

在所述弹出广告的栈名不在预设的黑栈名列表的情况下，将所述弹出广告的广告内容与已知恶意广告的内容进行匹配；

在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告。

进一步地，在所述确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中后，所述方法还包括：

在所述弹出广告的栈名存在于所述黑栈名列表中时，判断所述弹出广告为恶意广告。

进一步地，所述信息还包括所述弹出广告的弹出频度；

在所述获取的弹出广告的栈名不在预设的黑栈名列表的情况下，先利用预设的过滤规则过滤掉无意义的弹出广告，然后将过滤后剩余的弹出广告的广告内容与已知恶意广告的内容进行匹配；

所述利用预设的过滤规则过滤掉非恶意的弹出广告包括：

过滤掉所述弹出频度小于N的弹出广告。

进一步地，所述利用预设的过滤规则过滤掉非恶意的弹出广告还包括：

过滤掉广告内容的字数小于M的弹出广告；

和/或

过滤掉所述广告内容包括有预设非恶意内容的弹出广告。

进一步地，所述在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告之后，所述方法还包括：

将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中。

进一步地，所述将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中之前，所述方法还包括：

确定所述判断为恶意广告的弹出广告的栈名是否在预设的白栈名列表中；

所述将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中具体为：

在所述判断为恶意广告的弹出广告的栈名不在所述白栈名列表中时，将所述弹出广告的栈名加入到所述黑栈名列表中。

本发明实施例还提供了一种恶意广告的识别装置，包括：

信息获取模块，用于获取通知栏的弹出广告的信息，所述信息至少包括有弹出广告的栈名和广告内容；

确定模块，用于确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中；

匹配模块，用于在所述弹出广告的栈名不在预设的黑栈名列表的情况下，将所述弹出广告的广告内容与已知恶意广告的内容进行匹配；

判断模块，用于在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告。

进一步地，所述判断模块进一步用于在所述弹出广告的栈名存在于所述黑栈名列表中时，判断所述弹出广告为恶意广告。

进一步地，所述信息还包括所述弹出广告的弹出频度；

所述匹配模块进一步用于在所述获取的弹出广告的栈名不在预设的黑栈名列表的情况下，先利用预设的过滤规则过滤掉非恶意的弹出广告，然后将过滤后剩余的弹出广告的广告内容与已知恶意广告的内容进行匹配；其中，所述匹配模块利用预设的过滤规则过滤掉非恶意的弹出广告包括：过滤掉所述弹出频度小于N的弹出广告。

进一步地，所述匹配模块利用预设的过滤规则过滤掉非恶意的弹出广告还包括：

过滤掉广告内容的字数小于M的弹出广告；

和/或

过滤掉所述广告内容包括有预设非恶意内容的弹出广告。

进一步地，所述装置还包括：

添加模块，用于将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中。

进一步地，所述装置还包括：

过滤模块，用于确定所述判断为恶意广告的弹出广告的栈名是否在预设的白栈名列表中；

所述添加模块用于在所述判断为恶意广告的弹出广告的栈名不在所述白栈名列表中时，将所述弹出广告的栈名加入到所述黑栈名列表中。

本发明实施例还提供了一种移动终端，包括如上所述的恶意广告的识别装置。

本发明的实施例具有以下有益效果：

上述方案中，首先获取通知栏的弹出广告的信息，利用预设的黑栈名列表对弹出广告进行过滤，在弹出广告的栈名不在预设的黑栈名列表中时，将弹出广告的广告内容与已知恶意广告的内容进行匹配，在弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断弹出广告为恶意广告。本发明的技术方案基于广告厂商推送的广告内容进行未知恶意广告识别，对不在黑栈名列表中的弹出广告也进行恶意广告识别，提高了识别的准确度。

附图说明

图1为本发明实施例恶意广告的识别方法的流程示意图；

图2为本发明实施例恶意广告的识别装置的结构框图；

图3为本发明具体实施例恶意广告的识别方法的流程示意图。

具体实施方式

为使本发明的实施例要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。

本发明的实施例针对恶意弹出广告越来越多，现有技术不能准确识别出通知栏恶意广告的问题，提供一种恶意广告的识别方法及装置、移动终端，能够快速准确地识别出通知栏弹出的恶意广告。

图1为本发明实施例恶意广告的识别方法的流程示意图，如图1所示，本实施例包括：

步骤101：获取通知栏的弹出广告的信息，所述信息至少包括有弹出广告的栈名和广告内容；

具体的，所述栈名为广告SDK（Software Development Kit,即软件开发工具包）对应的程序栈的栈名；

步骤102：确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中；

步骤103：在所述弹出广告的栈名不在预设的黑栈名列表的情况下，将所述弹出广告的广告内容与已知恶意广告的内容进行匹配；

步骤104：在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告。

具体的，可以将弹出广告的广告内容与已知恶意广告的广告内容进行字对字匹配，其匹配度可以通过C_E/C_T计算，其中，C_E为所述弹出广告的广告内容与已知恶意广告的广告内容中相对应的字中相同的字数，C_T为所述已知恶意广告的广告内容中用于判断与弹出广告的广告内容是否相同的字的总字数。

本发明的恶意广告的识别方法，首先获取通知栏的弹出广告的信息，利用预设的黑栈名列表对弹出广告进行过滤，在弹出广告的栈名不在预设的黑栈名列表中时，将弹出广告的广告内容与已知恶意广告的内容进行匹配，在弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断弹出广告为恶意广告。本发明的技术方案基于广告厂商推送的广告内容进行未知恶意广告识别，对不在黑栈名列表中的弹出广告也进行恶意广告识别，提高了识别的准确度。

进一步地，本发明的另一实施例中，包括上述步骤101-104的基础上，在所述确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中后，所述方法还包括：

在所述弹出广告的栈名存在于所述黑栈名列表中时，判断所述弹出广告为恶意广告。

即如果弹出广告的栈名存在于黑栈名列表中时，直接将该弹出广告判断为恶意广告，而不在需要通过广告内容进行匹配。

进一步地，本发明的另一实施例中，包括上述步骤101-104的基础上，所述信息还包括所述弹出广告的弹出频度；具体的，所述弹出频度是指在规定时间内弹出该广告的次数；

这时，在所述获取的弹出广告的栈名不在预设的黑栈名列表的情况下，可先利用预设的过滤规则过滤掉非恶意，例如无意义的弹出广告，然后将过滤后剩余的弹出广告的广告内容与已知恶意广告的内容进行匹配；也就是说，如果某弹出广告的栈名虽然不在预设的黑栈名列表中，但满足预设的规则，可以认为该弹出广告是非恶意的，但如果该弹出广告不满足预设的规则，将通过广告内容与恶意广告的内容的匹配度判断是否是恶意广告；

具体的，所述利用预设的过滤规则过滤掉非恶意的弹出广告包括：

过滤掉所述弹出频度小于N的弹出广告。即规定时间内弹出次数较少的广告，可以认为是非恶意广告。该规定时间不限，可以为1个小时、24个小时等等，本领域人员可以任意设置。N同样可以任意设置，例如N=5。

可以理解的，为了进一步增加识别恶意广告的准确性，所述利用预设的过滤规则过滤掉非恶意的弹出广告还可以包括：

过滤掉广告内容的字数小于M的弹出广告。

即广告内容的字数较少的广告，可以认为是非恶意广告。以中文广告为例，可以设置M为6，即该弹出广告的内容的字数少于6个汉字的，可以被认为是6个汉字。当然，所述“字数”不仅指汉字字数，还可以是英文单词数、字符数等。

还可以理解的是，为了进一步增加识别恶意广告的准确性，所述利用预设的过滤规则过滤掉非恶意的弹出广告还可以包括：

过滤掉所述广告内容包括有预设非恶意内容的弹出广告。

即广告中包括预先设定的非恶意内容的，可以认为是非恶意广告。

进一步地，本发明的另一实施例中，包括上述步骤101-104的基础上，所述在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告之后，所述方法还包括：

将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中。

即使该栈名可用于后续的恶意广告的判断过程中。

进一步地，所述将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中之前，所述方法还包括：

确定所述判断为恶意广告的弹出广告的栈名是否在预设的白栈名列表中；

所述将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中具体为：

在所述判断为恶意广告的弹出广告的栈名不在所述白栈名列表中时，将所述弹出广告的栈名加入到所述黑栈名列表中。

这种情况主要是避免误判，避免将白栈名列表中已知的非恶意栈名加入到黑栈名列表中。

本发明实施例还提供了一种恶意广告的识别装置，如图2所示，本实施例包括：

信息获取模块20，用于获取通知栏的弹出广告的信息，所述信息至少包括有弹出广告的栈名和广告内容；

确定模块22，用于确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中；

匹配模块23，用于在所述弹出广告的栈名不在预设的黑栈名列表的情况下，将所述弹出广告的广告内容与已知恶意广告的内容进行匹配；

判断模块26，用于在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告。

本发明的恶意广告的识别装置，首先获取通知栏的弹出广告的信息，利用预设的黑栈名列表对弹出广告进行过滤，在弹出广告的栈名不在预设的黑栈名列表中时，将弹出广告的广告内容与已知恶意广告的内容进行匹配，在弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断弹出广告为恶意广告。本发明的技术方案基于广告厂商推送的广告内容进行未知恶意广告识别，对不在黑栈名列表中的弹出广告也进行恶意广告识别，提高了识别的准确度。

进一步地，所述判断模块还用于在所述弹出广告的栈名存在于所述黑栈名列表中时，判断所述弹出广告为恶意广告。

进一步地，所述信息还包括所述弹出广告的弹出频度；所述匹配模块进一步用于在所述获取的弹出广告的栈名不在预设的黑栈名列表的情况下，先利用预设的过滤规则过滤掉非恶意的弹出广告，然后将过滤后剩余的弹出广告的广告内容与已知恶意广告的内容进行匹配；其中，所述利用预设的过滤规则过滤掉非恶意的弹出广告包括：过滤掉所述弹出频度小于N的弹出广告。

进一步地，所述利用预设的过滤规则过滤掉非恶意的弹出广告还包括：

过滤掉广告内容的字数小于M的弹出广告；

和/或

过滤掉所述广告内容包括有预设非恶意内容的弹出广告。

进一步地，所述装置还包括：

添加模块，用于将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中。

进一步地，所述装置还包括：

过滤模块，用于确定所述判断为恶意广告的弹出广告的栈名是否在预设的白栈名列表中；

所述添加模块用于在所述判断为恶意广告的弹出广告的栈名不在所述白栈名列表中时，将所述弹出广告的栈名加入到所述黑栈名列表中。

本发明实施例还提供了一种移动终端，包括如上所述的恶意广告的识别装置。

下面结合附图以及具体的实施例对本发明的恶意广告的识别方法进行详细介绍：

通知栏的弹出广告分为三种，第一种是正常的非恶意广告，第二种是通过现有的黑栈名列表可以识别出的恶意广告，第三种是通过现有的黑栈名列表不能识别出的恶意广告，本发明的技术方案主要用以识别第三种恶意广告，如图3所示，本实施例的恶意广告的识别方法具体包括以下步骤：

步骤301：移动终端收集通知栏的弹出广告的信息；

移动终端收集通知栏所有的弹出广告，记录弹出广告的栈名、广告内容和弹出频度；

步骤302：判断弹出广告的栈名是否存在于预设的黑栈名列表中，如果弹出广告的栈名不在黑栈名列表中，转向步骤303；如果弹出广告的栈名存在于黑栈名列表中，转向步骤306；

如果弹出广告的栈名不在黑栈名列表中，说明利用已知的黑栈名列表并不能判断出弹出广告是否为恶意广告，需要进行进一步处理，转向步骤303；如果弹出广告的栈名存在于黑栈名列表中，说明利用已知的黑栈名列表可以判断弹出广告为恶意广告，转向步骤306；

步骤303：过滤掉无意义的弹出广告；

有些弹出广告是非恶意的、无意义的，如果对这种弹出广告也进行识别，势必会降低恶意广告的识别效率，为了提高识别效率，可以在判断弹出广告是否为恶意广告之前，过滤掉无意义的弹出广告。

具体地，可以通过以下几种方式过滤掉无意义的弹出广告：

（1）过滤掉弹出频度小于N的弹出广告，具体地，N可以为5；

（2）过滤掉广告内容小于M个字符的弹出广告，比如说，可以过滤掉广告内容少于6个汉字的弹出广告，因为通过分析已有数据发现，6个汉字以下的弹出广告要么广告内容为空，要么广告内容中只包含"_"，要么广告内容中为乱码；

（3）过滤掉广告内容包括有预设无意义内容的弹出广告，比如说对于广告内容包括白字符串的弹出广告，不予处理。

步骤304：将过滤后的弹出广告的广告内容与已知恶意广告的内容进行匹配；

提取过滤后的弹出广告的广告内容，与已知恶意广告的内容进行匹配；

步骤305：判断弹出广告的广告内容与已知恶意广告的内容的匹配度是否超过预设值，如果是，转向步骤306；如果不是，转向步骤307；

步骤306：判断弹出广告为恶意广告，转向步骤308；

步骤307：判断弹出广告不是恶意广告。

步骤308：利用预设的白栈名列表对弹出广告的栈名进行过滤，在弹出广告的栈名不在白栈名列表中时，将弹出广告的栈名加入到黑栈名列表中，这样之后可以利用更新的黑栈名列表进行恶意广告的识别。

本实施例的技术方案首先对所有弹出广告的信息进行收集，包括记录栈名、广告内容以及弹出频度，用已知的黑栈名对弹出广告进行过滤，剩下不能通过已知黑栈名进行识别的弹出广告，用广告内容与已识别的恶意广告内容进行匹配，识别出恶意广告，并记录恶意广告的栈名为黑栈名，作为下一次检测的依据。本实施例基于广告厂商推送的广告内容进行未知恶意广告识别，在识别之前过滤掉无意义的广告，提高了识别效率，本实施例能够快速有效识别出未知恶意广告。

此说明书中所描述的许多功能部件都被称为模块，以便更加特别地强调其实现方式的独立性。

本发明实施例中，模块可以用软件实现，以便由各种类型的处理器执行。举例来说，一个标识的可执行代码模块可以包括计算机指令的一个或多个物理或者逻辑块，举例来说，其可以被构建为对象、过程或函数。尽管如此，所标识模块的可执行代码无需物理地位于一起，而是可以包括存储在不同物理上的不同的指令，当这些指令逻辑上结合在一起时，其构成模块并且实现该模块的规定目的。

实际上，可执行代码模块可以是单条指令或者是许多条指令，并且甚至可以分布在多个不同的代码段上，分布在不同程序当中，以及跨越多个存储器设备分布。同样地，操作数据可以在模块内被识别，并且可以依照任何适当的形式实现并且被组织在任何适当类型的数据结构内。所述操作数据可以作为单个数据集被收集，或者可以分布在不同位置上（包括在不同存储设备上），并且至少部分地可以仅作为电子信号存在于系统或网络上。

在模块可以利用软件实现时，考虑到现有硬件工艺的水平，所以可以以软件实现的模块，在不考虑成本的情况下，本领域技术人员都可以搭建对应的硬件电路来实现对应的功能，所述硬件电路包括常规的超大规模集成（VLSI）电路或者门阵列以及诸如逻辑芯片、晶体管之类的现有半导体或者是其它分立的元件。模块还可以用可编程硬件设备，诸如现场可编程门阵列、可编程阵列逻辑、可编程逻辑设备等实现。

在本发明各方法实施例中，所述各步骤的序号并不能用于限定各步骤的先后顺序，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，对各步骤的先后变化也在本发明的保护范围之内。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (13)

1.一种恶意广告的识别方法，其特征在于，包括：

获取通知栏的弹出广告的信息，所述信息至少包括有弹出广告的栈名和广告内容；

确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中；

在所述弹出广告的栈名不在预设的黑栈名列表的情况下，将所述弹出广告的广告内容与已知恶意广告的内容进行匹配；

在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告。

2.根据权利要求1所述的恶意广告的识别方法，其特征在于，在所述确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中后，所述方法还包括：

在所述弹出广告的栈名存在于所述黑栈名列表中时，判断所述弹出广告为恶意广告。

3.根据权利要求2所述的恶意广告的识别方法，其特征在于，

所述信息还包括所述弹出广告的弹出频度；

在所述获取的弹出广告的栈名不在预设的黑栈名列表的情况下，先利用预设的过滤规则过滤掉非恶意的弹出广告，然后将过滤后剩余的弹出广告的广告内容与已知恶意广告的内容进行匹配；

所述利用预设的过滤规则过滤掉非恶意的弹出广告包括：

过滤掉所述弹出频度小于N的弹出广告。

4.根据权利要求3所述的恶意广告的识别方法，其特征在于，

所述利用预设的过滤规则过滤掉非恶意的弹出广告还包括：

过滤掉广告内容的字数小于M的弹出广告；

和/或

过滤掉所述广告内容包括有预设非恶意内容的弹出广告。

5.根据权利要求1-4中任一项所述的恶意广告的识别方法，其特征在于，所述在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告之后，所述方法还包括：

将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中。

6.根据权利要求5所述的恶意广告的识别方法，其特征在于，所述将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中之前，所述方法还包括：

确定所述判断为恶意广告的弹出广告的栈名是否在预设的白栈名列表中；

所述将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中具体为：

在所述判断为恶意广告的弹出广告的栈名不在所述白栈名列表中时，将所述弹出广告的栈名加入到所述黑栈名列表中。

7.一种恶意广告的识别装置，其特征在于，包括：

信息获取模块，用于获取通知栏的弹出广告的信息，所述信息至少包括有弹出广告的栈名和广告内容；

确定模块，用于确定所述获取的弹出广告的栈名是否在预设的黑栈名列表中；

匹配模块，用于在所述弹出广告的栈名不在预设的黑栈名列表的情况下，将所述弹出广告的广告内容与已知恶意广告的内容进行匹配；

判断模块，用于在所述弹出广告的广告内容与已知恶意广告的内容的匹配度超过预设值时，判断所述弹出广告为恶意广告。

8.根据权利要求7所述的恶意广告的识别装置，其特征在于，

所述判断模块还用于在所述弹出广告的栈名存在于所述黑栈名列表中时，判断所述弹出广告为恶意广告。

9.根据权利要求8所述的恶意广告的识别装置，其特征在于，所述信息还包括所述弹出广告的弹出频度；

所述匹配模块用于在所述获取的弹出广告的栈名不在预设的黑栈名列表的情况下，先利用预设的过滤规则过滤掉非恶意的弹出广告，然后将过滤后剩余的弹出广告的广告内容与已知恶意广告的内容进行匹配；其中，所述匹配模块利用预设的过滤规则过滤掉非恶意的弹出广告包括：过滤掉所述弹出频度小于N的弹出广告。

10.根据权利要求9所述的恶意广告的识别装置，其特征在于，

所述匹配模块利用预设的过滤规则过滤掉非恶意的弹出广告还包括：

过滤掉广告内容的字数小于M的弹出广告；

和/或

过滤掉所述广告内容包括有预设非恶意内容的弹出广告。

11.根据权利要求7-10中任一项所述的恶意广告的识别装置，其特征在于，所述装置还包括：

添加模块，用于将所述判断为恶意广告的弹出广告的栈名加入到所述黑栈名列表中。

12.根据权利要求11所述的恶意广告的识别装置，其特征在于，所述装置还包括：

过滤模块，用于确定所述判断为恶意广告的弹出广告的栈名是否在预设的白栈名列表中；

所述添加模块用于在所述判断为恶意广告的弹出广告的栈名不在所述白栈名列表中时，将所述弹出广告的栈名加入到所述黑栈名列表中。

13.一种移动终端，其特征在于，包括如权利要求7-12中任一项所述的恶意广告的识别装置。