WO2014010847A1 - 악성 애플리케이션 진단장치 및 방법 - Google Patents

악성 애플리케이션 진단장치 및 방법 Download PDF

Info

Publication number
WO2014010847A1
WO2014010847A1 PCT/KR2013/005643 KR2013005643W WO2014010847A1 WO 2014010847 A1 WO2014010847 A1 WO 2014010847A1 KR 2013005643 W KR2013005643 W KR 2013005643W WO 2014010847 A1 WO2014010847 A1 WO 2014010847A1
Authority
WO
WIPO (PCT)
Prior art keywords
application
file
malicious
hash information
signature
Prior art date
Application number
PCT/KR2013/005643
Other languages
English (en)
French (fr)
Inventor
주설우
Original Assignee
주식회사 안랩
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안랩 filed Critical 주식회사 안랩
Publication of WO2014010847A1 publication Critical patent/WO2014010847A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/565—Static detection by checking file integrity

Definitions

  • the present invention relates to the diagnosis of malicious applications, and in particular, in diagnosing malicious applications in a mobile terminal such as an Android OS-based smartphone, a certificate having hash information of all individual files included in an apk file that is an application installation file. After only decompressing the file, it compares the hash information of all the individual files in the apk file existing in the decompressed certificate file with the pre-stored signature hash information to diagnose the malicious application more quickly and accurately.
  • the present invention relates to an apparatus and method for diagnosing malicious applications.
  • a smart phone In general, a smart phone combines the advantages of a mobile phone and a personal digital assistant (PDA), and is implemented by integrating data communication functions such as schedule management, fax transmission, and Internet access.
  • PDA personal digital assistant
  • a smart phone is equipped with a wireless communication module such as Wi-Fi, and can transmit and receive data through the Internet network. Also, it is possible to search for information on the Internet and to send and receive picture information such as directions by using an electronic pen on the liquid crystal display. .
  • Such smartphones have their own operating systems, and active development of applications that can be executed by the operating systems is being made.
  • the Android platform is an open source platform opened by Google's OHA (Open Handset Alliance). It is a Linux kernel, a virtual machine (VM) and a frame. Framework refers to a software package that includes both the application and the application.
  • the malicious application is typically produced by modifying the classes.dex and AndroidManifest.xml files included in the Android application APK file.
  • the apk file of the Android application is decompressed to detect a hash value for all apk decompressed files, and the detection is performed by comparing with a DB having a signature for the malicious application.
  • Malicious application diagnosis device that compares the hash information of all individual files in the apk file existing in the uncompressed certificate file with the stored signature hash information to prevent the performance degradation of the device and to diagnose malicious applications more quickly and accurately. And to provide a method.
  • the present invention described above is an apparatus for diagnosing a malicious application, wherein the signature DB stores normal or malicious signature hash information for an application that can be installed in a portable terminal, and extracts a certificate file having hash information of the application from the application.
  • a certificate file extracting unit and a diagnosis unit configured to read hash information of the application from the extracted certificate file, compare the signature hash information previously stored in the signature database, and diagnose whether the corresponding application is malicious.
  • the certificate file extracting unit may search for and extract the certificate file from an apk file that is an installation file of the application.
  • the diagnostic engine unit may extract the hash information of the entire file of the application by decompressing the certificate file.
  • the certificate file may be generated as one file inside the apk file at the time of digital signature of the application.
  • the certificate file is characterized in that to store the hash information for the entire file in the form of a text.
  • certificate file is characterized in that the manifest.mf file.
  • the diagnostic engine unit if one or more of the hash information of each of the individual files for all the files included in the application is found to match the normal signature hash information stored in the signature DB is found to be normal to the application. It is characterized by judging by the application.
  • the diagnostic engine unit when one or more of the hash information of each of the individual files for all the files included in the application matches the malicious signature hash information stored in the signature DB is found to be malicious It is characterized by judging by the application.
  • the diagnostic engine unit may block the installation of the portable terminal for the application diagnosed as a malicious application or delete the application for the already installed application.
  • the portable terminal is characterized in that the electronic device equipped with the Android OS.
  • the application is characterized in that the application for Android OS.
  • the present invention provides a method for diagnosing malicious applications, the method comprising: searching for a certificate file having hash information of the application with respect to an application that can be installed in a portable terminal; and extracting the certificate file for the entire file of the application. Reading the hash information, comparing whether the hash information of at least one of the hash information of all the files included in the application matches with the stored normal or malicious signature hash information, and comparing the result of the comparison And determining whether the application is malicious or not based on the above.
  • the determining may include searching whether one or more of the hash information for all the files of the application match the normal signature hash information, and one or more matches with the search results.
  • the method may further include determining the application as a normal application.
  • the determining may include searching whether one or more pieces of the hash information of all the files of the application match the malicious signature hash information, and the files matching the hash information in the search result. If more than one is found, characterized in that it further comprises the step of determining the application as a malicious application.
  • blocking the installation of the application to the portable terminal, and if the application is already installed in the portable terminal further comprises the step of deleting the application It features.
  • the certificate file may be generated as a single file in the apk file of the application when the electronic signature is applied to the application.
  • the certificate file is characterized in that to store the hash information for the entire file of the application in the form of a text.
  • certificate file is characterized in that the manifest.mf file.
  • FIG. 1 is a detailed block diagram of a malicious application diagnostic apparatus according to an embodiment of the present invention.
  • FIG. 2 is a conceptual diagram of malicious application diagnosis according to an embodiment of the present invention.
  • FIG 3 is an operation control flowchart for diagnosing malicious applications according to an embodiment of the present invention.
  • Combinations of each block of the accompanying block diagram and each step of the flowchart may be performed by computer program instructions.
  • These computer program instructions may be mounted on a processor of a general purpose computer, special purpose computer, or other programmable data processing equipment such that instructions executed through the processor of the computer or other programmable data processing equipment may not be included in each block or flowchart of the block diagram. It will create means for performing the functions described in each step.
  • These computer program instructions may be stored in a computer usable or computer readable memory that can be directed to a computer or other programmable data processing equipment to implement functionality in a particular manner, and thus the computer usable or computer readable memory.
  • instructions stored in may produce an article of manufacture containing instruction means for performing the functions described in each block or flowchart of each step of the block diagram.
  • Computer program instructions may also be mounted on a computer or other programmable data processing equipment, such that a series of operating steps may be performed on the computer or other programmable data processing equipment to create a computer-implemented process to create a computer or other programmable data. Instructions that perform processing equipment may also provide steps for performing the functions described in each block of the block diagram and in each step of the flowchart.
  • each block or step may represent a portion of a module, segment or code that includes one or more executable instructions for executing a specified logical function (s).
  • a specified logical function s.
  • the functions noted in the blocks or steps may occur out of order.
  • the two blocks or steps shown in succession may in fact be executed substantially concurrently or the blocks or steps may sometimes be performed in the reverse order, depending on the functionality involved.
  • FIG. 1 is a detailed block diagram of a diagnosis apparatus 100 for diagnosing a malicious application of a portable terminal according to an embodiment of the present invention.
  • the certificate file extracting unit 102, the diagnosis engine unit 104, and a signature are performed.
  • Such a portable terminal may include a terminal such as a smartphone and a tablet PC.
  • the signature DB 106 stores white signature hash information and / or malware signature hash information for an application installed in the portable terminal.
  • the certificate file extracting unit 102 extracts a certificate file having hash information of the application from among the decompressed files of the application with respect to an application newly downloaded or installed in the portable terminal.
  • All applications installed on the Android platform have an apk (android package) file format, which is a compressed file that has a Java jar format, and can be installed and executed on a portable terminal after digital signing.
  • apk android package
  • a manifest.mf file which is a certificate file
  • the certificate file includes hash information of all files included in the apk file. This hash information can also be used, including SHA-1 hashes, other hash algorithms specified in the certificate, such as MD5 and SHA-256.
  • the certificate file extracting unit 102 extracts a manifest.mf file, which is a certificate file having hash information of all files constituting the application among the files included in the apk file.
  • the diagnostic engine unit 104 decompresses the certificate file extracted from the certificate file extracting unit 102 to read hash information about all the files constituting the application, and stores a normal or malicious signature hash previously stored in the signature DB 106. After comparing the information, the application is diagnosed as malicious.
  • the diagnosis engine unit 104 may determine that the application is a normal application when one or more matches with the normal signature hash information stored in the signature DB 106 are searched among the hash information of the entire file of the application. have. In addition, if one or more of the hash information about the entire file of the application matches with the malicious signature hash information is detected, it can be diagnosed as a malicious application.
  • diagnosis engine unit 104 may block the installation of the mobile terminal for the application diagnosed as the malicious application as above, or delete the application for the already installed application.
  • FIG. 2 illustrates an operation concept in a diagnostic apparatus for diagnosing malicious applications of a portable terminal according to an embodiment of the present invention.
  • the apk file of the application installed on the Android platform must have AndroidManifest.xml, classes.dex, and resources.arsc files in the form of a folder in a subdirectory of the root directory 202.
  • a manifest.mf file which is a certificate file 204, which stores hash information of all individual files included in the [META-INF] directory.
  • hash information of all individual files included in the apk file is stored in the form of text.
  • the certificate file 204 is extracted by the certificate file extracting unit 102 and transferred to the diagnosis engine unit 104.
  • the diagnostic engine unit 104 writes the hash information about all the individual files included in the apk file recorded in the text file in the certificate file 204, that is, the entire files constituting the application, to the signature DB 106. It compares the stored normal or malicious signature hash information and diagnoses whether the application is malicious.
  • the diagnosis engine unit 104 may determine the application as a normal application when one or more matches with the normal signature hash information stored in the signature DB 106 among the hash information of the entire file, for example. In addition, if one or more of the hash information about the entire file of the application matches with the malicious signature hash information is detected, it can be diagnosed as a malicious application.
  • the time is increased by configuring the hash information of the entire file of the application by decompressing all the individual files included in the apk file and reading the hash information. It took a lot of time, and there was a problem that the performance of the terminal is deteriorated. Also, when the diagnosis is performed only on some files that are highly likely to be infected by malware, such as classes.dex and resoures.arsc, only a specific part of the file is checked. The risk of misdiagnosis is as described above.
  • the hash information of all the individual files in the apk file is in text form.
  • the hash information for the entire file of the application can be obtained, thereby greatly reducing the time required to construct the hash information, and for each file, the entire file (single file).
  • FIGS. 1, 2, and 3 illustrates an operation control flow for diagnosing a malicious application in the apparatus 100 for diagnosing a malicious application according to an embodiment of the present invention.
  • FIGS. 1, 2, and 3 illustrate an operation control flow for diagnosing a malicious application in the apparatus 100 for diagnosing a malicious application according to an embodiment of the present invention.
  • the diagnostic engine unit 104 of the diagnostic apparatus 100 searches for an application having an apk file format by performing file type analysis on files installed in the portable terminal ( S300, S302).
  • the diagnostic engine unit 104 decompresses a mankfest.mf file, which is a certificate file 204 having hash information about the entire file of the application, from the apk file of the corresponding application. (S304).
  • the manifest.mf file which is the certificate file 204 as described above, may be extracted from the certificate file extractor 102 and provided to the diagnostic engine 104.
  • hash information of all individual files included in the apk file is stored in a text form, and the diagnosis engine unit 104 stores the certificate file 204.
  • Hash information is read for all individual files included in the apk file recorded in text form, that is, the entire files constituting the application (S306).
  • the diagnostic engine unit 104 may match one or more signature hash information previously stored in the signature DB 106 among the hash information of the entire file of the application read from the certificate file 204. After searching whether it is, it is determined whether the application is malicious or normal (S308).
  • the diagnostic engine unit 104 for example, if one or more of the hash information for all the files included in the application matches the normal signature hash information stored in the signature DB 106, the application as a normal application. Diagnosis can be made. In addition, if one or more of the hash information of all files included in the application match the malicious signature hash information, the application may be diagnosed as a malicious application.
  • diagnosis engine unit 104 may block the installation of the corresponding application diagnosed as the malicious application as described above with respect to the portable terminal or delete the corresponding application for the already installed application (S310). ).
  • the present invention in diagnosing a malicious application in a portable terminal such as an Android OS-based smartphone, after decompressing only a certificate file having hash information of all individual files included in the apk file of the application, By comparing the hash information of all the individual files in the apk file in the decompressed certificate file with the pre-stored signature hash information, it is possible to diagnose the malicious application more quickly and accurately while preventing performance degradation of the terminal.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Telephone Function (AREA)

Abstract

본 발명에서는 안드로이드 OS 기반의 스마트폰 등의 휴대용 단말기에서 악성 애플리케이션을 진단함에 있어서, 애플리케이션의 apk 파일내 포함된 모든 개별 파일의 해쉬 정보를 가지고 있는 인증서 파일만을 압축 해제한 후, 압축 해제된 인증서 파일내 존재하는 apk 파일내 모든 개별 파일에 대한 해쉬 정보와 기 저장된 시그니처 해쉬 정보를 비교함으로써 단말기의 성능 저하를 방지하면서도 악성 애플리케이션을 보다 신속하고 정확하게 진단할 수 있다.

Description

악성 애플리케이션 진단장치 및 방법
본 발명은 악성 애플리케이션의 진단에 관한 것으로, 특히 안드로이드 OS 기반의 스마트폰 등의 휴대용 단말기에서 악성 애플리케이션을 진단함에 있어서, 애플리케이션의 설치파일인 apk 파일내 포함된 모든 개별 파일의 해쉬 정보를 가지고 있는 인증서 파일만을 압축 해제한 후, 압축 해제된 인증서 파일내 존재하는 apk 파일내 모든 개별 파일에 대한 해쉬 정보와 기 저장된 시그니처 해쉬 정보를 비교함으로써 단말기의 성능 저하를 방지하면서도 악성 애플리케이션을 보다 신속하고 정확하게 진단할 수 있도록 하는 악성 애플리케이션 진단장치 및 방법에 관한 것이다.
근래에 들어 유무선 인터넷뿐만 아니라 이동통신 기술의 발달로, 단순히 전화통화 기능뿐만이 아닌 무선 인터넷 기능 등 다양한 기능을 갖춘 휴대폰이 보급되고 있다. 특히 최근에 보급이 확산되고 있는 스마트폰(smartphone)은 멀티미디어 재생기능 등의 다양한 기능의 응용프로그램의 설치가 가능하여, 사용자들이 여러 용도로 스마트폰을 이용하고 있다.
일반적으로 스마트폰은 휴대전화와 개인휴대단말기(personal digital assistant : PDA)의 장점을 합친 것으로, 휴대 전화기에 일정관리, 팩스 송수신 및 인터넷 접속 등의 데이터 통신기능을 통합시켜 구현된다. 통상 스마트폰에는 와이파이(wifi)와 같은 무선통신모듈이 장착되어 인터넷망을 통한 데이터 송수신도 가능하며, 인터넷 정보검색은 물론 액정디스플레이에 전자펜으로 문자를 입력하거나 약도 등 그림 정보를 송수신할 수 있다.
이러한 스마트폰은 저마다의 운영체제가 존재하며, 해당 운영체제에 의해 실행 가능한 응용프로그램의 개발이 활발히 이루어지고 있다.
위와 같은 스마트폰의 운영체제 중 안드로이드(Android) 플랫폼은 구글(Google) 사가 주도하는 OHA(Open Handset Alliance)에서 공개한 오픈 소스 플랫폼으로, 리눅스(Linux) 커널, 가상머신(VM : Virtual Machine), 프레임워크(Framework), 응용프로그램을 모두 포함하는 소프트웨어 패키지를 의미한다.
현재 안드로이드 플랫폼에 대한 사용자들의 기대가 상승하고, 단말 제조사와 이동 통신 서비스 제공사의 높은 호응으로 안드로이드 플랫폼을 탑재하는 스마트폰 등의 휴대용 단말기가 점점 늘어남에 따라 안드로이드 응용프로그램 시장이 활성화되기 시작하였고, 양질의 안드로이드 응용프로그램 공급에 대한 요구가 높아지고 있다.
한편, 위와 같이 안드로이드 플랫폼을 탑재한 스마트폰 사용자가 늘어남에 따라 안드로이드 OS를 타겟으로 하는 악성코드 또한 급격히 증가하고 있으며, 안드로이드 악성코드 제작자들은 기존의 PC환경에서 익혔던 다양한 기술을 안드로이드 악성 애플리케이션의 제작에 반영하여 PC에서의 것보다 빠르게 발전시켜 나가고 있다.
위와 같은 안드로이드 악성 애플리케이션 제작에 있어서 종래에는 안드로이드 애플리케이션 APK 파일에 포함된 classes.dex와 AndroidManifest.xml 파일을 일부 수정하는 방식으로 악성 애플리케이션을 제작하는 것이 대표적이다.
이에 따라, 위와 같은 안드로이드 악성 애플리케이션을 탐지하기 위해서는 안드로이드 애플리케이션의 apk 파일을 압축해제하여 모든 apk 압축 해제 파일에 대해 해쉬값을 검출하여 악성 애플리케이션에 대한 시그니처를 가지고 있는 DB와 비교하여 탐지를 수행하게 된다.
그러나, 애플리케이션의 apk 파일을 모두 압축해제하여 압축해제된 전체 파일에 대해 해쉬정보를 구하고, 이를 토대로 시그니처 해쉬정보와 비교하여 악성 애플리케이션을 진단하는 종래의 방법에서는 apk 파일을 압축해제 하는데 시간이 많이 소요되며, 그에 따른 휴대용 단말기의 성능 저하 등의 문제점이 있었다.
따라서, 본 발명은 안드로이드 OS 기반의 스마트폰 등의 휴대용 단말기에서 악성 애플리케이션을 진단함에 있어서, 애플리케이션의 설치파일인 apk 파일내 포함된 모든 개별 파일의 해쉬 정보를 가지고 있는 인증서 파일만을 압축 해제한 후, 압축 해제된 인증서 파일내 존재하는 apk 파일내 모든 개별 파일에 대한 해쉬 정보와 기 저장된 시그니처 해쉬 정보를 비교함으로써 단말기의 성능 저하를 방지하면서도 악성 애플리케이션을 보다 신속하고 정확하게 진단할 수 있도록 하는 악성 애플리케이션 진단장치 및 방법을 제공하고자 한다.
상술한 본 발명은 본 발명은 악성 애플리케이션 진단장치로서, 휴대용 단말기에 설치될수 있는 애플리케이션에 대한 정상 또는 악성의 시그니처 해쉬정보가 저장된 시그니처 DB와, 상기 애플리케이션으로부터 상기 애플리케이션의 해쉬정보를 가지는 인증서 파일을 추출하는 인증서 파일 추출부와, 추출된 상기 인증서 파일로부터 상기 애플리케이션의 해쉬정보를 읽어들여 상기 시그니처 데이터베이스에 기 저장된 시그니처 해쉬정보와 비교한 후, 해당 애플리케이션의 악성 여부를 진단하는 진단부를 포함한다.
또한, 상기 인증서 파일 추출부는, 상기 애플리케이션의 설치파일인 apk 파일로부터 상기 인증서 파일을 검색하여 추출하는 것을 특징으로 한다.
또한, 상기 진단 엔진부는, 상기 인증서 파일을 압축해제하여 상기 애플리케이션의 전체파일에 대한 해쉬정보를 추출하는 것을 특징으로 한다.
또한, 상기 인증서 파일은, 상기 애플리케이션에 대한 전자서명시 상기 apk 파일 내부에 하나의 파일로 생성되는 것을 특징으로 한다.
또한, 상기 인증서 파일은, 상기 전체파일에 대한 해쉬정보를 텍스트 형태로 저장하고 있는 것을 특징으로 한다.
또한, 상기 인증서 파일은, manifest.mf 파일인 것을 특징으로 한다.
또한, 상기 진단 엔진부는, 상기 애플리케이션이 포함하는 모든 파일들에 대한 개별 파일 각각의 해쉬정보들 중에서 상기 시그니처 DB에 저장되어 있는 정상 시그니처 해쉬정보와 서로 일치하는 것이 하나 이상 발견될 경우 해당 애플리케이션을 정상 애플리케이션으로 판단하는 것을 특징으로 한다.
또한, 상기 진단 엔진부는, 상기 애플리케이션이 포함하는 모든 파일들에 대한 개별 파일 각각의 해쉬정보들 중에서 상기 시그니처 DB에 저장되어 있는 악성 시그니처 해쉬정보와 서로 일치하는 것이 하나 이상 발견될 경우 해당 애플리케이션을 악성 애플리케이션으로 판단하는 것을 특징으로 한다.
또한, 상기 진단 엔진부는, 악성 애플리케이션으로 진단된 해당 애플리케이션에 대해서는 상기 휴대용 단말기로의 설치를 차단시키거나, 이미 설치된 애플리케이션에 대해서는 해당 애플리케이션을 삭제시키는 것을 특징으로 한다.
또한, 상기 휴대용 단말기는, 안드로이드 OS가 탑재된 전자기기 인 것을 특징으로 한다.
또한, 상기 애플리케이션은, 안드로이드 OS용 애플리케이션인 것을 특징으로 한다.
또한, 본 발명은 악성 애플리케이션 진단방법으로서, 휴대용 단말기에 설치될 수 있는 애플리케이션에 대해 상기 애플리케이션의 해쉬정보를 가지는 인증서 파일을 검색하는 단계와, 상기 인증서 파일을 압축해제하여 상기 애플리케이션의 전체파일에 대한 해쉬정보를 읽어들이는 단계와, 상기 애플리케이션이 포함하는 모든 파일에 대한 각각의 해쉬정보들 중에 기 저장된 정상 또는 악성의 시그니처 해쉬정보와 일치하는 것이 하나 이상 존재하는지 비교하는 단계와, 상기 비교결과를 기반으로 상기 애플리케이션의 악성 또는 정상여부를 판단하는 단계를 포함한다.
또한, 상기 판단하는 단계는, 상기 애플리케이션의 모든 파일에 대한 각각의 해쉬정보들 중에 상기 정상 시그니처 해쉬정보와 일치하는 것이 하나 이상 존재하는지 검색하는 단계와, 상기 검색결과와 일치하는 것이 하나 이상 발견될 경우 상기 애플리케이션을 정상 애플리케이션으로 판단하는 단계를 더 포함하는 것을 특징으로 한다.
또한, 상기 판단하는 단계는, 상기 애플리케이션의 모든 파일에 대한 각각의 해쉬정보들 중에 상기 악성 시그니처 해쉬정보와 일치하는 것이 하나 이상 존재하는지 검색하는 단계와, 상기 검색 결과에서 해쉬정보와 일치하는 파일이 하나 이상 발견될 경우 상기 애플리케이션을 악성 애플리케이션으로 판단하는 단계를 더 포함하는 것을 특징으로 한다.
또한, 상기 애플리케이션이 악성 애플리케이션으로 판단되는 경우, 상기 애플리케이션에 대해서는 상기 휴대용 단말기로의 설치를 차단시키는 단계와, 상기 애플리케이션이 상기 휴대용 단말기에 이미 설치된 경우에는 상기 애플리케이션을 삭제시키는 단계를 더 포함하는 것을 특징으로 한다.
또한, 상기 인증서 파일은, 상기 애플리케이션에 대한 전자서명시 상기 애플리케이션의 apk 파일 내부에 하나의 파일로 생성되는 것을 특징으로 한다.
또한, 상기 인증서 파일은, 상기 애플리케이션의 전체파일에 대한 해쉬정보를 텍스트 형태로 저장하고 있는 것을 특징으로 한다.
또한, 상기 인증서 파일은, manifest.mf 파일인 것을 특징으로 한다.
본 발명은 안드로이드 OS 기반의 스마트폰 등의 휴대용 단말기에서 악성 애플리케이션을 진단함에 있어서, 애플리케이션의 설치파일인 apk 파일내 포함된 모든 개별 파일의 해쉬 정보를 가지고 있는 인증서 파일만을 압축 해제한 후, 압축 해제된 인증서 파일내 존재하는 apk 파일내 모든 개별 파일에 대한 해쉬 정보와 기 저장된 시그니처 해쉬 정보를 비교함으로써 단말기의 성능 저하를 방지하면서도 악성 애플리케이션을 보다 신속하고 정확하게 진단할 수 있는 이점이 있다.
도 1은 본 발명의 실시예에 따른 악성 애플리케이션 진단장치의 상세 블록 구성도,
도 2는 본 발명의 실시예에 따른 악성 애플리케이션 진단 개념도,
도 3은 본 발명의 실시예에 따른 악성 애플리케이션을 진단하는 동작 제어 흐름도.
이하, 첨부된 도면을 참조하여 본 발명의 동작 원리를 상세히 설명한다. 하기에서 본 발명을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
첨부된 블록도의 각 블록과 흐름도의 각 단계의 조합들은 컴퓨터 프로그램 인스트럭션들에 의해 수행될 수도 있다. 이들 컴퓨터 프로그램 인스트럭션들은 범용 컴퓨터, 특수용 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서에 탑재될 수 있으므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비의 프로세서를 통해 수행되는 그 인스트럭션들이 블록도의 각 블록 또는 흐름도의 각 단계에서 설명된 기능들을 수행하는 수단을 생성하게 된다. 이들 컴퓨터 프로그램 인스트럭션들은 특정 방식으로 기능을 구현하기 위해 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 지향할 수 있는 컴퓨터 이용 가능 또는 컴퓨터 판독 가능 메모리에 저장되는 것도 가능하므로, 그 컴퓨터 이용가능 또는 컴퓨터 판독 가능 메모리에 저장된 인스트럭션들은 블록도의 각 블록 또는 흐름도 각 단계에서 설명된 기능을 수행하는 인스트럭션 수단을 내포하는 제조 품목을 생산하는 것도 가능하다. 컴퓨터 프로그램 인스트럭션들은 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에 탑재되는 것도 가능하므로, 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비 상에서 일련의 동작 단계들이 수행되어 컴퓨터로 실행되는 프로세스를 생성해서 컴퓨터 또는 기타 프로그램 가능한 데이터 프로세싱 장비를 수행하는 인스트럭션들은 블록도의 각 블록 및 흐름도의 각 단계에서 설명된 기능들을 실행하기 위한 단계들을 제공하는 것도 가능하다.
또한, 각 블록 또는 각 단계는 특정된 논리적 기능(들)을 실행하기 위한 하나 이상의 실행 가능한 인스트럭션들을 포함하는 모듈, 세그먼트 또는 코드의 일부를 나타낼 수 있다. 또, 몇 가지 대체 실시 예들에서는 블록들 또는 단계들에서 언급된 기능들이 순서를 벗어나서 발생하는 것도 가능함을 주목해야 한다. 예컨대, 잇달아 도시되어 있는 두 개의 블록들 또는 단계들은 사실 실질적으로 동시에 수행되는 것도 가능하고 또는 그 블록들 또는 단계들이 때때로 해당하는 기능에 따라 역순으로 수행되는 것도 가능하다.
도 1은 본 발명의 실시예에 따른 휴대용 단말기의 악성 애플리케이션을 진단하는 진단장치(100)의 상세 블록 구성을 도시한 것으로, 인증서 파일 추출부(102), 진단 엔진부(104), 시그니처(signature) DB(database)(106) 등을 포함한다. 이러한 휴대용 단말기는 스마트폰과 테블릿 PC 등의 단말기를 포함할 수 있다.
이하, 도 1을 참조하여 본 발명의 악성 애플리케이션 진단장치(100) 각부에서의 동작을 상세히 살펴보기로 한다.
먼저, 시그니처 DB(106)는 휴대용 단말기에 설치되는 애플리케이션에 대한 정상 시그니처(white signature) 해쉬정보 및/또는 악성 시그니처(malware signature) 해쉬정보를 저장한다.
인증서 파일 추출부(102)는 휴대용 단말기에 새로이 다운로드(download)되어 설치되거나 이전 설치된 애플리케이션에 대해 애플리케이션의 압축 해제된 파일 중 애플리케이션의 해쉬정보를 가지는 인증서 파일을 추출한다.
안드로이드 플랫폼에 설치되는 모든 애플리케이션은 Java의 jar 형식을 가지는 압축파일인 apk(android package) 파일 형식을 가지며, 통상적으로 전자서명(signing)이 이루어진 후에 휴대용 단말기에 설치 및 실행이 가능하다.
이때, 위와 같은 애플리케이션에 전자 서명이 되는 경우 apk 파일 내부에 인증서 파일인 manifest.mf 파일이 생성되는데, 이와 같은 인증서 파일에는 apk 파일에 포함된 모든 파일에 대한 해쉬 정보가 포함된다. 이러한 해쉬 정보는 SHA-1 해쉬를 포함하여 MD5, SHA-256 등, 인증서에 명시된 다른 해쉬 알고리즘 또한 사용될 수 있다.
즉, 인증서 파일 추출부(102)는 apk 파일에 포함된 파일 중 애플리케이션을 구성하는 모든 파일의 해쉬 정보를 가지고 있는 인증서 파일인 manifest.mf 파일을추출하게 된다.
진단 엔진부(104)는 인증서 파일 추출부(102)로부터 추출된 인증서 파일을 압축 해제하여 애플리케이션을 구성하는 모든 파일에 대한 해쉬정보를 읽어들여 시그니처 DB(106)에 기 저장된 정상 또는 악성의 시그니처 해쉬정보와 비교한 후, 해당 애플리케이션의 악성 여부를 진단한다.
즉, 진단 엔진부(104)는 예를 들어 애플리케이션의 전체파일에 대한 해쉬정보 중에서 시그니처 DB(106)에 저장된 정상 시그니처 해쉬정보와 일치하는 것이 하나 이상 검색되는 경우 해당 애플리케이션을 정상 애플리케이션으로 판단할 수 있다. 또한 애플리케이션의 전체파일에 대한 해쉬정보 중에서 악성 시그니처 해쉬정보와 서로 일치하는 것이 하나 이상 검색되는 경우 악성 애플리케이션으로 진단할 수 있다.
이때, 진단 엔진부(104)는 위와 같이 악성 애플리케이션으로 진단된 해당 애플리케이션에 대해서는 휴대용 단말기로의 설치를 차단시키거나, 이미 설치된 애플리케이션에 대해서는 해당 애플리케이션을 삭제시킬 수 있다.
도 2는 본 발명의 실시예에 따른 휴대용 단말기의 악성 애플리케이션을 진단하는 진단장치에서 동작 개념을 도시한 것이다.
이하, 도 2를 참조하여 다시 한번 악성 애플리케이션 진단장치(100) 각부에서의 동작을 살펴보기로 한다.
안드로이드 플랫폼에 설치되는 애플리케이션의 apk 파일은 도 2에서 보여지는 바와 같이 AndroidManifest.xml, classes.dex, resources.arsc 파일이 루트 디렉토리(root directory)(202)의 하위 디렉토리에 폴더 형태로 반드시 존재하게 된다. 이때, [META-INF] 디렉토리에는 apk 파일내 포함되는 모든 개별 파일의 해쉬정보를 저장하고 있는 인증서 파일(204)인 manifest.mf 파일이 존재한다.
즉, 인증서 파일(204)에는 도 2의 참조번호 (210)에서 보여지는 바와 같이 apk 파일내 포함되는 모든 개별 파일의 해쉬 정보가 텍스트(text) 형태로 저장되어 있다.
이와 같은 인증서 파일(204)은 인증서 파일 추출부(102)에 의해 추출되어 진단 엔진부(104)로 전달된다.
그러면, 진단 엔진부(104)에서는 인증서 파일(204)에 텍스트 형태로 기록되어 있는 apk 파일이 포함하고 있는 모든 개별 파일 즉, 애플리케이션을 구성하는 전체 파일에 대한 해쉬 정보를 시그니처 DB(106)에 기 저장된 정상 또는 악성의 시그니처 해쉬정보와 비교한 후, 해당 애플리케이션의 악성 여부를 진단하는 것이다.
즉, 진단 엔진부(104)는 예를 들어 전체파일에 대한 해쉬정보 중에서 시그니처 DB(106)에 저장된 정상 시그니처 해쉬정보와 일치하는 것이 하나 이상 검색되는 경우 해당 애플리케이션을 정상 애플리케이션으로 판단할 수 있다. 또한 애플리케이션의 전체파일에 대한 해쉬정보 중에서 악성 시그니처 해쉬정보와 서로 일치하는 것이 하나 이상 검색되는 경우 악성 애플리케이션으로 진단할 수 있다.
이때, 종래 안드로이드 애플리케이션에 대한 악성여부 진단에 있어서는 apk 파일에 포함되는 모든 개별 파일에 대해 일일이 압축을 해제하여 해쉬정보를 읽어들이는 과정을 통해 애플리케이션의 전체파일에 대한 해쉬정보를 구성함에 따라 시간이 많이 소요되었으며, 단말기의 성능이 저하되는 문제점이 있었으며, 또한 classes.dex, resoures.arsc 등과 같이 악성 코드에 의한 감염 가능성이 높은 일부 파일에 대해서만 진단을 수행하는 경우에는 파일의 특정 부분만을 검사하기 때문에 오진의 위험성이 있었음은 전술한 바와 같다.
따라서, 본 발명에서는 위 설명한 바와 같이 apk 파일내 포함된 모든 개별파일에 대해 일일이 압축을 해제하는 것을 통해 모든 개별 파일의 해쉬 정보를 수집하는 것이 아니라, apk 파일내 모든 개별 파일의 해쉬 정보를 텍스트 형태로 가지고 있는 인증서 파일(204)만을 압축해제함으로써 애플리케이션의 전체파일에 대한 해쉬정보를 구하도록 함으로서 해쉬정보를 구성하는데 따른 시간을 크게 절약할 수 있으며, 또한 각각의 파일에 대해 파일 전체(단일파일)에 대한 해쉬정보를 가지고 진단을 수행함으로써 오진의 위험성도 방지시킬 수 있게 되는 것이다.
도 3은 본 발명의 실시예에 따른 악성 애플리케이션 진단장치(100)에서 악성 애플리케이션을 진단하는 동작 제어 흐름을 도시한 것이다. 이하, 도 1, 도 2 및 도 3을 참조하여 본 발명의 실시예를 상세히 설명하기로 한다.
먼저, 휴대용 단말기에 대한 악성 애플리케이션 진단이 요청되는 경우 진단장치(100)내 진단 엔진부(104)는 휴대용 단말기에 설치된 파일들에 대해 파일 유형 분석을 수행하여 apk 파일 형식을 가지는 애플리케이션을 검색한다(S300, S302).
이때, apk 파일 형식을 가지는 애플리케이션이 검색되는 경우 진단 엔진부(104)는 해당 애플리케이션의 apk파일로부터 애플리케이션의 전체파일에 대한 해쉬정보를 가지고 있는 인증서 파일(204)인 mankfest.mf 파일을 압축해제한다(S304). 이때, 위와 같은 인증서 파일(204)인 manifest.mf 파일은 인증서 파일 추출부(102)로부터 추출되어 진단 엔진부(104)로 제공될 수 있다.
인증서 파일(204)에는 도 2의 참조번호 (210)에서 보여지는 바와 같이 apk 파일내 포함되는 모든 개별 파일의 해쉬 정보가 텍스트 형태로 저장되어 있는데, 진단 엔진부(104)는 인증서 파일(204)에 텍스트 형태로 기록되어 있는 apk 파일이 포함하고 있는 모든 개별 파일 즉, 애플리케이션을 구성하는 전체 파일에 대한 해쉬 정보를 읽어온다(S306).
이어, 진단 엔진부(104)는 인증서 파일(204)에서 읽어들인 해당 애플리케이션의 전체파일에 대한 해쉬정보들 중에서 시그니처 DB(106)에 기 저장된 정상 또는 악성의 시그니처 해쉬정보와 일치하는 것이 하나 이상 존재하는지를 검색한 후, 해당 애플리케이션의 악성 또는 정상 여부를 판단한다(S308).
즉, 진단 엔진부(104)는 예를 들어 애플리케이션이 포함하는 전체 파일들에 대한 해쉬정보 중에 시그니처 DB(106)에 저장된 정상 시그니처 해쉬정보와 서로 일치하는 것이 하나 이상 존재할 경우 해당 애플리케이션을 정상 애플리케이션으로 진단할 수 있다. 또한 애플리케이션이 포함하는 전체 파일들에 대한 해쉬정보 중에 악성 시그니처 해쉬정보와 서로 일치하는 것이 하나 이상 존재할 경우 해당 애플리케이션을 악성 애플리케이션으로 진단할 수 있다.
이어, 진단 엔진부(104)는 진단된 결과에 따라, 위와 같이 악성 애플리케이션으로 진단된 해당 애플리케이션에 대해서는 휴대용 단말기로의 설치를 차단시키거나, 이미 설치된 애플리케이션에 대해서는 해당 애플리케이션을 삭제시킬 수 있다(S310).
상기한 바와 같이, 본 발명에서는 안드로이드 OS 기반의 스마트폰 등의 휴대용 단말기에서 악성 애플리케이션을 진단함에 있어서, 애플리케이션의 apk 파일내 포함된 모든 개별 파일의 해쉬 정보를 가지고 있는 인증서 파일만을 압축 해제한 후, 압축 해제된 인증서 파일내 존재하는 apk 파일내 모든 개별 파일에 대한 해쉬 정보와 기 저장된 시그니처 해쉬 정보를 비교함으로써 단말기의 성능 저하를 방지하면서도 악성 애플리케이션을 보다 신속하고 정확하게 진단할 수 있다.
한편 상술한 본 발명의 설명에서는 구체적인 실시예에 관해 설명하였으나, 여러 가지 변형이 본 발명의 범위에서 벗어나지 않고 실시될 수 있다. 따라서 발명의 범위는 설명된 실시 예에 의하여 정할 것이 아니고 특허청구범위에 의해 정하여져야 한다.

Claims (18)

  1. 휴대용 단말기에 설치될수 있는 애플리케이션에 대한 정상 또는 악성의 시그니처 해쉬정보가 저장된 시그니처 DB와,
    상기 애플리케이션으로부터 상기 애플리케이션의 해쉬정보를 가지는 인증서 파일을 추출하는 인증서 파일 추출부와,
    추출된 상기 인증서 파일로부터 상기 애플리케이션의 해쉬정보를 읽어들여 상기 시그니처 데이터베이스에 기 저장된 시그니처 해쉬정보와 비교한 후, 해당 애플리케이션의 악성 여부를 진단하는 진단부를 포함하는 악성 애플리케이션 진단장치.
  2. 제 1 항에 있어서,
    상기 인증서 파일 추출부는,
    상기 애플리케이션의 설치파일인 apk 파일로부터 상기 인증서 파일을 검색하여 추출하는 것을 특징으로 하는 악성 애플리케이션 진단장치.
  3. 제 2 항에 있어서,
    상기 진단 엔진부는,
    상기 인증서 파일을 압축해제하여 상기 애플리케이션의 전체파일에 대한 해쉬정보를 추출하는 것을 특징으로 하는 악성 애플리케이션 진단장치.
  4. 제 1 항에 있어서,
    상기 인증서 파일은,
    상기 애플리케이션에 대한 전자서명시 상기 애플리케이션의 설치파일인 apk 파일 내부에 하나의 파일로 생성되는 것을 특징으로 하는 악성 애플리케이션 진단장치.
  5. 제 3 항에 있어서,
    상기 인증서 파일은,
    상기 전체파일에 대한 해쉬정보를 텍스트 형태로 저장하고 있는 것을 특징으로 하는 악성 애플리케이션 진단장치.
  6. 제 1 항에 있어서,
    상기 인증서 파일은,
    manifest.mf 파일인 것을 특징으로 하는 악성 애플리케이션 진단장치.
  7. 제 3 항에 있어서,
    상기 진단 엔진부는,
    상기 애플리케이션이 포함하는 모든 파일들에 대한 개별 파일 각각의 해쉬정보들 중에서 상기 시그니처 DB에 저장되어 있는 정상 시그니처 해쉬정보와 서로 일치하는 것이 하나 이상 발견될 경우 해당 애플리케이션을 정상 애플리케이션으로 판단하는 것을 특징으로 하는 악성 애플리케이션 진단장치.
  8. 제 3 항에 있어서,
    상기 진단 엔진부는,
    상기 애플리케이션이 포함하는 모든 파일들에 대한 개별 파일 각각의 해쉬정보들 중에서 상기 시그니처 DB에 저장되어 있는 악성 시그니처 해쉬정보와 서로 일치하는 것이 하나 이상 발견될 경우 해당 애플리케이션을 악성 애플리케이션으로 판단하는 것을 특징으로 하는 악성 애플리케이션 진단장치.
  9. 제 7 항 또는 제 8 항에 있어서,
    상기 진단 엔진부는,
    악성 애플리케이션으로 진단된 해당 애플리케이션에 대해서는 상기 휴대용 단말기로의 설치를 차단시키거나, 이미 설치된 애플리케이션에 대해서는 해당 애플리케이션을 삭제시키는 것을 특징으로 하는 악성 애플리케이션 진단장치.
  10. 제 1 항에 있어서,
    상기 휴대용 단말기는,
    안드로이드 OS가 탑재된 전자기기 인 것을 특징으로 하는 악성 애플리케이션 진단장치.
  11. 제 1 항에 있어서,
    상기 애플리케이션은,
    안드로이드 OS용 애플리케이션인 것을 특징으로 하는 악성 애플리케이션 진단장치.
  12. 휴대용 단말기에 설치될 수 있는 애플리케이션에 대해 상기 애플리케이션의 해쉬정보를 가지는 인증서 파일을 검색하는 단계와,
    상기 인증서 파일을 압축해제하여 상기 애플리케이션의 전체파일에 대한 해쉬정보를 읽어들이는 단계와,
    상기 애플리케이션이 포함하는 모든 파일에 대한 각각의 해쉬정보들 중에 기 저장된 정상 또는 악성의 시그니처 해쉬정보와 일치하는 것이 하나 이상 존재하는지 비교하는 단계와,
    상기 비교결과를 기반으로 상기 애플리케이션의 악성 또는 정상여부를 판단하는 단계를 포함하는 악성 애플리케이션 진단방법.
  13. 제 12 항에 있어서,
    상기 판단하는 단계는,
    상기 애플리케이션의 모든 파일에 대한 각각의 해쉬정보들 중에 상기 정상 시그니처 해쉬정보와 일치하는 것이 하나 이상 존재하는지 검색하는 단계와,
    상기 검색결과와 일치하는 것이 하나 이상 발견될 경우 상기 애플리케이션을 정상 애플리케이션으로 판단하는 단계를 더 포함하는 것을 특징으로 하는 악성 애플리케이션 진단방법.
  14. 제 12 항에 있어서,
    상기 판단하는 단계는,
    상기 애플리케이션의 모든 파일에 대한 각각의 해쉬정보들 중에 상기 악성 시그니처 해쉬정보와 일치하는 것이 하나 이상 존재하는지 검색하는 단계와,
    상기 검색 결과에서 해쉬정보와 일치하는 파일이 하나 이상 발견될 경우 상기 애플리케이션을 악성 애플리케이션으로 판단하는 단계를 더 포함하는 것을 특징으로 하는 악성 애플리케이션 진단방법.
  15. 제 13 항 또는 제 14 항에 있어서,
    상기 애플리케이션이 악성 애플리케이션으로 판단되는 경우, 상기 애플리케이션에 대해서는 상기 휴대용 단말기로의 설치를 차단시키는 단계와,
    상기 애플리케이션이 상기 휴대용 단말기에 이미 설치된 경우에는 상기 애플리케이션을 삭제시키는 단계를 더 포함하는 것을 특징으로 하는 악성 애플리케이션 진단방법.
  16. 제 12 항에 있어서,
    상기 인증서 파일은,
    상기 애플리케이션에 대한 전자서명시 상기 애플리케이션의 apk 파일 내부에 하나의 파일로 생성되는 것을 특징으로 하는 악성 애플리케이션 진단방법.
  17. 제 12 항에 있어서,
    상기 인증서 파일은,
    상기 애플리케이션의 전체파일에 대한 해쉬정보를 텍스트 형태로 저장하고 있는 것을 특징으로 하는 악성 애플리케이션 진단방법.
  18. 제 12 항에 있어서,
    상기 인증서 파일은,
    manifest.mf 파일인 것을 특징으로 하는 악성 애플리케이션 진단방법.
PCT/KR2013/005643 2012-07-09 2013-06-26 악성 애플리케이션 진단장치 및 방법 WO2014010847A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2012-0074453 2012-07-09
KR1020120074453 2012-07-09

Publications (1)

Publication Number Publication Date
WO2014010847A1 true WO2014010847A1 (ko) 2014-01-16

Family

ID=49916248

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2013/005643 WO2014010847A1 (ko) 2012-07-09 2013-06-26 악성 애플리케이션 진단장치 및 방법

Country Status (1)

Country Link
WO (1) WO2014010847A1 (ko)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104268468A (zh) * 2014-09-25 2015-01-07 福建升腾资讯有限公司 一种对Android系统动态链接库保护方法及系统
CN104408370A (zh) * 2014-12-25 2015-03-11 珠海全志科技股份有限公司 安卓系统安全性验证方法及其验证装置
CN107820129A (zh) * 2017-11-16 2018-03-20 四川长虹电器股份有限公司 一种自动维护智能设备应用数据包的方法
CN109117175A (zh) * 2018-07-31 2019-01-01 成都华栖云科技有限公司 一种基于apk反编译快速封包桌面端打包方法及打包工具
US11750732B1 (en) 2023-02-20 2023-09-05 14788591 Canada Inc. System for introducing features to an in-vehicle infotainment system and method of use thereof

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20080074271A (ko) * 2007-02-08 2008-08-13 삼성전자주식회사 휴대단말 악성코드 처리장치 및 그 처리 방법
KR20100005518A (ko) * 2008-07-07 2010-01-15 주식회사 안철수연구소 확장자를 위장한 파일을 탐지하는 방법 및 그 장치
KR20110125698A (ko) * 2010-05-14 2011-11-22 에스케이플래닛 주식회사 웹 어플리케이션 실행을 위한 보안 제공 장치 및 방법
KR101161493B1 (ko) * 2010-01-18 2012-06-29 (주)쉬프트웍스 안드로이드 단말 플랫폼에서의 악성 코드와 위험 파일의 진단 방법

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20080074271A (ko) * 2007-02-08 2008-08-13 삼성전자주식회사 휴대단말 악성코드 처리장치 및 그 처리 방법
KR20100005518A (ko) * 2008-07-07 2010-01-15 주식회사 안철수연구소 확장자를 위장한 파일을 탐지하는 방법 및 그 장치
KR101161493B1 (ko) * 2010-01-18 2012-06-29 (주)쉬프트웍스 안드로이드 단말 플랫폼에서의 악성 코드와 위험 파일의 진단 방법
KR20110125698A (ko) * 2010-05-14 2011-11-22 에스케이플래닛 주식회사 웹 어플리케이션 실행을 위한 보안 제공 장치 및 방법

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104268468A (zh) * 2014-09-25 2015-01-07 福建升腾资讯有限公司 一种对Android系统动态链接库保护方法及系统
CN104408370A (zh) * 2014-12-25 2015-03-11 珠海全志科技股份有限公司 安卓系统安全性验证方法及其验证装置
CN104408370B (zh) * 2014-12-25 2017-08-04 珠海全志科技股份有限公司 安卓系统安全性验证方法及其验证装置
CN107820129A (zh) * 2017-11-16 2018-03-20 四川长虹电器股份有限公司 一种自动维护智能设备应用数据包的方法
CN109117175A (zh) * 2018-07-31 2019-01-01 成都华栖云科技有限公司 一种基于apk反编译快速封包桌面端打包方法及打包工具
US11750732B1 (en) 2023-02-20 2023-09-05 14788591 Canada Inc. System for introducing features to an in-vehicle infotainment system and method of use thereof

Similar Documents

Publication Publication Date Title
WO2015056885A1 (ko) 안드로이드 악성 애플리케이션의 탐지장치 및 탐지방법
CN103279706B (zh) 拦截在移动终端中安装安卓应用程序的方法和装置
WO2014035043A1 (ko) 악성 애플리케이션 진단 장치 및 방법
US8782793B2 (en) System and method for detection and treatment of malware on data storage devices
KR101373986B1 (ko) 모델을 사용하여 실행가능 프로그램을 조사하는 방법 및 장치
CN112685737A (zh) 一种app的检测方法、装置、设备及存储介质
US10185825B2 (en) System and method for generating rules for detecting modified or corrupted external devices
Bommisetty et al. Practical mobile forensics
WO2019072008A1 (zh) 小程序的安全扫描方法、装置以及电子设备
WO2014010847A1 (ko) 악성 애플리케이션 진단장치 및 방법
US9747449B2 (en) Method and device for preventing application in an operating system from being uninstalled
US8661543B2 (en) Mobile terminal having security diagnosis functionality and method of making diagnosis on security of mobile terminal
WO2014088262A1 (ko) 애플리케이션 위/변조 탐지장치 및 방법
CN104517054A (zh) 一种检测恶意apk的方法、装置、客户端和服务器
WO2014168408A1 (ko) 클라우드 기반 악성코드 진단 장치, 시스템 및 방법
CN105631312A (zh) 恶意程序的处理方法及系统
KR20130066901A (ko) 데이터 분석 시스템에서 맬웨어를 분석하기 위한 장치 및 방법
KR101256468B1 (ko) 악성 파일 진단 장치 및 방법
CN111563015A (zh) 数据监控方法及装置、计算机可读介质及终端设备
KR101473658B1 (ko) 필터를 이용한 클라우드 기반 악성코드 진단장치, 시스템 및 방법
WO2021243555A1 (zh) 一种快应用检测方法、装置、设备及存储介质
WO2015126079A1 (ko) 리패키징 탐지 방법 및 장치
WO2015037850A1 (ko) Url 호출 탐지장치 및 방법
WO2014098387A1 (ko) 악성 애플리케이션 진단장치 및 방법
KR101369254B1 (ko) 악성 애플리케이션 진단장치 및 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13816354

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 13816354

Country of ref document: EP

Kind code of ref document: A1