CN115221516B - 恶意应用程序识别方法及装置、存储介质、电子设备 - Google Patents
恶意应用程序识别方法及装置、存储介质、电子设备 Download PDFInfo
- Publication number
- CN115221516B CN115221516B CN202210828418.6A CN202210828418A CN115221516B CN 115221516 B CN115221516 B CN 115221516B CN 202210828418 A CN202210828418 A CN 202210828418A CN 115221516 B CN115221516 B CN 115221516B
- Authority
- CN
- China
- Prior art keywords
- application program
- malicious application
- identified
- malicious
- application
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 59
- 239000013598 vector Substances 0.000 claims abstract description 80
- 238000012216 screening Methods 0.000 claims abstract description 14
- 238000012549 training Methods 0.000 claims description 30
- 230000015654 memory Effects 0.000 claims description 12
- 238000012545 processing Methods 0.000 claims description 12
- 238000000605 extraction Methods 0.000 claims description 8
- 230000006870 function Effects 0.000 claims description 6
- 230000004044 response Effects 0.000 claims description 4
- 238000004590 computer program Methods 0.000 claims description 3
- 230000008569 process Effects 0.000 description 10
- 238000012360 testing method Methods 0.000 description 8
- 238000010586 diagram Methods 0.000 description 7
- 238000004458 analytical method Methods 0.000 description 5
- 238000004422 calculation algorithm Methods 0.000 description 5
- 238000010801 machine learning Methods 0.000 description 5
- 230000003068 static effect Effects 0.000 description 5
- 238000005516 engineering process Methods 0.000 description 4
- 238000013528 artificial neural network Methods 0.000 description 3
- 238000003058 natural language processing Methods 0.000 description 3
- 230000006978 adaptation Effects 0.000 description 2
- 238000013527 convolutional neural network Methods 0.000 description 2
- 238000011161 development Methods 0.000 description 2
- 230000018109 developmental process Effects 0.000 description 2
- 230000003993 interaction Effects 0.000 description 2
- 230000003287 optical effect Effects 0.000 description 2
- 230000000306 recurrent effect Effects 0.000 description 2
- 230000011218 segmentation Effects 0.000 description 2
- 230000009471 action Effects 0.000 description 1
- 230000003044 adaptive effect Effects 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 230000006835 compression Effects 0.000 description 1
- 238000007906 compression Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 230000002708 enhancing effect Effects 0.000 description 1
- 238000011156 evaluation Methods 0.000 description 1
- 239000002360 explosive Substances 0.000 description 1
- 239000000835 fiber Substances 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 1
- 239000013307 optical fiber Substances 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000008092 positive effect Effects 0.000 description 1
- 230000003252 repetitive effect Effects 0.000 description 1
- 230000000717 retained effect Effects 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 230000006403 short-term memory Effects 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/562—Static detection
- G06F21/563—Static detection by source code analysis
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N3/00—Computing arrangements based on biological models
- G06N3/02—Neural networks
- G06N3/08—Learning methods
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Health & Medical Sciences (AREA)
- Computer Hardware Design (AREA)
- Health & Medical Sciences (AREA)
- General Physics & Mathematics (AREA)
- Biomedical Technology (AREA)
- Life Sciences & Earth Sciences (AREA)
- Artificial Intelligence (AREA)
- Virology (AREA)
- Biophysics (AREA)
- Computational Linguistics (AREA)
- Data Mining & Analysis (AREA)
- Evolutionary Computation (AREA)
- Molecular Biology (AREA)
- Computing Systems (AREA)
- Mathematical Physics (AREA)
- Stored Programmes (AREA)
Abstract
本公开涉及网络安全技术领域，提供了一种恶意应用程序识别方法、恶意应用程序识别装置、计算机存储介质、电子设备，其中，恶意应用程序识别方法包括：从待识别应用程序的源代码中提取Dalvik指令集，并对所述Dalvik指令集进行筛选，得到有效Dalvik指令集；提取所述有效Dalvik指令集对应的特征向量；将所述特征向量输入至训练好的恶意应用程序识别模型中，根据所述恶意应用程序识别模型的输出，得到所述待识别应用程序的识别结果；所述恶意应用程序识别模型用于识别所述待识别应用程序是否为所述恶意应用程序。本公开中的恶意应用程序识别方法能够提升识别效率，保障用户数据安全性。
Description
技术领域
本公开涉及网络安全技术领域，特别涉及一种恶意应用程序识别方法、恶意应用程序识别装置、计算机存储介质及电子设备。
背景技术
随着互联网及计算机技术的逐步发展，安卓软件的开发呈现爆发式增长。
相关技术中，一般是通过将待识别应用程序与预设的恶意应用程序样本库中的样本进行相似度比对的方式来对其进行识别，然而，上述方案识别效率及准确率较低。
鉴于此，本领域亟需开发一种新的恶意应用程序识别方法及装置。
需要说明的是，上述背景技术部分公开的信息仅用于加强对本公开的背景的理解。
发明内容
本公开的目的在于提供一种恶意应用程序识别方法、恶意应用程序识别装置、计算机存储介质及电子设备，进而至少在一定程度上克服由于相关技术的限制而导致的识别效率及准确率较低的技术问题。
本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。
根据本公开的第一方面，提供一种恶意应用程序识别方法，包括：从待识别应用程序的源代码中提取Dalvik指令集，并对所述Dalvik指令集进行筛选，得到有效Dalvik指令集；提取所述有效Dalvik指令集对应的特征向量；将所述特征向量输入至训练好的恶意应用程序识别模型中，根据所述恶意应用程序识别模型的输出，得到所述待识别应用程序的识别结果；所述恶意应用程序识别模型用于识别所述待识别应用程序是否为所述恶意应用程序。
在本公开的示例性实施例中，所述对所述Dalvik指令集进行筛选，得到有效Dalvik指令集，包括：筛选所述Dalvik指令集中的操作指令；所述操作指令包括方法调用指令、对象操作指令和字段访问指令；根据筛选出来的操作指令，生成所述有效Dalvik指令集。
在本公开的示例性实施例中，在得到所述待识别应用程序的识别结果之后，所述方法还包括：响应于所述识别结果为所述待识别应用程序为恶意应用程序，根据所述特征向量生成所述待识别应用程序对应的摘要信息；所述摘要信息用于描述所述待识别应用程序的功能；基于所述摘要信息对所述待识别应用程序进行聚类，得到所述待识别应用程序所属的恶意应用程序集；将所述待识别应用程序添加至其所属的恶意应用程序集中。
在本公开的示例性实施例中，所述根据所述特征向量生成所述待识别应用程序对应的摘要信息，包括：对所述特征向量进行切分，得到多个子向量；对所述多个子向量和所述特征向量的长度进行哈希处理，得到哈希特征；利用训练好的深度编码器对所述哈希特征进行编码，得到所述待识别应用程序的摘要信息。
在本公开的示例性实施例中，所述基于所述摘要信息对所述待识别应用程序进行聚类，得到所述待识别应用程序所属的恶意应用程序集，包括：从预设的至少两个恶意应用程序集中分别获取每个恶意应用程序集的中心样本；获取至少两个所述中心样本对应的至少两个目标摘要信息；计算所述摘要信息与所述至少两个目标摘要信息之间的至少两个相似度；从所述至少两个相似度中选取数值最小的相似度，确定所述数值最小的相似度所对应的中心样本所属的目标恶意应用程序集；将所述目标恶意应用程序集确定为所述待识别应用程序所属的恶意应用程序集。
在本公开的示例性实施例中，所述基于所述摘要信息对所述待识别应用程序进行聚类，得到所述待识别应用程序所属的恶意应用程序集，包括：获取预设的至少两个恶意应用程序集中所包含的多个样本分别对应的目标摘要信息；计算所述摘要信息与所述多个目标摘要信息之间的多个相似度；从所述多个相似度中选取数值最小的相似度，确定所述数值最小的相似度所对应的中心样本所属的恶意应用程序集；将所述目标恶意应用程序集确定为所述待识别应用程序所属的恶意应用程序集。
在本公开的示例性实施例中，在得到所述待识别应用程序的识别结果之后，所述方法还包括：响应于所述识别结果为所述待识别应用程序为恶意应用程序，获取所述识别结果的置信度；响应于所述置信度大于预设置信度阈值，将所述待识别应用程序添加至所述恶意应用程序识别模型的训练样本集中，以更新所述训练样本集；根据更新后的所述训练样本集对所述恶意应用程序识别模型进行再次训练，以更新所述恶意应用程序识别模型。
根据本公开的第二方面，提供一种恶意应用程序识别装置，包括：第一提取模块，用于从待识别应用程序的源代码中提取Dalvik指令集，并对所述Dalvik指令集进行筛选，得到有效Dalvik指令集；第二提取模块，用于提取所述有效Dalvik指令集对应的特征向量；恶意应用程序识别模块，用于将所述特征向量输入至训练好的恶意应用程序识别模型中，根据所述恶意应用程序识别模型的输出，得到所述待识别应用程序的识别结果；所述恶意应用程序识别模型用于识别所述待识别应用程序是否为所述恶意应用程序。
根据本公开的第三方面，提供一种计算机存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现上述第一方面所述的恶意应用程序识别方法。
根据本公开的第四方面，提供一种电子设备，包括：处理器；以及存储器，用于存储所述处理器的可执行指令；其中，所述处理器配置为经由执行所述可执行指令来执行上述第一方面所述的恶意应用程序识别方法。
由上述技术方案可知，本公开示例性实施例中的恶意应用程序识别方法、恶意应用程序识别装置、计算机存储介质及电子设备至少具备以下优点和积极效果：
在本公开的一些实施例所提供的技术方案中，一方面，从待识别应用程序的源代码中提取Dalvik指令集，并基于该Dalvik指令集进行后续的识别过程，能够在无需真实运行该待识别应用程序的情况下，仅需通过静态分析的方式便可实现对该待识别应用程序的识别，避免了恶意应用程序对用户数据的非法获取等问题，保证了用户数据的安全性。进一步的，对Dalvik指令集进行筛选，得到有效Dalvik指令集，能够对其中的无效指令进行过滤，简化后续识别过程中需要处理的数据量，从而提升后续恶意应用程序的识别效率。另一方面，提取有效Dalvik指令集对应的特征向量，将特征向量输入至训练好的恶意应用程序识别模型中，根据恶意应用程序识别模型的输出，得到待识别应用程序的识别结果，能够借助模型快速输出识别结果，提升识别准确度和识别效率。
本公开应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本公开。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。显而易见地，下面描述中的附图仅仅是本公开的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1示出相关技术中识别恶意应用程序的流程示意图；
图2示出本公开实施例中恶意应用程序识别方法的流程示意图；
图3示出本公开实施例中如何对恶意应用程序进行归类的流程示意图；
图4示出本公开实施例中根据特征向量生成待识别应用程序对应的摘要信息的流程示意图；
图5示出本公开实施例中基于上述待识别应用程序的摘要信息和每个恶意应用程序集的中心样本所对应的摘要信息，确定出该待识别应用程序所属的恶意应用程序集的流程示意图；
图6示出本公开实施例中基于上述待识别应用程序的摘要信息和每个恶意应用程序集中的多个样本所对应的目标摘要信息，确定出该待识别应用程序所属的恶意应用程序集的流程示意图；
图7示出本公开实施例中恶意应用程序识别方法的整体流程图；
图8示出本公开示例性实施例中恶意应用程序识别装置的结构示意图；
图9示出本公开示例性实施例中电子设备的结构示意图。
具体实施方式
现在将参考附图更全面地描述示例实施方式。然而，示例实施方式能够以多种形式实施，且不应被理解为限于在此阐述的范例；相反，提供这些实施方式使得本公开将更加全面和完整，并将示例实施方式的构思全面地传达给本领域的技术人员。所描述的特征、结构或特性可以以任何合适的方式结合在一个或更多实施方式中。在下面的描述中，提供许多具体细节从而给出对本公开的实施方式的充分理解。然而，本领域技术人员将意识到，可以实践本公开的技术方案而省略所述特定细节中的一个或更多，或者可以采用其它的方法、组元、装置、步骤等。在其它情况下，不详细示出或描述公知技术方案以避免喧宾夺主而使得本公开的各方面变得模糊。
本说明书中使用用语“一个”、“一”、“该”和“所述”用以表示存在一个或多个要素/组成部分/等；用语“包括”和“具有”用以表示开放式的包括在内的意思并且是指除了列出的要素/组成部分/等之外还可存在另外的要素/组成部分/等；用语“第一”和“第二”等仅作为标记使用，不是对其对象的数量限制。
此外，附图仅为本公开的示意性图解，并非一定是按比例绘制。图中相同的附图标记表示相同或类似的部分，因而将省略对它们的重复描述。附图中所示的一些方框图是功能实体，不一定必须与物理或逻辑上独立的实体相对应。
恶意应用程序是旨在恶意破坏网络或用户的计算机、手机、平板电脑或其他设备的正常运行或对其造成损害的代码。恶意应用程序种类繁多，包括但不限于蠕虫、特洛伊木马、间谍软件、广告软件、流氓软件和恐吓软件和键盘记录程序。
参考图1，图1示出相关技术中识别恶意应用程序的流程示意图，包含步骤S101-步骤S107：
在步骤S101中，获取待识别应用程序的APK(Android application package，Android应用程序包，是Android操作系统使用的一种应用程序包文件格式，用于分发和安装移动应用及中间件)；
在步骤S102中，从APK中提取控制流图、数据流图和程序依赖图；
在步骤S103中，根据上述控制流图、数据流图和程序依赖图计算待识别应用程序与恶意应用程序样本库之间的相似度；
在步骤S104中，从APK中提取用户交互、API((Application Program Interface，应用程序编程接口)调用和权限请求特征；
在步骤S105中，根据上述用户交互、API调用和权限请求特征，利用分类器识别上述待识别应用程序是否为恶意应用程序；
在步骤S106中，根据步骤S105中分类器输出的结果结合步骤S103 中计算出的相似度综合判断待识别应用程序是否为恶意应用程序；
在步骤S107中，输出识别结果。
由此可见，上述方案识别步骤繁琐，识别效率低下，并且，识别结果的准确度一定程度上取决于上述恶意应用程序样本库的样本广泛性，在上述恶意应用程序样本库中样本数目较少的情况下，可能导致识别结果不准确的问题。
在本公开的实施例中，首先提供了一种恶意应用程序识别方法，至少在一定程度上克服相关技术中识别效率和准确率较低的缺陷。
图2示出本公开实施例中恶意应用程序识别方法的流程示意图，该恶意应用程序识别方法的执行主体可以是对恶意应用程序进行识别的服务器。
参考图2，根据本公开的一个实施例的恶意应用程序识别方法包括以下步骤：
步骤S210，从待识别应用程序的源代码中提取Dalvik指令集，并对 Dalvik指令集进行筛选，得到有效Dalvik指令集；
步骤S220，提取有效Dalvik指令集对应的特征向量；
步骤S230，将特征向量输入至训练好的恶意应用程序识别模型中，根据恶意应用程序识别模型的输出，得到待识别应用程序的识别结果；恶意应用程序识别模型用于识别待识别应用程序是否为恶意应用程序。
在图2所示实施例所提供的技术方案中，一方面，从待识别应用程序的源代码中提取Dalvik指令集，并基于该Dalvik指令集进行后续的识别过程，能够在无需真实运行该待识别应用程序的情况下，仅需通过静态分析的方式便可实现对该待识别应用程序的识别，避免了恶意应用程序对用户数据的非法获取等问题，保证了用户数据的安全性。进一步的，对Dalvik 指令集进行筛选，得到有效Dalvik指令集，能够对其中的无效指令进行过滤，简化后续识别过程中需要处理的数据量，从而提升后续恶意应用程序的识别效率。另一方面，提取有效Dalvik指令集对应的特征向量，将特征向量输入至训练好的恶意应用程序识别模型中，根据恶意应用程序识别模型的输出，得到待识别应用程序的识别结果，能够借助模型快速输出识别结果，提升识别准确度和识别效率。
以下对图2中的各个步骤的具体实现过程进行详细阐述：
需要说明的是，在步骤S210之前，可以预先训练恶意应用程序识别模型，具体的，可以预先构建训练样本集Xtrain和测试集Xvalid，训练样本集中可以包括海量的训练样本(该训练样本可以是恶意应用程序，或者，也可以是非恶意应用程序，可以根据实际情况自行设定，本公开对此不作特殊限定)，训练样本集用于模型的迭代训练。测试集Xvalid 中可以包括多个测试样本及每个测试样本对应的标签(即该测试样本是否为恶意应用程序的标记)，测试集用于对训练好的模型进行评估，以评估模型是否达到可用标准。
示例性的，在构建好训练样本集之后，可以利用上述训练样本集对待训练机器学习模型进行迭代训练，直至上述待训练机器学习模型的模型参数趋于收敛，终止训练，得到恶意应用程序识别模型。其中，上述待训练机器学习模型可以是LSTM模型(Long Short-Term Memory，长短期记忆人工神经网络)，示例性的，也可以是CNN(Convolutional NeuralNetwork，卷积神经网络)、RNN(Recurrent Neural Network，循环神经网络)、DBN(DeepBelief Network，深度信念网络)等网络模型，可以根据实际情况自行设定，本公开对此不作特殊限定。
具体的，在每次训练过程中，可以先从每个训练样本的APK中提取 Dalvik指令集，Dalvik指令集中大多数指令用到了寄存器作为目的操作数或源操作数，示例性的，Dalvik指令集可以包含数据操作指令、数据定义指令、跳转指令、比较指令、字段操作指令等。
其中，Dalvik是安卓平台的虚拟机，它可以支持已转换为.dex(即 DalvikExecutable)格式的Java应用程序的运行，.dex格式是专为Dalvik 设计的一种压缩格式，适合内存和处理器速度有限的系统。Dalvik经过优化，允许在有限的内存中同时运行多个虚拟机的实例，并且每一个 Dalvik应用作为一个独立的Linux进程执行。
本公开中通过从源代码中提取Dalvik指令集，并且基于该Dalvik指令集进行后续的恶意应用程序识别过程，能够在无需真实运行该待识别应用程序的情况下，仅需通过静态分析的方式便可实现对该待识别应用程序的识别，避免了恶意应用程序对用户数据的非法获取等问题，保证了用户数据的安全性。
在提取到上述Dalvik指令集之后，可以对上述Dalvik指令集进行筛选，仅保留其中涉及方法调用、对象操作和字段访问的相关操作指令(例如：方法序列、参数列表、返回类型、package.classname.methodname和 package.classname等)，以得到有效Dalvik指令集。示例性的，得到的有效指令集可以是一个多序列的集合P，该集合P中包含多个序列{S1,S2,..,Sh}，而每个序列可以包含多个指令对象{I1,I2,..,Ii}。
通过从Dalvik指令集中筛选得到有效Dalvik指令集，能够对其中的无效指令进行过滤，简化后续识别过程中需要处理的数据量，从而提升后续恶意应用程序的识别效率。
在筛选得到有效Dalvik指令集之后，可以提取有效Dalvik指令集对应的特征向量，示例性的，可以采用NLP(Natural Language Processing，自然语言处理)的word2vec技术以无监督的方式学习潜在表示，得到上述Dalvik指令集对应的特征向量。
在得到特征向量之后，可以将特征向量输入待训练的机器学习模型中，对上述待训练机器学习模型进行迭代训练，直至得到上述恶意应用程序识别模型。
在得到恶意应用程序识别模型之后，可以利用上述测试集中的测试样本对恶意应用程序识别模型进行评估，评估通过之后即可得到训练好的恶意应用程序识别模型。
在训练好恶意应用程序识别模型之后，可以利用上述训练好的恶意应用程序识别模型来执行以下步骤S210-步骤S230，以识别出待识别应用程序是否为恶意应用程序。
在步骤S210中，从待识别应用程序的源代码中提取Dalvik指令集，并对Dalvik指令集进行筛选，得到有效Dalvik指令集。
本步骤中，参照上述步骤的相关解释，可以从待识别应用程序的源代码中提取Dalvik指令集，进而，筛选上述Dalvik指令集中的操作指令，得到有效Dalvik指令集。
在步骤S220中，提取有效Dalvik指令集对应的特征向量。
本步骤中，可以基于word2vec技术提取上述Dalvik指令集对应的特征向量。
在步骤S230中，将特征向量输入至训练好的恶意应用程序识别模型中，根据恶意应用程序识别模型的输出，得到待识别应用程序的识别结果。
本步骤中，可以将上述步骤S220中得到的特征向量输入上述恶意应用程序识别模型中，以使上述恶意应用程序识别模型根据上述特征向量识别上述待识别应用程序是否为恶意应用程序，并输出对应的识别结果。
需要说明的是，上述恶意应用程序识别模型在输出识别结果的同时，还可以输出识别结果对应的置信度，该置信度可以是处于[0，1]区间的数值。
在得到待识别应用程序的识别结果之后，若确定出上述待识别应用程序为恶意应用程序，本公开还提供了对该恶意应用程序进行归类的方法，示例性的，参考图3，图3示出本公开实施例中如何对恶意应用程序进行归类的流程示意图，包含步骤S301-步骤S303：
在步骤S301中，响应于识别结果为待识别应用程序为恶意应用程序，根据特征向量生成待识别应用程序对应的摘要信息。
本步骤中，在确定出待识别应用程序为恶意应用程序之后，可以根据步骤S220中得到的特征向量，生成待识别应用程序对应的摘要信息，该摘要信息用于描述待识别应用程序的功能。
示例性的，参考图4，图4示出本公开实施例中根据特征向量生成待识别应用程序对应的摘要信息的流程示意图，包含步骤S401-步骤 S403：
在步骤S401中，对特征向量进行切分，得到多个子向量。
本步骤中，可以利用N-Gram生成器(N-grams是按照字节进行大小为N的滑动窗口操作，形成N个字节片段的序列)对上述特征向量进行切分，得到多个子向量，示例性的，上述特征向量切分后得到的子向量可以包括：子向量A、子向量B、子向量C。
在步骤S402中，对多个子向量和特征向量的长度进行哈希处理，得到哈希特征。
本步骤中，可以先获取上述特征向量的长度L(示例性的，该长度L 可以是上述多个子向量的数目，可以根据实际情况自行设定，本公开对此不作特殊限定)，进而，对上述步骤S401中得到的多个子向量(子向量A、子向量B、子向量C)和上述长度L进行哈希处理，得到一个具有hiv分量和固定大小L的哈希特征Hv＝{hv1，hv2，…，hvL}。
在步骤S403中，利用训练好的深度编码器对哈希特征进行编码，得到待识别应用程序的摘要信息。
本步骤中，在得到上述哈希特征Hv之后，可以利用训练好的深度编码器对上述哈希特征进行编码重构，得到待识别应用程序的摘要信息Z， Z＝{z0,z1,..,zDMal}。
在得到待识别应用程序对应的摘要信息之后，可以接着参考图3，在步骤S302中，基于摘要信息对待识别应用程序进行聚类，得到待识别应用程序所属的恶意应用程序集。
本步骤中，可以预先设置至少两个恶意应用程序集，每个恶意应用程序集对应不同的恶意应用程序类别，示例性的，恶意应用程序集X对应的类别可以是诈骗类，恶意应用程序集Y对应的类别可以是钓鱼类。每个恶意应用程序集用于存放属于该类别的多个恶意应用程序，以及，每个恶意应用程序所对应的摘要信息。
在一种可选的实时方式中，每个恶意应用程序集可以对应一中心样本，该中心样本可以用于代表该恶意应用程序集，从而，可以基于上述待识别应用程序的摘要信息和每个恶意应用程序集的中心样本所对应的目标摘要信息，确定出该待识别应用程序所属的恶意应用程序集。
具体的，参考图5，图5示出本公开实施例中基于上述待识别应用程序的摘要信息和每个恶意应用程序集的中心样本所对应的摘要信息，确定出该待识别应用程序所属的恶意应用程序集的流程示意图，包含步骤S501-步骤S504：
在步骤S501中，获取至少两个中心样本对应的至少两个目标摘要信息。
本步骤中，可以从每个恶意应用程序集中提取该恶意应用程序集的中心样本所对应的目标摘要信息。
在步骤S502中，计算摘要信息与至少两个目标摘要信息之间的至少两个相似度。
本步骤中，在获取到至少两个中心样本对应的至少两个目标摘要信息之后，可以基于OPTICS算法(Ordering points to identify the clustering structure，基于密度的聚类算法)分别计算上述待识别应用程序的摘要信息与每个目标摘要信息之间的欧式距离，将该欧式距离确定为上述摘要信息与目标摘要信息之间的相似度。欧式距离越小说明二者越相似。
欧式距离是指欧几里得距离，衡量的是多维空间中两个点之间的绝对距离。也可以理解为m维空间中两个点之间的真实距离，或者向量的自然长度(即该点到原点的距离)。
在步骤S503中，从至少两个相似度中选取数值最小的相似度，确定数值最小的相似度所对应的中心样本所属的目标恶意应用程序集。
本步骤中，在计算得到至少两个相似度之后，可以从上述至少两个相似度中选取数值最小的相似度，进而，可以确定数值最小的相似度所对应的中心样本所属的目标恶意应用程序集。
在步骤S504中，将目标恶意应用程序集确定为待识别应用程序所属的恶意应用程序集。
本步骤中，可以将上述目标恶意应用程序集确定为待识别应用程序所属的恶意应用程序集，从而实现对待识别应用程序的自动分类。
在另一种可选的实施方式中，每个恶意应用程序集中可以包含多个样本，每个样本对应一目标摘要，从而，可以基于上述待识别应用程序的摘要信息和每个恶意应用程序集中的多个样本所对应的目标摘要信息，确定出该待识别应用程序所属的恶意应用程序集。
参考图6，图6示出本公开实施例中基于上述待识别应用程序的摘要信息和每个恶意应用程序集中的多个样本所对应的目标摘要信息，确定出该待识别应用程序所属的恶意应用程序集的流程示意图，包含步骤 S601-步骤S604：
在步骤S601中，获取预设的至少两个恶意应用程序集中所包含的多个样本分别对应的目标摘要信息。
本步骤中，可以从每个恶意应用程序集中，获取其所包含的多个样本各自所对应的目标摘要信息。
在步骤S602中，计算摘要信息与多个目标摘要信息之间的多个相似度。
本步骤中，可以基于OPTICS算法分别计算上述待识别应用程序的摘要信息与每个目标摘要信息之间的欧式距离，将该欧式距离确定为上述摘要信息与目标摘要信息之间的相似度。欧式距离越小说明二者越相似。
在步骤S603中，从多个相似度中选取数值最小的相似度，确定数值最小的相似度所对应的中心样本所属的恶意应用程序集。
本步骤中，在计算得到多个相似度之后，可以从上述多个相似度中选取数值最小的相似度，进而，可以确定数值最小的相似度所对应的中心样本所属的目标恶意应用程序集。
在步骤S604中，将目标恶意应用程序集确定为待识别应用程序所属的恶意应用程序集。
本步骤中，可以将上述目标恶意应用程序集确定为待识别应用程序所属的恶意应用程序集，从而实现对待识别应用程序的自动分类。
在确定出待识别应用程序所属的恶意应用程序集之后，可以进入步骤S303中，将待识别应用程序添加至其所属的恶意应用程序集中。
本步骤中，可以将上述待识别应用程序添加至其所属的恶意应用程序集中，以实现对待识别应用程序的自动归类。
需要说明的是，在通过上述步骤S230得到待识别应用程序的识别结果之后，若确定出待识别应用程序为恶意应用程序并且其置信度大于置信度阈值，则还可以将上述待识别应用程序添加至恶意应用程序识别模型的训练样本集中，以对恶意应用程序识别模型的训练样本集进行更新。从而，示例性的，当训练样本集的数目满足一定的数目条件时(例如：训练样本的数目变为原先的2倍或3倍，可以根据实际情况自行设定，本公开对此不作特殊限定)，可以利用更新后的训练样本集对上述恶意应用程序识别模型进行再次训练，以更新上述恶意应用程序识别模型，提高模型的识别准确度。
通过筛选高置信度的恶意应用程序对训练样本集进行更新，以对恶意应用识别模型进行更新，本公开能够对恶意应用识别模型进行增量训练，使得模型具备自适应性，随着检测出来的恶意应用程序数目的不断增加，模型的识别能力也会逐步提升，从而，使得模型可以检测出最新的恶意应用程序，提升模型的适用范围。
参考图7，图7示出本公开实施例中恶意应用程序识别方法的整体流程图，包含步骤S701-步骤S712：
在步骤S701中，获取安卓应用程序的APK；
在步骤S702中，对APK进行静态分析；
在步骤S703中，Davlik虚拟运行，以提取Dalvik指令集；
在步骤S704中，利用安卓API字典对上述Dalvik指令集进行过滤，得到有效Dalvik指令集；
在步骤S705中，利用NLP词嵌入生成有效Dalvik指令集对应的特征向量；
在步骤S706中，将上述特征向量输入恶意应用程序识别模型中；
在步骤S707中，利用恶意应用程序识别模型对待识别应用程序进行识别，输出识别结果和置信度；
在步骤S708中，筛选置信度高于置信度阈值的恶意应用程序；
在步骤S709中，利用置信度大于置信度阈值的恶意应用程序更新训练样本集，以实现对恶意应用程序识别模型的更新；
在步骤S710中，利用N-Gram算法对特征向量进行切分，得到多个子向量；
在步骤S711中，对切分得到的多个字向量和特征向量的长度进行哈希处理，得到哈希特征Hv；
在步骤S712中，利用OPTICS算法对待识别应用程序进行聚类，得到其所属的恶意应用程序集。
基于以上技术方案，一方面，本公开能够在无需真实运行该待识别应用程序的情况下，仅需通过静态分析的方式便可实现对该待识别应用程序的识别，避免了恶意应用程序对用户数据的非法获取等问题，保证了用户数据的安全性。进一步的，本公开对Dalvik指令集中的无效指令进行过滤，简化后续识别过程中需要处理的数据量，从而提升后续恶意应用程序的识别效率。另一方面，本公开能够借助模型快速输出识别结果，提升识别准确度和识别效率。
本公开还提供了一种恶意应用程序识别装置，图8示出本公开示例性实施例中恶意应用程序识别装置的结构示意图；如图8所示，恶意应用程序识别装置800可以包括第一提取模块810、第二提取模块820和恶意应用程序识别模块830。其中：
第一提取模块810，用于从待识别应用程序的源代码中提取Dalvik 指令集，并对所述Dalvik指令集进行筛选，得到有效Dalvik指令集；
第二提取模块820，用于提取所述有效Dalvik指令集对应的特征向量；
恶意应用程序识别模块830，用于将所述特征向量输入至训练好的恶意应用程序识别模型中，根据所述恶意应用程序识别模型的输出，得到所述待识别应用程序的识别结果；所述恶意应用程序识别模型用于识别所述待识别应用程序是否为所述恶意应用程序。
在本公开的示例性实施例中，第二提取模块820，被配置为：
筛选所述Dalvik指令集中的操作指令；所述操作指令包括方法调用指令、对象操作指令和字段访问指令；根据筛选出来的操作指令，生成所述有效Dalvik指令集。
在本公开的示例性实施例中，在得到所述待识别应用程序的识别结果之后，恶意应用程序识别模块830，被配置为：
响应于所述识别结果为所述待识别应用程序为恶意应用程序，根据所述特征向量生成所述待识别应用程序对应的摘要信息；所述摘要信息用于描述所述待识别应用程序的功能；基于所述摘要信息对所述待识别应用程序进行聚类，得到所述待识别应用程序所属的恶意应用程序集；将所述待识别应用程序添加至其所属的恶意应用程序集中。
在本公开的示例性实施例中，恶意应用程序识别模块830，被配置为：
对所述特征向量进行切分，得到多个子向量；对所述多个子向量和所述特征向量的长度进行哈希处理，得到哈希特征；利用训练好的深度编码器对所述哈希特征进行编码，得到所述待识别应用程序的摘要信息。
在本公开的示例性实施例中，恶意应用程序识别模块830，被配置为：
从预设的至少两个恶意应用程序集中分别获取每个恶意应用程序集的中心样本；获取至少两个所述中心样本对应的至少两个目标摘要信息；计算所述摘要信息与所述至少两个目标摘要信息之间的至少两个相似度；从所述至少两个相似度中选取数值最小的相似度，确定所述数值最小的相似度所对应的中心样本所属的目标恶意应用程序集；将所述目标恶意应用程序集确定为所述待识别应用程序所属的恶意应用程序集。
在本公开的示例性实施例中，恶意应用程序识别模块830，被配置为：
获取预设的至少两个恶意应用程序集中所包含的多个样本分别对应的目标摘要信息；计算所述摘要信息与所述多个目标摘要信息之间的多个相似度；从所述多个相似度中选取数值最小的相似度，确定所述数值最小的相似度所对应的中心样本所属的恶意应用程序集；将所述目标恶意应用程序集确定为所述待识别应用程序所属的恶意应用程序集。
在本公开的示例性实施例中，恶意应用程序识别模块830，被配置为：
响应于所述识别结果为所述待识别应用程序为恶意应用程序，获取所述识别结果的置信度；响应于所述置信度大于预设置信度阈值，将所述待识别应用程序添加至所述恶意应用程序识别模型的训练样本集中，以更新所述训练样本集；根据更新后的所述训练样本集对所述恶意应用程序识别模型进行再次训练，以更新所述恶意应用程序识别模型。
上述恶意应用程序识别装置中各模块的具体细节已经在对应的恶意应用程序识别方法中进行了详细的描述，因此此处不再赘述。
应当注意，尽管在上文详细描述中提及了用于动作执行的设备的若干模块或者单元，但是这种划分并非强制性的。实际上，根据本公开的实施方式，上文描述的两个或更多模块或者单元的特征和功能可以在一个模块或者单元中具体化。反之，上文描述的一个模块或者单元的特征和功能可以进一步划分为由多个模块或者单元来具体化。
此外，尽管在附图中以特定顺序描述了本公开中方法的各个步骤，但是，这并非要求或者暗示必须按照该特定顺序来执行这些步骤，或是必须执行全部所示的步骤才能实现期望的结果。附加的或备选的，可以省略某些步骤，将多个步骤合并为一个步骤执行，以及/或者将一个步骤分解为多个步骤执行等。
通过以上的实施方式的描述，本领域的技术人员易于理解，这里描述的示例实施方式可以通过软件实现，也可以通过软件结合必要的硬件的方式来实现。因此，根据本公开实施方式的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中或网络上，包括若干指令以使得一台计算设备(可以是个人计算机、服务器、移动终端、或者网络设备等) 执行根据本公开实施方式的方法。
本申请还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的电子设备中所包含的；也可以是单独存在，而未装配入该电子设备中。
计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。
计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。
计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被一个该电子设备执行时，使得该电子设备实现如上述实施例中所述的方法。
此外，在本公开实施例中还提供了一种能够实现上述方法的电子设备。
所属技术领域的技术人员能够理解，本公开的各个方面可以实现为系统、方法或程序产品。因此，本公开的各个方面可以具体实现为以下形式，即：完全的硬件实施方式、完全的软件实施方式(包括固件、微代码等)，或硬件和软件方面结合的实施方式，这里可以统称为“电路”、“模块”或“系统”。
下面参照图9来描述根据本公开的这种实施方式的电子设备900。图9显示的电子设备900仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图9所示，电子设备900以通用计算设备的形式表现。电子设备 900的组件可以包括但不限于：上述至少一个处理单元910、上述至少一个存储单元920、连接不同系统组件(包括存储单元920和处理单元910) 的总线930以及显示单元940。
其中，所述存储单元存储有程序代码，所述程序代码可以被所述处理单元910执行，使得所述处理单元910执行本说明书上述“示例性方法”部分中描述的根据本公开各种示例性实施方式的步骤。例如，所述处理单元910可以执行如图2中所示的：步骤S210，从待识别应用程序的源代码中提取Dalvik指令集，并对所述Dalvik指令集进行筛选，得到有效Dalvik指令集；步骤S220，提取所述有效Dalvik指令集对应的特征向量；步骤S230，将所述特征向量输入至训练好的恶意应用程序识别模型中，根据所述恶意应用程序识别模型的输出，得到所述待识别应用程序的识别结果；所述恶意应用程序识别模型用于识别所述待识别应用程序是否为所述恶意应用程序。
存储单元920可以包括易失性存储单元形式的可读介质，例如随机存取存储单元(RAM)9201和/或高速缓存存储单元9202，还可以进一步包括只读存储单元(ROM)9203。
存储单元920还可以包括具有一组(至少一个)程序模块9205的程序/实用工具9204，这样的程序模块9205包括但不限于：操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。
总线930可以为表示几类总线结构中的一种或多种，包括存储单元总线或者存储单元控制器、外围总线、图形加速端口、处理单元或者使用多种总线结构中的任意总线结构的局域总线。
电子设备900也可以与一个或多个外部设备1000(例如键盘、指向设备、蓝牙设备等)通信，还可与一个或者多个使得用户能与该电子设备900交互的设备通信，和/或与使得该电子设备900能与一个或多个其它计算设备进行通信的任何设备(例如路由器、调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口950进行。并且，电子设备900 还可以通过网络适配器960与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器960通过总线930与电子设备900的其它模块通信。应当明白，尽管图中未示出，可以结合电子设备900使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其他实施例。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。
Claims (9)
1.一种恶意应用程序识别方法，其特征在于，包括：
从待识别应用程序的源代码中提取Dalvik指令集，并对所述Dalvik指令集进行筛选，得到有效Dalvik指令集；
提取所述有效Dalvik指令集对应的特征向量；
将所述特征向量输入至训练好的恶意应用程序识别模型中，根据所述恶意应用程序识别模型的输出，得到所述待识别应用程序的识别结果；
所述恶意应用程序识别模型用于识别所述待识别应用程序是否为所述恶意应用程序；
在得到所述待识别应用程序的识别结果之后，所述方法还包括：
响应于所述识别结果为所述待识别应用程序为恶意应用程序，根据所述特征向量生成所述待识别应用程序对应的摘要信息；所述摘要信息用于描述所述待识别应用程序的功能；
基于所述摘要信息对所述待识别应用程序进行聚类，得到所述待识别应用程序所属的恶意应用程序集；
所述根据所述特征向量生成所述待识别应用程序对应的摘要信息，包括：
对所述特征向量进行切分，得到多个子向量；
对所述多个子向量和所述特征向量的长度进行哈希处理，得到哈希特征；
利用训练好的深度编码器对所述哈希特征进行编码，得到所述待识别应用程序的摘要信息。
2.根据权利要求1所述的方法，其特征在于，所述对所述Dalvik指令集进行筛选，得到有效Dalvik指令集，包括：
筛选所述Dalvik指令集中的操作指令；所述操作指令包括方法调用指令、对象操作指令和字段访问指令；
根据筛选出来的操作指令，生成所述有效Dalvik指令集。
3.根据权利要求1或2所述的方法，其特征在于，
将所述待识别应用程序添加至其所属的恶意应用程序集中。
4.根据权利要求1所述的方法，其特征在于，所述基于所述摘要信息对所述待识别应用程序进行聚类，得到所述待识别应用程序所属的恶意应用程序集，包括：
从预设的至少两个恶意应用程序集中分别获取每个恶意应用程序集的中心样本；
获取至少两个所述中心样本对应的至少两个目标摘要信息；
计算所述摘要信息与所述至少两个目标摘要信息之间的至少两个相似度；
从所述至少两个相似度中选取数值最小的相似度，确定所述数值最小的相似度所对应的中心样本所属的目标恶意应用程序集；
将所述目标恶意应用程序集确定为所述待识别应用程序所属的恶意应用程序集。
5.根据权利要求1所述的方法，其特征在于，所述基于所述摘要信息对所述待识别应用程序进行聚类，得到所述待识别应用程序所属的恶意应用程序集，包括：
获取预设的至少两个恶意应用程序集中所包含的多个样本分别对应的目标摘要信息；
计算所述摘要信息与所述多个目标摘要信息之间的多个相似度；
从所述多个相似度中选取数值最小的相似度，确定所述数值最小的相似度所对应的中心样本所属的目标恶意应用程序集；
将所述目标恶意应用程序集确定为所述待识别应用程序所属的恶意应用程序集。
6.根据权利要求1或2所述的方法，其特征在于，在得到所述待识别应用程序的识别结果之后，所述方法还包括：
响应于所述识别结果为所述待识别应用程序为恶意应用程序，获取所述识别结果的置信度；
响应于所述置信度大于预设置信度阈值，将所述待识别应用程序添加至所述恶意应用程序识别模型的训练样本集中，以更新所述训练样本集；
根据更新后的所述训练样本集对所述恶意应用程序识别模型进行再次训练，以更新所述恶意应用程序识别模型。
7.一种恶意应用程序识别装置，其特征在于，包括：
第一提取模块，用于从待识别应用程序的源代码中提取Dalvik指令集，并对所述Dalvik指令集进行筛选，得到有效Dalvik指令集；
第二提取模块，用于提取所述有效Dalvik指令集对应的特征向量；
恶意应用程序识别模块，用于将所述特征向量输入至训练好的恶意应用程序识别模型中，根据所述恶意应用程序识别模型的输出，得到所述待识别应用程序的识别结果；所述恶意应用程序识别模型用于识别所述待识别应用程序是否为所述恶意应用程序；
在得到所述待识别应用程序的识别结果之后，所述恶意应用程序识别模块还用于：
响应于所述识别结果为所述待识别应用程序为恶意应用程序，根据所述特征向量生成所述待识别应用程序对应的摘要信息；所述摘要信息用于描述所述待识别应用程序的功能；
基于所述摘要信息对所述待识别应用程序进行聚类，得到所述待识别应用程序所属的恶意应用程序集；
所述根据所述特征向量生成所述待识别应用程序对应的摘要信息，包括：
对所述特征向量进行切分，得到多个子向量；
对所述多个子向量和所述特征向量的长度进行哈希处理，得到哈希特征；
利用训练好的深度编码器对所述哈希特征进行编码，得到所述待识别应用程序的摘要信息。
8.一种计算机存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1～6中任意一项所述的恶意应用程序识别方法。
9.一种电子设备，其特征在于，包括：
处理器；以及
存储器，用于存储所述处理器的可执行指令；
其中，所述处理器配置为经由执行所述可执行指令来执行权利要求1～6中任意一项所述的恶意应用程序识别方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210828418.6A CN115221516B (zh) | 2022-07-13 | 2022-07-13 | 恶意应用程序识别方法及装置、存储介质、电子设备 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210828418.6A CN115221516B (zh) | 2022-07-13 | 2022-07-13 | 恶意应用程序识别方法及装置、存储介质、电子设备 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN115221516A CN115221516A (zh) | 2022-10-21 |
| CN115221516B true CN115221516B (zh) | 2024-04-26 |
Family
ID=83611287
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202210828418.6A Active CN115221516B (zh) | 2022-07-13 | 2022-07-13 | 恶意应用程序识别方法及装置、存储介质、电子设备 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN115221516B (zh) |
Families Citing this family (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN116414269B (zh) * | 2023-06-06 | 2023-10-20 | 荣耀终端有限公司 | 流氓应用的识别方法和电子设备 |
| CN116910755A (zh) * | 2023-09-13 | 2023-10-20 | 北京安天网络安全技术有限公司 | 一种文件检测方法 |
| CN117056927B (zh) * | 2023-10-10 | 2023-12-08 | 北京安天网络安全技术有限公司 | 一种基于指令的恶意进程确定方法、装置、设备及介质 |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN109002696A (zh) * | 2018-06-29 | 2018-12-14 | 北京奇虎科技有限公司 | 建立安装包识别模型的方法、识别安装包的方法及装置 |
| CN110069927A (zh) * | 2019-04-22 | 2019-07-30 | 中国民航大学 | 恶意apk检测方法、系统、数据存储设备和检测程序 |
| KR20190102451A (ko) * | 2018-02-26 | 2019-09-04 | 한국인터넷진흥원 | 악성 어플리케이션 탐지 방법 및 그 장치 |
| CN110427755A (zh) * | 2018-10-16 | 2019-11-08 | 新华三信息安全技术有限公司 | 一种识别脚本文件的方法及装置 |
| CN110795736A (zh) * | 2019-10-31 | 2020-02-14 | 四川大学 | 一种基于svm决策树的恶意安卓软件检测方法 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US9792433B2 (en) * | 2013-12-30 | 2017-10-17 | Beijing Qihoo Technology Company Limited | Method and device for detecting malicious code in an intelligent terminal |
-
2022
- 2022-07-13 CN CN202210828418.6A patent/CN115221516B/zh active Active
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20190102451A (ko) * | 2018-02-26 | 2019-09-04 | 한국인터넷진흥원 | 악성 어플리케이션 탐지 방법 및 그 장치 |
| CN109002696A (zh) * | 2018-06-29 | 2018-12-14 | 北京奇虎科技有限公司 | 建立安装包识别模型的方法、识别安装包的方法及装置 |
| CN110427755A (zh) * | 2018-10-16 | 2019-11-08 | 新华三信息安全技术有限公司 | 一种识别脚本文件的方法及装置 |
| CN110069927A (zh) * | 2019-04-22 | 2019-07-30 | 中国民航大学 | 恶意apk检测方法、系统、数据存储设备和检测程序 |
| CN110795736A (zh) * | 2019-10-31 | 2020-02-14 | 四川大学 | 一种基于svm决策树的恶意安卓软件检测方法 |
Non-Patent Citations (2)
| Title |
|---|
| 基于模糊哈希特征表示的恶意软件聚类方法;肖锦琦 等;四川大学学报(自然科学版);第55卷(第03期);第469-476页 * |
| 基于相似性摘要算法的应用与研究;肖锦琦;现代计算机(专业版);第15-18页 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN115221516A (zh) | 2022-10-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN115221516B (zh) | 恶意应用程序识别方法及装置、存储介质、电子设备 | |
| US11928213B2 (en) | Malware detection | |
| CN109241418B (zh) | 基于随机森林的异常用户识别方法及装置、设备、介质 | |
| US11328171B2 (en) | Image retrieval method and apparatus | |
| CN108614970B (zh) | 病毒程序的检测方法、模型训练方法、装置及设备 | |
| CN109697451B (zh) | 相似图像聚类方法及装置、存储介质、电子设备 | |
| CN111552969A (zh) | 基于神经网络的嵌入式终端软件代码漏洞检测方法及装置 | |
| CN111368878B (zh) | 一种基于ssd目标检测的优化方法、计算机设备和介质 | |
| CN112668013B (zh) | 一种面向Java源码的语句级模式探索的漏洞检测方法 | |
| CN112052451A (zh) | 一种webshell检测方法和装置 | |
| CN116089648B (zh) | 基于人工智能的档案管理系统及方法 | |
| CN110866257A (zh) | 木马检测方法及装置、电子设备、存储介质 | |
| CN113761845A (zh) | 一种文本生成方法、装置、存储介质及电子设备 | |
| CN110929499B (zh) | 文本相似度获取方法、装置、介质及电子设备 | |
| CN115344563B (zh) | 数据去重方法及装置、存储介质、电子设备 | |
| CN116821903A (zh) | 检测规则确定及恶意二进制文件检测方法、设备及介质 | |
| CN116563860A (zh) | 基于人工智能的数据脱敏方法、装置、计算机设备及介质 | |
| CN111104674A (zh) | 一种电力固件同源二进制文件关联方法及系统 | |
| CN115883242A (zh) | 一种网络入侵检测方法和装置 | |
| TW201626279A (zh) | 保護方法與其電腦系統 | |
| CN116910756B (zh) | 一种恶意pe文件的检测方法 | |
| CN113316786A (zh) | 漏洞利用工具包检测 | |
| CN117093996B (zh) | 嵌入式操作系统的安全防护方法及系统 | |
| CN117077678B (zh) | 一种敏感词识别方法、装置、设备及介质 | |
| US20230401287A1 (en) | Method, electronic device, and computer program product for detecting model drift |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |