CN104794051A - 一种Android平台恶意软件自动化检测方法 - Google Patents

Abstract

本发明提供一种Android平台恶意软件自动化检测方法及系统，所述方法包含：步骤101）输入待测试软件，分析待测试软件的软件特征行为，进而获取软件特征行为中的恶意软件特征行为；步骤102）计算获取的所有恶意特征行为的权重值之和；步骤103）将权重之和与设定阈值比较，进而判断待检测软件是否为恶意软件。所述步骤101）之前还包含：首先，对软件的恶意行为模式进行分析，提取出各种恶意软件特征行为，并建立恶意软件特征行为库；然后，为提取的各种恶意软件特征行为分配权重，建立各恶意特征行为与权重之间的映射关系表；最后，根据恶意特征行为权重计算出各类软件属于恶意软件的检测阈值，依据得到的检测阈值建立恶意软件检测模型库。

Description

一种Android平台恶意软件自动化检测方法

技术领域

本发明涉及自动化测试领域，尤其涉及一种Android平台恶意软件自动化检测方法。

背景技术

随着Android系统的流行，各种Android应用层出不穷，同时也出现了大量的针对Android平台的恶意软件，这些恶意软件呈现连续递增的趋势，Android系统面临着严重的安全威胁。

Jesse Burns在2009年阐述了Android平台上的手机应用程序的安全性问题，但是并没有针对恶意软件提出相关的安全检测方法。王志国等在2009年提出并实现了Android智能手机系统的文件实时监控技术，但由于缺少真实的Android平台恶意软件的实际攻击研究，使得无法对Android的应用程序检测达到良好的效果。Shabtai等于2010年在Android平台上实现了一个基于行为检测的HIDS(host-basedintrusion prevention systems)恶意软件检测系统。Aubrey-DerrickSchmidt等于2009提出静态分析可执行文件来检测Android平台的恶意软件。Uri Kanonov等在2011年，提出一种基于行为的检测框架，名为“Andromaly”。该框架实现了一个基于主机的恶意软件检测系统，在这个系统中，通过持续监视移动设备的不同特征和事件，然后请求异常检测机器学习对搜集到的数据进行分类，将数据分为正常的或恶意的。

可以看到现有的Android平台安全研究基本集中在Android应用程序的体系架构安全防范，恶意软件的静态特征提取以及通用的基于行为模式的异常检测，并没有对恶意软件的行为模式特点进行深入研究和分析，从而从恶意软件特征行为模式以及攻击意图的角度开展恶意软件的相关检测方法研究。

发明内容

本发明的目的在于，为克服上述问题，本发明提供了一种Android平台恶意软件自动化检测方法及系统。

为实现上述目的，本发明提供一种Android平台恶意软件自动化检测方法，所述方法包含：

步骤101）输入待测试软件，分析待测试软件的软件特征行为，进而获取软件特征行为中的恶意软件特征行为；

步骤102）计算获取的所有恶意特征行为的权重值之和；

步骤103）将权重之和与设定阈值比较，进而判断待检测软件是否为恶意软件；

其中，所述的恶意软件特征行为包括：自启动的行为、注册高优先级接收器的行为或获取root权限的行为。

可选的，上述步骤101）之前还包含：

首先，对所有软件的恶意软件行为模式进行分析，提取出各种恶意软件特征行为，并建立恶意软件特征行为库；

然后，为提取的各种恶意软件特征行为分配权重，建立各恶意特征行为与权重之间的映射关系表；

最后，根据恶意特征行为权重计算出各类软件属于恶意软件的检测阈值，依据得到的所有检测阈值建立恶意软件检测模型库；

且，

所述步骤101）根据恶意软件特征行为库逐项检测待测试软件是否具有恶意特征行为；

所述步骤102）根据所述映射关系表计算所有检测出的恶意行为的权重之和。

可选的，上述述步骤103）之后还包含：

将恶意软件采用所述恶意软件检测模型库中的模型进行类别判断，并输出测试结果；

其中，类别判断是指分析出待测软件属于哪一类恶意软件，所述恶意软件的类别包含：Droiddream家族类，Droidkungfu家族类，Golddream家族类，Basebridge家族类或plantton家族类。

此外，本发明还提供了一种Android平台恶意软件自动化检测系统，所述系统包含：

恶意软件特征行为提取模块，用于提取待测软件的恶意特征行为；

特征行为权重处理模块，用于基于特征行为权重映射表计算所有恶意特征行为的权重的和；

其中，所述特征行为权重映射表为建立的各种恶意特征行为与各种恶意特征行为分配的权重之间的映射关系；

判断决策模块，用于将得到的权重和和与预设的门限值进行比较，进而判断待测软件是否为恶意软件。

可选的，上述系统还包含：

恶意软件特征行为库，用于对各种软件的恶意软件行为模式进行分析，提取恶意软件特征行为，进而建立恶意软件特征行为库；

所述恶意软件特征行为提取模块依据恶意软件特征行为库判断待测软件存在的恶意特征行为。

上述软件的恶意特征行为包：自启动行为、注册高优先级接收器、获取root权限或向远端服务器发送敏感信息。

上述系统还包含：

恶意软件检测模型库，用于计算各类恶意软件的检测阈值，并依据检测阈值建立恶意软件检测模型，进而得到恶意软件检测模型库；

恶意软件类别检测检测模块，用于依据所述恶意软件检测模型库得到待检测的恶意软件的类别。

上述的恶意软件特征行为库和/或恶意软件检测模型库部署在本地服务器，或部署在云端服务器。

总之，为了解决上述问题，更好的发展完善恶意软件自动化检测技术。本发明提出了一种Android平台恶意软件自动化检测方法，在深入研究恶意软件行为模式特点基础上，建立恶意软件特征行为模型，通过比对被测软件的特征行为和恶意软件检测模型库来判断这个软件是否是恶意软件，从而有效提高恶意软件测试效率。

为实现上述目的，本发明首先对恶意软件行为模式进行分析，提取出恶意软件特征行为，并建立恶意软件特征行为库；然后为恶意软件每个特征行为分配权重，建立恶意特征行为与权重的映射关系；根据特征行为权重计算出恶意软件检测阈值，建立恶意软件检测模型库。在进行恶意软件检测时，首先根据恶意软件特征行为库，逐项检测待测试软件是否具有恶意特征行为，然后计算所有检测出的恶意行为的权重之和，根据恶意软件检测模型给出判决结果。

进一步地，本发明中所述的恶意软件特征行为包括但不限于自启动行为、注册高优先级接收器、获取root权限、向远端服务器发送敏感信息等。所述的注册高优先级接收器检测采用静态检测方法，具体是提取Manifest.xml文件中BroadcastReceive继承类的android:priority属性参数，如果优先级数大于1000，则判定为注册了高优先级接收器。所述的向远端服务器发送敏感信息行为检测方法为建立恶意软件远端服务器黑名单，通过解析软件系统日志，检测是否包含远端服务器黑名单上的IP地址；同时捕获分析被测软件发送的网络消息，是否包含有用户账号信息、浏览历史记录以及浏览器内书签等敏感信息。

进一步地，本发明中所述的恶意软件特征行为库和恶意软件检测模型库可以部署在本地服务器，也可部署在云端服务器。

与现有技术相比，本发明具有以下优点：

1、分析Android平台主流的恶意软件的行为模式，总结出恶意软件的攻击手段，建立恶意软件行为检测模型，可有效减少恶意软件的检测时间，提高恶意软件的检测效率。

2、与现有基于特征代码的检测方案和基于行为的检测方案相比，本发明可以有效减少恶意软件特征库数量，降低了恶意软件特征的检索复杂度，减少了测试能耗。

由于主流的恶意软件行为模式变化频率低，只有出现新的恶意行为时才更新特征库，因此本发明中的恶意软件自动化检测方法，不需要频繁更换恶意软件行为库，并可以有效检测基于恶意特征行为的未知恶意软件。

附图说明

为了更清楚的说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明实施例中的Android平台恶意软件自动化检测整体流程图；

图2为本发明实施例中的Android平台恶意软件行为检测流程图；

图3为本发明实施例中的Android平台恶意软件行为检测的一种模块部署图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有付出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1，该图为本发明实施实现的一种Android平台恶意软件自动化检测整体流程图，具体步骤为：

步骤1，分析基于Android平台恶意软件的行为模式，主要是针对主流的恶意软件，如DroidDream、DroidKungfu、jSMSHider、GoldDream、BaseBridge、Plankton等的攻击意图和攻击行为进行解析。

步骤2，提取出上述恶意软件的恶意攻击行为，包括自启动行为、注册高优先级接收器、获取root权限、收集用户敏感信息并将信息发送到远端服务器、无提示联网下载软件等，并建立恶意软件特征行为库。

步骤3，为每一种恶意行为分配不同的权重，并建立权重和恶意特征行为的关系映射。如下表所示：

恶意攻击行为	权重分配
		自启动行为	2
注册高优先级接收器	3
		获取root权限	3
收集用户敏感信息并将信息发送到远端服务器	5
		无提示联网下载软件	6

步骤4，计算主流恶意软件的检测阈值，建立主流恶意软件的特征检测模型，举例如下：GoldDream软件的恶意行为为首先成功启动，然后会注册高优先级接收器，对用户的行为进行拦截执行收集用户敏感信息等恶意操作，计算这些恶意行为的权重之和，就得到GoldDream软件的检测阈值。

步骤5，为每类恶意软件家族建立恶意软件检测模型，主要是建立恶意软件特征行为检测逻辑和检测阈值。

步骤6，进行恶意软件检测时，首先根据在先建立的恶意特征行为库，逐项检测被测软件是否具有恶意特征行为。

步骤7，根据检测出的恶意特征行为，计算所有特征行为的权重之和。

步骤8，将检测出的所有特征行为权重之和，与恶意软件检测阈值进行比对，判断是否是恶意软件，给出判决结果。根据在先建立的恶意软件家族检测模型，还可判断出恶意软件种类。

下面结合图2，对待测软件的恶意特征行为检测过程进行具体实施例描述：

步骤1）通过静态分析方法进行软件自启动功能检测，首先是对被测软件进行反编译，获得Manifest.xml文件，然后在该文件中进行自启动权限匹配，如果匹配成功，则判断被测软件具有自启动功能；

步骤2）检查软件是否注册了高优先级接收器，具体是提取Manifest.xml文件中BroadcastReceive继承类的android:priority属性参数，如果优先级数大于1000，则判定为注册了高优先级接收器；

步骤3）启动软件运行，捕获应用运行时向远端服务器发送的消息和来自远端服务器的应答信息，分析信息中是否含有用户账号和密码、android系统版本、用户浏览器内书签和浏览历史记录等敏感信息；

步骤4）如果含有敏感信息，则判断为恶意软件；否则进行获取Root权限检测；

步骤5）检测是否从远端服务器自动下载JAR文件，如果是则判断为恶意软件。否则根据特征行为权重之和，给出判断结果。

下面结合图3，给出对Android平台恶意软件行为检测的一种模块部署图描述：

根据上述方法，可以将Android平台恶意软件行为检测方法根据每个步骤功能的不同，划分为服务端处理模块和本地终端检测模块。服务端处理模块包括恶意软件行为分析模块、恶意软件行为提取模块、恶意软件行为建模模块、敏感信息分析模块和敏感信息捕获模块，可以部署在云端服务器，也可以部署在本地服务器。本地终端检测模块包括代码反编译模块、恶意软件行为检测模块和结果判决模块，由本地终端完成。

总之，本发明给出一种Android平台恶意软件自动化检测方法，具体方法包括首先对恶意软件行为模式进行分析，提取出恶意软件特征行为，并建立恶意软件特征行为库；然后为恶意软件每个特征行为分配权重，建立恶意特征行为与权重的映射关系；根据特征行为权重计算出恶意软件检测阈值，建立恶意软件检测模型库。在进行恶意软件检测时，根据恶意软件特征行为库，逐项检测待测试软件是否具有恶意特征行为，然后计算所有检测出的恶意行为的权重之和，根据恶意软件检测模型给出判决结果。

此外为了实现上述方法本发明还提供一种Android平台恶意软件自动化检测系统，所述系统包含：

恶意软件特征行为提取模块，用于提取待测软件的恶意特征行为；

特征行为权重处理模块，用于基于特征行为权重映射表计算所有恶意特征行为的权重的和；

其中，所述特征行为权重映射表为建立的各种恶意特征行为与各种恶意特征行为分配的权重之间的映射关系；

判断决策模块，用于将得到的权重和和与预设的门限值进行比较，进而判断待测软件是否为恶意软件。

可选的，上述系统还包含：

恶意软件特征行为库，用于对各种软件的恶意软件行为模式进行分析，提取恶意软件特征行为，进而建立恶意软件特征行为库；

所述恶意软件特征行为提取模块依据恶意软件特征行为库判断待测软件存在的恶意特征行为。

上述软件的恶意特征行为包：自启动行为、注册高优先级接收器、获取root权限或向远端服务器发送敏感信息。

上述系统还包含：

恶意软件检测模型库，用于计算各类恶意软件的检测阈值，并依据检测阈值建立恶意软件检测模型，进而得到恶意软件检测模型库；

恶意软件类别检测检测模块，用于依据所述恶意软件检测模型库得到待检测的恶意软件的类别。

上述的恶意软件特征行为库和/或恶意软件检测模型库部署在本地服务器，或部署在云端服务器。

以上对本发明实施例所提供的恶意软件自动化测试方法，进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，根据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。

Claims (8)

1.一种Android平台恶意软件自动化检测方法，所述方法包含：

步骤101）输入待测试软件，分析待测试软件的软件特征行为，进而获取软件特征行为中的恶意软件特征行为；

步骤102）计算获取的所有恶意特征行为的权重值之和；

步骤103）将权重之和与设定阈值比较，进而判断待检测软件是否为恶意软件；

其中，所述的恶意软件特征行为包括：自启动的行为、注册高优先级接收器的行为或获取root权限的行为。

2.根据权利要求1所述的Android平台恶意软件自动化检测方法，其特征在于，所述步骤101）之前还包含：

首先，对软件的恶意行为模式进行分析，提取出各种恶意软件特征行为，并建立恶意软件特征行为库；

然后，为提取的各种恶意软件特征行为分配权重，建立各恶意特征行为与权重之间的映射关系表；

最后，根据恶意特征行为权重计算出各类软件属于恶意软件的检测阈值，依据得到的检测阈值建立恶意软件检测模型库；

且，

所述步骤101）根据恶意软件特征行为库逐项检测待测试软件是否具有恶意特征行为；

所述步骤102）根据所述映射关系表计算所有检测出的恶意行为的权重之和。

3.根据权利要求2所述的Android平台恶意软件自动化检测方法，其特征在于，所述步骤103）之后还包含：

将恶意软件采用所述恶意软件检测模型库中的模型进行类别判断，并输出测试结果；

其中，类别判断是指分析出待测软件属于哪一类恶意软件，所述恶意软件的类别包含：Droiddream家族类，Droidkungfu家族类，Golddream家族类，Basebridge家族类或plantton家族类。

4.一种Android平台恶意软件自动化检测系统，其特征在于，所述系统包含：

恶意软件特征行为提取模块，用于提取待测软件的恶意特征行为；

特征行为权重处理模块，用于基于特征行为权重映射表计算所有恶意特征行为的权重的和；

其中，所述特征行为权重映射表为建立的各种恶意特征行为与各种恶意特征行为分配的权重之间的映射关系；

判断决策模块，用于将得到的权重和和与预设的门限值进行比较，进而判断待测软件是否为恶意软件。

5.根据权利要求4所述的Android平台恶意软件自动化检测系统，其特征在于，所述系统还包含：

恶意软件特征行为库，用于对各种软件的恶意软件行为模式进行分析，提取恶意软件特征行为，进而建立恶意软件特征行为库；

所述恶意软件特征行为提取模块依据恶意软件特征行为库判断待测软件存在的恶意特征行为。

6.根据权利要求5所述的Android平台恶意软件自动化检测系统，其特征在于，所述软件的恶意特征行为包括：自启动行为、注册高优先级接收器、获取root权限或向远端服务器发送敏感信息。

7.根据权利要求4所述的Android平台恶意软件自动化检测系统，其特征在于，所述系统还包含：

恶意软件检测模型库，用于计算各类恶意软件的检测阈值，并依据检测阈值建立恶意软件检测模型，进而得到恶意软件检测模型库；

恶意软件类别检测检测模块，用于依据所述恶意软件检测模型库得到待检测的恶意软件的类别。

8.根据权利要求5或7所述的Android平台恶意软件自动化检测系统，其特征在于，所述的恶意软件特征行为库和/或恶意软件检测模型库部署在本地服务器，或部署在云端服务器。