CN109543408B - 一种恶意软件识别方法和系统 - Google Patents

一种恶意软件识别方法和系统 Download PDF

Info

Publication number
CN109543408B
CN109543408B CN201811265151.4A CN201811265151A CN109543408B CN 109543408 B CN109543408 B CN 109543408B CN 201811265151 A CN201811265151 A CN 201811265151A CN 109543408 B CN109543408 B CN 109543408B
Authority
CN
China
Prior art keywords
comparison
feature
software
malicious
code
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201811265151.4A
Other languages
English (en)
Other versions
CN109543408A (zh
Inventor
胡铁
杨颖�
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Aspire Digital Technologies Shenzhen Co Ltd
Original Assignee
Aspire Digital Technologies Shenzhen Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Aspire Digital Technologies Shenzhen Co Ltd filed Critical Aspire Digital Technologies Shenzhen Co Ltd
Priority to CN201811265151.4A priority Critical patent/CN109543408B/zh
Publication of CN109543408A publication Critical patent/CN109543408A/zh
Application granted granted Critical
Publication of CN109543408B publication Critical patent/CN109543408B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/563—Static detection by source code analysis
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/03—Indexing scheme relating to G06F21/50, monitoring users, programs or devices to maintain the integrity of platforms
    • G06F2221/033—Test or assess software

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Storage Device Security (AREA)
  • Stored Programmes (AREA)

Abstract

本发明公开了一种恶意软件识别方法和系统，方法包括：解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从smali代码中提取对应的特征编码，计算特征编码的哈希值以生成特征串；将特征串与对比集合中的对比特征串集合进行交叉对比，对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；计算对比中标的比例，当比例大于阈值则判断待检测软件为恶意软件。系统用于执行方法。通过根据路径层级/类名/方法名的提取规则合适的特征串，根据特征串和对比特征串集合的中标比例以判断是否属于恶意软件，能够准确判断软件是否类似现有恶意软件或者属于恶意软件的变异。

Description

一种恶意软件识别方法和系统
技术领域
本发明涉及手机安全技术领域，尤其是一种恶意软件识别方法和系统。
背景技术
作为数据处理、传输的终端，软件的安全性的要求不言而喻，现有的安全方案包括1、利用文件签名方案和文件哈希值校验进行恶意软件的检测，适用于已知恶意软件的查杀，或者识别相同开发者发布的恶意软件；2、分析程序的基本块并得到其流程图，将API全路径哈希编码值与其连接关系组成的图指纹作为恶意行为特征，然后利用子图同构理论进行恶意软件的行为匹配；这两种方案的缺点在于：利用文件签名方案进行恶意软件检测，针对恶意软件二次打包或进行签名替换会导致方案1的失败；而方案2需分析程序的基本块并得到其流程图，将API全路径哈希编码值与其连接关系组成的图指纹作为恶意行为特征，如果API路径发生细微变化，或者恶意软件中增加防逆向代码保护措施导致流程图稍不准确，现有方案就无法有效识别。
发明内容
本发明旨在至少在一定程度上解决相关技术中的技术问题之一。为此，本发明的一个目的是提供一种恶意软件识别方法和系统。
本发明所采用的技术方案是：一种恶意软件识别方法，包括步骤：S1、解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从所述smali代码中提取对应的特征编码，计算所述特征编码的哈希值以生成特征串；S2、将所述特征串与对比集合中的对比特征串集合进行交叉对比，所述对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；S3、计算对比中标的比例，当所述比例大于阈值则判断所述待检测软件为恶意软件。
优选的，还包括步骤S0：采集已有的恶意软件，解析所述恶意软件以获取行为逻辑代码，根据预设的提取规则从所述行为逻辑代码中提取对应的特征编码，计算特征编码的哈希值以生成对比特征串，根据行为逻辑代码的目的区别所述对比特征串为对比特征串集合。
优选的，所述计算对比中标的比例的具体步骤包括：记录所述特征串与对比特征串集合的匹配个数M，对应的，对比中标的比例
Figure GDA0003140861730000021
本发明所采用的技术方案是：一种恶意软件识别系统，包括：处理模块，用于解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从所述smali代码中提取对应的特征编码，计算所述特征编码的哈希值以生成特征串；对比模块，用于将所述特征串与对比集合中的对比特征串集合进行交叉对比，所述对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；判断模块，用于计算对比中标的比例，当所述比例大于阈值则判断所述待检测软件为恶意软件。
优选的，还包括预处理模块，用于采集已有的恶意软件，解析所述恶意软件以获取行为逻辑代码，根据预设的提取规则从所述行为逻辑代码中提取对应的特征编码，计算特征编码的哈希值以生成对比特征串，根据行为逻辑代码的目的区别所述对比特征串为对比特征串集合。
优选的，所述计算对比中标的比例的具体步骤包括：记录所述特征串与对比特征串集合的匹配个数M，对应的，对比中标的比例
Figure GDA0003140861730000022
本发明的有益效果是：
本发明通过根据路径层级/类名/方法名的提取规则合适的特征串，根据特征串和对比特征串集合的中标比例以判断是否属于恶意软件，能够准确判断软件是否类似现有恶意软件或者属于恶意软件的变异。
附图说明
图1是本发明的一种恶意软件识别方法的示意图；
图2是本发明的恶意软件判断流程图；
图3是本发明一种恶意软件识别系统的示意图。
具体实施方式
需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。
实施例1,
本实施例的目的在于说明现有技术的缺点和本发明的解决思路。
恶意软件变种的显著特征是恶意行为的实现代码通常不会改变(即类名、方法名和逻辑不变)，改变的是代码路径(即恶意代码的存放地址)，只要路径稍作改动就可以快速发布多个恶意软件变种。恶意软件识别如果仅根据文件的哈希值进行查杀，或根据文件全路径进行比对，当恶意软件稍作变种，查杀就会失效。因此本实施例提供如图1所示的一种恶意软件识别方法，包括步骤：S0：采集已有的恶意软件，解析所述恶意软件以获取行为逻辑代码，根据预设的提取规则从所述行为逻辑代码中提取对应的特征编码，计算特征编码的哈希值以生成对比特征串，根据行为逻辑代码的目的区别所述对比特征串为对比特征串集合；S1、解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从所述smali代码中提取对应的特征编码，计算所述特征编码的哈希值以生成特征串；S2、将所述特征串与对比集合中的对比特征串集合进行交叉对比，所述对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；S3、计算对比中标的比例，当所述比例大于阈值则判断所述待检测软件为恶意软件。其中，具体的步骤包括：
S0：获取/采集已有的恶意软件(具体识别方式包括人工标示具体的软件，或者基于安全软件供应商提供的异常软件的数据库)，采用逆向工程的方式解析这些已有的恶意软件，获得smali代码；在smali代码中进行分析，获取典型恶意行为代码；定位恶意行为代码，提取“路径/类名/方法名”；将“路径/类名/方法名”转换为包含“路径层级+类名+方法名”的原始特征码/特征编码(例如路径层级：第一层路径PATH_L1、第二层路径PATH_L2，n层路径就是PATH_Ln，则对应的一个恶意代码(即原始特征码)的具体实施例子就可以为PATH_L1/PATH_L2/MainService/.method public onCreate()V)；对原始特征码计算哈希值后生成对比特征串(5EF20B2FA655F6C01BFEFFF5CADF36A7)；将恶意代码的对比特征串集合在一起，形成此恶意软件的特征基准集(即对比特征串集合)，同时根据不同的恶意行为(例如涉及启动支付软件的归为一类，发送短信的归为一类，具体可以根据实际需要由使用者自行设置)将不同类型的对比特征串集合以形成包括X个(不限定个数)用于作为判断软件恶意与否的基准的对比特征串集合，不同的对比特征串集合组成对比合集。
S1：具体类似于S0；
S2：如上述S0所述，对比特征串集合包括若干个对比特征串，因为针对不同行为逻辑(恶意行为及其目的)，其代码也会显著不同，而本实施出于防止误判的可能性，需要多次进行交叉对比，即将待测试的软件所提取的特征串和对比特征串集合中的全部子集合(即实际的对比特征串)进行比对，当特征串和对比特征串A/B/C/D···进行一一对比，对比结果一致则为中标(即特征串和对比特征串一致)，当中标的比例大于一定的阈值时，则说明这个特征串对应的软件和恶意软件很相似，则判断其为恶意软件，具体的对比中标的比例
Figure GDA0003140861730000041
实施例2
本实施例用于说明优选的方案。
实施例1所描述的对比合集，其倾向于说明同一恶意行为的软件的处理方式，执行一定行为的软件，其具体的实施步骤也包括很多个小步骤，这些小步骤所对应的对比特征串属于实施例1所描述的情况内。
而实际上发明需要面对的是多种恶意行为的软件的判断，即一开始是无法判断那一个才是最合适的对比特征串集合(即金融盗窃有一个对比特征串集合，信息窃取有一个对比特征串集合)，两种恶意行为对应软件的逻辑行为的区别较大；而本实施例倾向于解释这种情况下的本发明的解决思路。
本实施例提供如图2所示的恶意软件判断流程：
S01、构建基于“路径层级+类名+方法名”的对比特征串合集(包括多种恶意行为对应的对比特征串合集，例如存在4种)；
S02、解析待测试软件的smali代码以获取特征串；
S03、根据特征串和对比特征串合集的中标比例执行步骤S04或者步骤S05或步骤S06；
S04、当中标比例小于90％则认为其不属于当前的对比特征串合集，则更换步骤S03中的对比特征串合集并重新执行步骤S03；
S05、当中标比例大于90％则认为属于当前的对比特征串合集，则标记该待测试软件为恶意软件(更进一步的，如果该对比特征串合集为A1合集，则可以标记该待测试软件属于A1类型的恶意软件)，执行步骤S07；
S06、当所有的对比特征串合集的中标比例都小于90％，则判断待检测的软件属于正常软件，执行步骤S07；
S07、结束。
实施例3
本实施例目的是提供如图3所示的一种恶意软件识别系统，包括：处理模块1，用于解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从所述smali代码中提取对应的特征编码，计算所述特征编码的哈希值以生成特征串；对比模块2，用于将所述特征串与对比集合中的对比特征串集合进行交叉对比，所述对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；判断模块3，用于计算对比中标的比例，当所述比例大于阈值则判断所述待检测软件为恶意软件，其中，处理模块1连接对比模块2，对比模块2连接判断模块3。
以上是对本发明的较佳实施进行了具体说明，但本发明创造并不限于所述实施例，熟悉本领域的技术人员在不违背本发明精神的前提下还可做出种种的等同变形或替换，这些等同的变形或替换均包含在本申请权利要求所限定的范围内。

Claims (2)

1.一种恶意软件识别方法，其特征在于，包括步骤：
S1、解析待检测软件的dex文件的smali代码，根据路径层级和类名和方法名的提取规则从所述smali代码中提取对应的特征编码，计算所述特征编码的哈希值以生成特征串；
S2、将所述特征串与对比集合中的对比特征串集合进行交叉对比，所述对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；
S3、计算对比中标的比例，当所述比例大于阈值则判断所述待检测软件为恶意软件；
其中，所述恶意软件识别方法还包括步骤：S0、采集已有的恶意软件，解析所述恶意软件以获取行为逻辑代码，根据预设的提取规则从所述行为逻辑代码中提取对应的特征编码，计算特征编码的哈希值以生成对比特征串，根据行为逻辑代码的目的区别所述对比特征串为对比特征串集合；
所述计算对比中标的比例包括：记录所述特征串与所述对比特征串集合的匹配个数M，对应的，对比中标的比例
Figure FDA0003195438570000011
2.一种恶意软件识别系统，其特征在于，包括：
预处理模块，用于采集已有的恶意软件，解析所述恶意软件以获取行为逻辑代码，根据预设的提取规则从所述行为逻辑代码中提取对应的特征编码，计算特征编码的哈希值以生成对比特征串，根据行为逻辑代码的目的区别所述对比特征串为对比特征串集合；
处理模块，用于解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从所述smali代码中提取对应的特征编码，计算所述特征编码的哈希值以生成特征串；
对比模块，用于将所述特征串与对比集合中的对比特征串集合进行交叉对比，所述对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；
判断模块，用于计算对比中标的比例，当所述比例大于阈值则判断所述待检测软件为恶意软件；其中，所述计算对比中标的比例包括：记录所述特征串与对比特征串集合的匹配个数M，对应的，对比中标的比例
Figure FDA0003195438570000012
CN201811265151.4A 2018-10-29 2018-10-29 一种恶意软件识别方法和系统 Active CN109543408B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201811265151.4A CN109543408B (zh) 2018-10-29 2018-10-29 一种恶意软件识别方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201811265151.4A CN109543408B (zh) 2018-10-29 2018-10-29 一种恶意软件识别方法和系统

Publications (2)

Publication Number Publication Date
CN109543408A CN109543408A (zh) 2019-03-29
CN109543408B true CN109543408B (zh) 2021-10-12

Family

ID=65845667

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201811265151.4A Active CN109543408B (zh) 2018-10-29 2018-10-29 一种恶意软件识别方法和系统

Country Status (1)

Country Link
CN (1) CN109543408B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11886584B2 (en) * 2021-05-28 2024-01-30 AO Kaspersky Lab System and method for detecting potentially malicious changes in applications

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110399729B (zh) * 2019-04-11 2021-04-27 国家计算机网络与信息安全管理中心 一种基于组件特征权重的二进制软件分析方法
US11436331B2 (en) 2020-01-16 2022-09-06 AVAST Software s.r.o. Similarity hash for android executables
CN111310184A (zh) * 2020-03-05 2020-06-19 北京安码科技有限公司 基于rich头部标识的pe文件特征码生成方法、系统、电子设备及存储介质
CN114172703A (zh) * 2021-11-26 2022-03-11 杭州安恒信息技术股份有限公司 一种恶意软件识别方法、装置、介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2199941A2 (en) * 2008-12-18 2010-06-23 Symantec Corporation Methods and systems for detecting malware
CN102938040A (zh) * 2012-09-29 2013-02-20 中兴通讯股份有限公司 Android恶意应用程序检测方法、系统及设备
CN104021346A (zh) * 2014-06-06 2014-09-03 东南大学 基于程序流程图的Android恶意软件检测方法
CN104252595A (zh) * 2013-06-28 2014-12-31 贝壳网际（北京）安全技术有限公司 应用程序的分析方法、装置和客户端
CN106933642A (zh) * 2015-12-29 2017-07-07 阿里巴巴集团控股有限公司 应用程序的处理方法及处理装置

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2199941A2 (en) * 2008-12-18 2010-06-23 Symantec Corporation Methods and systems for detecting malware
CN102938040A (zh) * 2012-09-29 2013-02-20 中兴通讯股份有限公司 Android恶意应用程序检测方法、系统及设备
CN104252595A (zh) * 2013-06-28 2014-12-31 贝壳网际（北京）安全技术有限公司 应用程序的分析方法、装置和客户端
CN104021346A (zh) * 2014-06-06 2014-09-03 东南大学 基于程序流程图的Android恶意软件检测方法
CN106933642A (zh) * 2015-12-29 2017-07-07 阿里巴巴集团控股有限公司 应用程序的处理方法及处理装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11886584B2 (en) * 2021-05-28 2024-01-30 AO Kaspersky Lab System and method for detecting potentially malicious changes in applications

Also Published As

Publication number Publication date
CN109543408A (zh) 2019-03-29

Similar Documents

Publication Publication Date Title
CN109543408B (zh) 一种恶意软件识别方法和系统
CN109816397B (zh) 一种欺诈判别方法、装置及存储介质
CN111401416B (zh) 异常网站的识别方法、装置和异常对抗行为的识别方法
CN110263538B (zh) 一种基于系统行为序列的恶意代码检测方法
CN104601556A (zh) 一种面向web的攻击检测方法及系统
CN103297267B (zh) 一种网络行为的风险评估方法和系统
CN106713579B (zh) 一种电话号码识别方法及装置
CN107016298B (zh) 一种网页篡改监测方法及装置
CN113032792A (zh) 系统业务漏洞检测方法、系统、设备及存储介质
CN111209317A (zh) 一种知识图谱异常社区检测方法及装置
CN109815702B (zh) 软件行为的安全检测方法、装置及设备
CN104598595A (zh) 欺诈网页检测方法及相应装置
CN106998336B (zh) 渠道中的用户检测方法和装置
CN109242658B (zh) 可疑交易报告生成方法、系统、计算机设备和存储介质
CN106301979B (zh) 检测异常渠道的方法和系统
CN111783073A (zh) 黑产识别方法、装置及可读存储介质
CN110162973A (zh) 一种Webshell文件检测方法及装置
CN108171057B (zh) 基于特征匹配的Android平台恶意软件检测方法
KR102192196B1 (ko) Ai 기반 머신러닝 교차 검증 기법을 활용한 악성코드 탐지 장치 및 방법
CN116720197A (zh) 一种对漏洞优先级排列的方法及装置
CN114817518B (zh) 基于大数据档案识别的证照办理方法、系统及介质
CN115688107A (zh) 一种涉诈app检测系统和方法
CN111325580B (zh) 用户账号管理方法、装置、设备及存储介质
CN110570301A (zh) 风险识别方法、装置、设备及介质
CN115935359B (zh) 一种文件处理方法、装置、计算机设备及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information
CB02 Change of applicant information

Address after: 518000 w601, Shenzhen Hong Kong industry university research base, 015 Gaoxin South 7th Road, high tech Zone community, Yuehai street, Nanshan District, Shenzhen City, Guangdong Province

Applicant after: ASPIRE DIGITAL TECHNOLOGIES (SHENZHEN) Co.,Ltd.

Address before: 518000 south wing, 6th floor, west block, Shenzhen Hong Kong industry university research base building, South District, high tech Industrial Park, Nanshan District, Shenzhen City, Guangdong Province

Applicant before: ASPIRE DIGITAL TECHNOLOGIES (SHENZHEN) Co.,Ltd.

GR01 Patent grant
GR01 Patent grant