CN105095751A

CN105095751A - 一种面向Android平台的钓鱼恶意应用检测方法

Info

Publication number: CN105095751A
Application number: CN201410189549.XA
Authority: CN
Inventors: 王渊
Original assignee: ZTEsoft Technology Co Ltd
Current assignee: ZTEsoft Technology Co Ltd
Priority date: 2014-05-07
Filing date: 2014-05-07
Publication date: 2015-11-25

Abstract

本发明涉及一种基于图像相似性的Android平台钓鱼恶意应用检测方法，用于检测Android平台上通过仿造界面窃取用户敏感信息的钓鱼恶意应用软件，其步骤包括：1)反编译目标应用，获取欲截图的活动组件名称集合；2)利用自动化界面遍历方法，获取目标界面截图集合；3)判断待检测应用是否与目标应用为同一软件的不同版本，如果是，则停止检测；4)反编译待检测应用，获取其全部活动组件名称集合；5)利用自动化界面遍历方法，获取检测界面截图集合；6)利用图像感知哈希算法计算检测界面截图集合与目标界面截图集合的相似指数；7)如果相似指数超过预定义的相似阈值则判定待检测应用为钓鱼恶意应用。

Description

一种面向Android平台的钓鱼恶意应用检测方法

技术领域

本发明涉及一种面向Android平台的钓鱼恶意应用检测方法，属于移动安全领域。

背景技术

随着互联网的兴起，电子商务成为现代商业不可小觑的一个重要市场。而推动电子商务发展的一个重要因素，就是网络支付技术的发展。对于传统的网络支付，用户往往使用个人终端电脑通过网页进行支付。而近年来移动互联网的火爆，使得移动支付也逐渐受到人们的重视。在移动支付领域，支付行为除了同PC上一样，可以通过通用的浏览器实现外，还可以通过银行或第三方支付平台的移动应用来完成的。

针对网络支付的攻击层出不穷，其中尤以网络钓鱼的危害最为巨大。网络钓鱼，又称钓鱼式攻击，一般是利用社会工程的手段，比如邮件、短信等，诱骗受害者访问精心设计的与目标组织非常相似的网站，来获取受害者在目标组织中的账号、密码等敏感信息。这里的目标组织包括银行、第三方支付、社交平台等。

针对移动终端的钓鱼攻击，除了钓鱼网站外，攻击者还可能通过在消费者的移动终端安装恶意软件，模拟银行或第三方支付应用的界面，从而诱骗消费者输入用户名、密码等个人敏感信息并发送至远端的服务器，完成信息窃取。一种典型的Android平台钓鱼恶意软件的实现方式是通过活动组件劫持来实施。Android平台上，每当一个新的活动组件(即Android系统中的Activity)启动时，前一个活动组件就会停止，这些活动组件都保留在系统中的一个活动组件历史栈中。攻击者可以启动一个后台的服务，这个服务不断地扫描当前运行的进程，当发现目标进程启动时，就启动一个伪装的活动组件。如果这个活动组件是登录界面，那么就可以从中获取用户的账号密码。

目前网络钓鱼攻击检测研究主要集中在针钓鱼网站的检测，而面向移动终端的安全研究则主要集中在一般性的恶意软件检测，专门针对移动终端上钓鱼恶意应用软件检测的研究很少。钓鱼恶意应用软件与其他恶意应用相比，一个显著的特点是钓鱼应用会构造和目标应用非常相似的登录、支付等关键页面界面，来诱骗用户输入敏感信息。本发明基于这种相似性，提出了一种面向Android平台的钓鱼恶意软件检测方法。

发明内容

本发明提出了一种新型的基于图像相似性的Android平台钓鱼恶意应用检测方法，用于检测Android平台上通过仿造界面窃取用户敏感信息的钓鱼恶意移动应用软件。

本发明所述方法的输入为目标应用APP_T与待检测应用APP_D，目标为判定待检测应用APP_D是否为钓鱼类恶意应用软件。其中目标应用APP_T为银行支付应用等恶意软件想要模仿的应用软件，待检测应用APP_D为疑似模仿APP_T的应用软件。具体的技术方案如下：

步骤1，反编译目标应用APP_T，获取欲截图的活动组件名称集合Act_T；

步骤2，利用自动化界面遍历方法A，获取目标应用APP_T的活动组件名称集合Act_T中元素对应的界面截图，形成目标界面集合I_T；

步骤3，判断待检测应用APP_D是否与目标应用APP_T是同一程序的不同版本，如果是则停止检测APP_D；

步骤4，反编译待检测应用APP_D，获取全部活动组件名称集合Act_D；

步骤5，利用自动化界面遍历方法A，获取待检测应用APP_D的活动组件名称集合Act_D中元素对应的界面截图集合I_D；

步骤6，对集合I_T与集合I_D的任一元素I_Ti与I_Dj，利用图像感知哈希算法计算相似指数s_ij，生成相似矩阵，并以其中的最大值作为APP_T与APP_D的相似指数；

步骤7，如果APP_T与APP_D的相似指数超过预定义的相似阈值，则判定APP_D为恶意应用。

在步骤1中，欲截图的活动组件根据目标应用软件的具体情况选择，一般为目标应用中需要用户输入敏感信息的活动组件。

在步骤2中，自动化界面遍历方法A的输入为应用App与活动组件集合Act，具体的步骤包括：

步骤a-1，从应用App的主活动组件开始，记录当前活动组件名称，遍历当前活动组件上的按钮控件，并记录控件ID；

步骤a-2，模拟用户点击操作，依次触发按钮控件的单击动作，并记录已被触发的控件ID；

步骤a-3，监控Android系统中的活动组件栈中最顶层的活动组件名称，如果最顶层的活动组件名称属于集合Act且未被截图，则调用截屏操作接口，截取当前活动组件对应的界面图像；

步骤a-4，如果活动组件集合Act中的所有活动组件对应的界面图像都已获取，或所有记录的控件ID都已被触发，则停止，并输出活动组件集合Act中的所对应的界面图像存储位置组成的集合I，对于没有获得界面图像的活动组件，其在I集合中对应的值为字符串“NULL”。

本发明的有益效果：

现有的针对移动恶意软件的动态检测方法主要是监测目标软件有无调用系统敏感API、有无访问系统敏感存储区域数据或者通过污点追踪的方法检测软件有无敏感信息泄露的行为。但是对于钓鱼类的恶意应用软件，其往往是通过与用户的交互完成敏感信息的窃取，而非从敏感存储区域中获取，同时这些信息通过普通的HTTP协议即可上传，也不需要获取短信、摄像头等功能权限。因此，一般的移动恶意软件方法不一定适用于钓鱼类的恶意应用。本发明针对钓鱼移动应用通过构造和目标移动应用非常相似的登录或支付界面，来诱骗用户输入敏感信息这一核心特征，提出了一种面向Android平台的自动化的检测方法，利用图像感知哈希算法有效识别待检测应用软件是否存在模仿目标应用的界面，从而准确识别恶意软件的钓鱼行为。

附图说明

图1是本发明一种面向Android平台的钓鱼恶意应用检测方法的一实施例中总体流程示意图。

图2是本发明一种面向Android平台的钓鱼恶意应用检测方法的一实施例中预处理阶段1的流程示意图。

图3是本发明一种面向Android平台的钓鱼恶意应用检测方法的一实施例中预处理阶段2的流程示意图。

图4是本发明一种面向Android平台的钓鱼恶意应用检测方法的一实施例中检测阶段的流程示意图。

图5是本发明一种面向Android平台的钓鱼恶意应用检测方法的一实施例中自动化界面遍历方法A的流程示意图。

具体实施方式

下面参照附图对本发明一种面向Android平台的钓鱼恶意应用检测方法的一实施例进行详细描述，但本发明不局限于该实施方式。

如图1所示是本发明一种面向Android平台的钓鱼恶意应用检测方法的一实施例中总体流程示意图，其包括三个阶段：

预处理阶段1主要获取目标应用APP_T的指定界面截图集合I_T。

预处理阶段2主要完成的工作包括两点，一是识别待检测应用APP_D是否与目标应用软件APP_T是同一软件的不同版本，如果是则结束，二是获取待检测应用APP_D的所有界面截图集合I_D。

检测阶段，对于集合I_T与I_D中元素，利用图像哈希感知算法，计算两两相似指数，如果其中最大的相似指数超过阈值，则判定APP_D为恶意应用。

预处理阶段1的流程如图2所示，其具体的步骤为：

1-1.反编译目标应用APP_T，获得APP_T的AndroidManifest.xml文件与程序签名证书；

1-2.从APP_T的AndroidManifest.xml文件中获得欲截图的活动组件名称集合Act_T，一般选择APP_T中需要用户输入敏感信息的活动组件，如登陆活动组件；

1-3.将目标软件APP_T安装到Android模拟器中；

1-4.利用自动化界面遍历方法A，获取Act_T对应的界面截图集合I_T。

预处理阶段2的流程如图3所示，其具体的步骤为：

2-1.反编译目标应用APP_D，获得APP_D的AndroidManifest.xml文件与程序签名证书；

2-2.比较APP_D与APP_T的程序签名证书中的主体是否一致，如果一致，表明APP_D与APP_T是同一软件的不同版本，退出；

2-3.从APP_D的AndroidManifest.xml文件中获得全部的活动组件名称集合Act_D；

2-4.将目标应用APP_D安装到Android模拟器中；

2-5.利用自动化界面遍历方法A，获取Act_D对应的界面截图集合I_D。

检测阶段的流程如图4所示，其具体步骤为：

3-1.令最大相似指数s_max为0；

3-2.获取I_T中的下一个元素I_Ti，如果未获取到，转至步骤3-7；

3-3.获取I_D中的下一个元素I_Dj，如果未获取到，转至步骤3-2；

3-4.如果I_Dj是否为NULL，转至步骤3-3；

3-5.利用基于图像感知哈希算法，计算I_Ti与I_Dj的相似指数s_ij，一般可以采用基于DCT变换的图像感知哈希算法，相似指数s_ij等于“64-两个图像哈希值的汉明距离”；

3-6.如果s_ij＞s_max，则smax＝s_ij，转至步骤3-3；

3-7.如果s_max大于预定义的相似阈值S-THRESHOLD，则判定App_D是恶意的，否则判定App_D不是恶意的。

自动化界面遍历方法A的流程如图5所示，其输入为应用APP和待截取界面图像的活动组件名称集合ACT，其具体步骤为：

4-1.在Android模拟器中，启动应用APP；

4-2.遍历当前活动组件上的按钮控件，并记录控件ID及其对应的活动组件名称；

4-3.监控Android活动组件栈中最顶层的活动组件名称，如果当前最顶层活动组件名称在ACT集合中且未被截屏，转至步骤4-4，否则转至步骤4-7；

4-5.调用模拟器提供的截屏接口，截取当前界面图像，记录图像保存路径，加入集合I，并标注与ACT集合中元素的对应关系；

4-6.检查ACT中所有元素是否都被截屏，如果否，继续执行，如果是，转至4-11；

4-7.检查是否所有已记录的按钮控件ID都已被触发，如果否，继续执行，如果是，转至4-11；

4-8.检查当前活动组件上是否有未被触发的按钮控件，如果是，转至4-9，如果否，转至4-10；

4-9.模拟用户回退操作，回到上一个活动组件，并转至4-7；

4-10.模拟用户点击操作，选择当前活动组件上未被触发的一个按钮控件，触发其单击动作，并标记该控件ID为已触发，转至4-2；

4-11.对于ACT中未截取到图像的活动组件，标注其在I集合中对应的值为字符串“NULL”。

Claims

1.一种面向Android平台的钓鱼类恶意应用检测方法，其方法步骤包括：

1)反编译目标应用，获取欲截图的活动组件名称集合；

2)利用自动化界面遍历方法，获取目标应用的活动组件名称集合中元素对应的界面截图，形成目标界面截图集合；

3)判断待检测应用是否与目标应用为同一软件的不同版本，如果是，则停止检测；

4)反编译待检测应用，获取其全部活动组件名称集合；

5)利用自动化界面遍历方法A，获取待检测应用的活动组件名称集合中元素对应的界面截图，形成检测界面截图集合；

6)对目标界面截图集合与检测界面截图集合的所有元素，利用图像感知哈希算法计算两两相似指数，并以其中的最大值作为待检测应用与目标应用的相似指数；

7)判断待检测应用与目标应用的相似指数是否超过预定义的相似阈值，如果是，则判定待检测应用为恶意应用。

2.如权利要求1所述的面向Android平台的钓鱼类恶意应用检测方法，其特征在于，目标应用为恶意软件想要模仿的应用软件，待检测应用为疑似模仿目标应用的应用软件。

3.如权利要求1所述的面向Android平台的钓鱼类恶意应用检测方法，其特征在于，所述欲截图的活动组件根据目标应用的具体情况选择，一般为目标应用中需要用户输入敏感信息的活动组件。

4.如权利要求1所述的面向Android平台的钓鱼类恶意应用检测方法，特征在于，所述自动化界面遍历方法A的输入为应用App与活动组件名称集合Act，具体的步骤包括：

a-1，从应用App的主活动组件开始，记录当前活动组件名称，遍历当前活动组件上的按钮控件，并记录控件ID；

a-2，模拟用户点击操作，依次触发按钮控件的单击动作，并记录已被触发的控件ID；

a-3，监控Android系统中的活动组件栈中最顶层的活动组件名称，如果与活动组件名称属于集合Act且未被截图，则调用截屏操作接口，截取当前活动组件对应的界面图像；

a-4，如果活动组件集合Act中的所有活动组件对应的界面图像都已获取，或所有记录的控件ID都已被触发，则停止，并输出活动组件集合Act中的所对应的界面图像存储位置组成的集合I，对于没有获得界面图像的活动组件，其在I对应的值为字符串“NULL”。