JP2015508549A5 - モバイル環境用のトロイの木馬化されたアプリケーション（アプリ）を特定するためのコンピュータ実装方法、非一時コンピュータ読み取り可能な媒体およびコンピュータシステム - Google Patents

Claims (14)

1. モバイル環境用のトロイの木馬化されたアプリケーション（アプリ）を特定するためのコンピュータ実装方法であって、
   コンピュータによって、少なくとも１つの外部ソースから、特定のモバイル環境用の複数のアプリを取得する工程と、
   前記取得されたアプリのうちの第１の特定のアプリの、コードに関するデータとデジタル署名者と日付とを、前記複数のアプリのうちの第２の特定のアプリの、コードに関するデータとデジタル署名者と比較する工程と、
   前記比較に基づいて、前記取得されたアプリのうちの前記第１の特定のアプリが、１）前記取得されたアプリのうちの第２の特定のアプリに含まれるコードの少なくとも所定の閾値、２）前記取得されたアプリのうちの前記第２の特定のアプリに存在しない更なるコード、３）前記取得されたアプリのうちの前記第２の特定のアプリとは異なる署名者、および４）前記取得されたアプリのうちの前記第１の特定のアプリの前記日付であって前記取得されたアプリのうちの前記第２の特定のアプリの日付以降の日付、を含むことを判定する工程と、
   前記判定に応答して、前記取得されたアプリのうちの前記第１の特定のアプリを、トロイの木馬化されたアプリであると特定する工程と、
   を含む方法。
2. 複数のアプリにわたる共通のライブラリを、１）前記取得されたアプリのうちの第１の特定のアプリのコードに関するデータを、少なくとも１つの他の取得されたアプリのコードに関するデータと比較すること、並びに２）前記取得されたアプリのうちの前記第１の特定のアプリが、前記取得されたアプリのうちの第２の特定のアプリに含まれるコード及び前記取得されたアプリのうちの前記第２の特定のアプリに存在しない更なるコードの少なくとも１つの所定の閾値を含むことを判定することから除外することを更に含む、請求項１に記載の方法。
3. コンピュータによって複数のアプリを取得する工程は、各特定の取得されたアプリに関して、コードに関するデータを前記特定の取得されたアプリから抽出することを更に含む、請求項１に記載の方法。
4. コードに関するデータを前記特定の取得されたアプリから抽出することが、
   前記特定の取得されたアプリによって使用される各方法の完全修飾名を抽出することを更に含む、請求項３に記載の方法。
5. コードに関するデータを前記特定の取得されたアプリから抽出することが、
   前記特定の取得されたアプリによって使用される各クラスの完全修飾名を抽出することを更に含む、請求項３に記載の方法。
6. コードに関するデータを前記特定の取得されたアプリから抽出することが、
   前記特定の取得されたアプリの可能な実行パスを記載するフローグラフを作成することを更に含む、請求項３に記載の方法。
7. コードに関するデータを前記特定の取得されたアプリから抽出することが、
   生のバイトコードを前記アプリにおける全てのクラスの全ての方法から抽出することと、
   前記抽出された生のバイトコードを正規化することと、を更に含む、請求項３に記載の方法。
8. コードに関するデータを前記特定の取得されたアプリから抽出することが、
   前記正規化され抽出された生のバイトコードのハッシュを作成することを更に含む、請求項７に記載の方法。
9. 各特定の取得されたアプリに関して、デジタル署名者の身元を前記特定の取得されたアプリから抽出することを更に含む、請求項１に記載の方法。
10. 各特定の取得されたアプリに関して、前記特定の取得されたアプリに関する日付を、前記特定のアプリが公開された日付、前記特定のアプリが発見された日付、前記特定のアプリがダウンロードされた日付、及び前記特定のアプリが取得された日付、並びに前記特定のアプリがその見出し内に含む日付からなる日付の群から取得することを更に含む、請求項１に記載の方法。
11. 前記取得されたアプリのうちの前記第１の特定のアプリがトロイの木馬化されたアプリであるとの特定に応答して、
    人間の分析者による手動での検査のために前記トロイの木馬化されたアプリにフラグを付ける工程、
    悪意のあるコードの自動分析のために前記トロイの木馬化されたアプリをキューに入れる工程、
    前記トロイの木馬化されたアプリに関する情報を集中型セキュリティコンポーネントに伝送する工程、及び
    前記トロイの木馬化されたアプリをブラックリストに載せる工程
    からなる工程の群のうちの少なくとも１つの更なる工程を行うことを更に含む、請求項１に記載の方法。
12. 前記特定のモバイル環境用の前記複数のアプリはさらに、アンドロイド環境用の複数のアンドロイドアプリを含む、請求項１に記載の方法。
13. コンピュータメモリにロードされてプロセッサにより起動されるときに、
    少なくとも１つの外部ソースから、特定のモバイル環境用の複数のアプリを取得する工程と、
    前記取得されたアプリのうちの第１の特定のアプリの、コードに関するデータとデジタル署名者と日付とを、前記取得された複数のアプリのうちの第２の特定のアプリの、コードに関するデータとデジタル署名者と比較する工程と、
    前記比較に基づいて、前記取得されたアプリのうちの前記第１の特定のアプリが、１）前記取得されたアプリのうちの第２の特定のアプリに含まれるコードの少なくとも所定の閾値、２）前記取得されたアプリのうちの前記第２の特定のアプリに存在しない更なるコード、３）前記取得されたアプリのうちの前記第２の特定のアプリとは異なる署名者、および４）前記取得されたアプリのうちの前記第１の特定のアプリの前記日付であって前記取得されたアプリのうちの前記第２の特定のアプリの日付以降の日付、を含むことを判定する工程と、
    前記判定に応答して、前記取得されたアプリのうちの前記第１の特定のアプリを、トロイの木馬化されたアプリであると特定する工程と、
    を実行するプログラムコードを格納する少なくとも１つの非一時コンピュータ読み取り可能な媒体。
14. モバイル環境用のトロイの木馬化されたアプリを特定するコンピュータシステムであって、
    コンピュータメモリと、
    プロセッサと、
    少なくとも１つの外部ソースから特定のモバイル環境用の複数のアプリを取得する、前記コンピュータメモリに存在するアプリ取得モジュールと、
    比較モジュールであって、
    前記取得されたアプリのうちの第１の特定のアプリの、コードに関するデータとデジタル署名者と日付とを、前記取得された複数のアプリのうちの第２の特定のアプリの、コードに関するデータとデジタル署名者と比較し、
    前記比較に基づいて、前記取得されたアプリのうちの前記第１の特定のアプリが、１）前記取得されたアプリのうちの第２の特定のアプリに含まれるコードの少なくとも所定の閾値、２）前記取得されたアプリのうちの前記第２の特定のアプリに存在しない更なるコード、３）前記取得されたアプリのうちの前記第２の特定のアプリとは異なる署名者、および４）前記取得されたアプリのうちの前記第１の特定のアプリの前記日付であって前記取得されたアプリのうちの前記第２の特定のアプリの日付以降の日付、を含むことを判定する、
    前記コンピュータメモリに存在する比較モジュールと、
    前記判定に応答して、前記取得されたアプリのうちの前記第１の特定のアプリをトロイの木馬化されたアプリであると特定するように構成される、トロイの木馬化されたアプリを特定するモジュールであって前記コンピュータメモリに存在するモジュールと、
    を有するコンピュータシステム。