CN104021340A - 一种恶意应用安装的检测方法和装置 - Google Patents

Abstract

本申请实施例公开了一种恶意应用安装的检测方法和装置，其中方法包括：扫描终端设备中已安装的应用的唯一标识；在标识数据库中查找是否存在所扫描的唯一标识，所述标识数据库用于保存每一个经应用安装管理器安装的应用的唯一标识；如果否，确定所扫描的唯一标识对应的应用是恶意安装的。如此技术方案，其不依赖于应用签名者信息，其检测可靠性高，能够满足用户需求。

Description

一种恶意应用安装的检测方法和装置

技术领域　

本申请涉及电子设备技术领域，更具体的说是涉及一种恶意应用安装的检测方法和装置。 

背景技术　

随着电子设备技术的快速发展，越来越多的终端设备应用到人们生活的各个领域中。比如手机、智能手机、对讲机、笔记本、计算机等等，人们在使用这些终端设备时，会在终端设备中安装各种不同类型的应用，以满足实际生活娱乐需求。比如可以安装支付应用、游戏应用、办公应用等类型的应用。　 

但由于应用商店多种多样，比如操作***开发商主导的移动应用商店、移动运营商主导的移动应用商店、终端制造商主导的移动应用商店，而应用商店对应用的安全性标准均不相同，很多恶意应用会在用户安装合法应用的过程中以静默安装的手段或者以其他恶意安装手段非法安装至终端设备中。恶意应用可能会窃取用户个人信息严重时可能会造成用户财产安全，恶意应用也可能会影响其他合法应用的正常使用。因此，用户在使用终端设备时需要检测应用是否为恶意安装，及时卸载该恶意安装的应用避免造成损害。 

现有技术恶意应用安装的检测技术方案是：首先获取应用的开发者信息，再在云端数据库中保存的开发者行为记录中，查看该开发者是否有过恶意行为记录判断当前应用是否可信，如果否，则认为该应用是恶意安装的应用。该技术方案依赖云端数据库和应用的开发者，开发者信息可以被随意伪造，且云端数据库中无法保存所有的开发者行为记录，因此，该技术方案检测恶意应用安装的可靠性较低，无法满足用户实际需求。 

发明内容　

有鉴于此，本申请提供的一种恶意应用安装的检测方法和装置，通过在合法应用安装过程中将该应用的唯一标识保存在标识数据库中，扫描终端已 安装的应用的唯一标识，分析所扫描的唯一标识是否是标识数据库中的唯一标识，如果不是，则可以断定该应用不是合法安装的应用，而是恶意安装的应用。通过这种检测方式能够准确地检测出每一个恶意安装应用，其检测可靠性高，能满足用户实际需求。 

为实现上述目的，本申请提供如下技术方案： 

第一方面，本发明提供了一种恶意应用安装的检测方法，所述方法包括： 

扫描终端设备中已安装的应用的唯一标识； 

在标识数据库中查找是否存在所扫描的唯一标识，所述标识数据库用于保存每一个经应用安装管理器安装的应用的唯一标识； 

如果否，确定所扫描的唯一标识对应的应用是恶意安装的。 

可选的，所述扫描终端设备中已安装的应用的唯一标识，包括： 

扫描终端设备中已安装的应用的签名信息； 

则在数据库中查找是否存在所扫描的唯一标识，所述数据库用于保存每一个经应用安装管理器安装的应用的唯一标识，具体为： 

在数据库中查找是否存在所扫描的签名信息，所述数据库用于保存每一个经应用安装管理器安装的应用的签名信息； 

则所述确定所扫描的唯一标识对应的应用是恶意安装的，具体为： 

确定所扫描的签名信息对应的应用是恶意安装的。 

可选的，所述标识数据库是通过以下方式建立的： 

在合法应用安装应用时，所述应用安装管理器获取该合法应用的唯一标识，将获取的唯一标识保存至数据库，该数据库作为标识数据库。 

可选的，在所述扫描终端设备中已安装的应用的唯一标识之前，所述方法还包括： 

设置扫描周期； 

则所述扫描终端设备中安装的应用的唯一标识，具体为按照所设置的扫描周期自动周期性扫描终端设备中安装的应用的唯一标识。 

可选的，在所述确定所扫描的唯一标识对应的应用是恶意安装的之后，所述方法还包括： 

向用户发送告警信息，以告知用户卸载该恶意安装的应用。 

第二方面，本发明提供了一种恶意应用安装的检测装置，所述装置包括： 

扫描单元，用于扫描终端设备中已安装的应用的唯一标识； 

查找单元，用于在标识数据库中查找是否存在所扫描的唯一标识，如果否，触发确定单元；所述标识数据库用于保存每一个经应用安装管理器安装的应用的唯一标识；　 

所述确定单元，用于确定所扫描的唯一标识对应的应用是恶意安装的。 

可选的，所述扫描单元具体用于扫描终端设备中已安装的应用的签名信息； 

则所述查找单元具体用于在数据库中查找是否存在所扫描的签名信息，所述数据库用于保存每一个经应用安装管理器安装的应用的签名信息； 

则所述确定单元具体用于确定所扫描的签名信息对应的应用是恶意安装的。 

可选的，所述查找单元使用的标签数据库是通过建立单元建立的； 

所述建立单元，用于在合法应用安装应用时，所述应用安装管理器获取该合法应用的唯一标识，将获取的唯一标识保存至数据库，该数据库作为标识数据库。 

可选的，所述装置还包括： 

设置单元，用于设置扫描周期； 

则所述扫描单元具体用于按照所设置的扫描周期自动周期性扫描终端设备中安装的应用的唯一标识。 

可选的，所述装置还包括： 

告警单元，用于向用户发送告警信息，以告知用户卸载该恶意安装的应用。 

本申请提供的一种恶意应用安装的检测方法和装置，通过扫描终端设备中已安装的应用的唯一标识；在标识数据库中查找是否存在所扫描的唯一标识，由于标识数据库中保存每一个经应用安装管理器安装的应用的唯一标识；当标识数据库中不存在所扫描的唯一标识时，则确定所查找的唯一标识对应的应用是恶意安装的，这种检测方式能够准确地检测出终端设备中的恶意安装应用，其不依赖于开发者的信息，其可靠性高能够满足用户实际需求。 

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。 

图1为本申请实施例恶意应用安装的检测方法实施例1的流程图； 

图2为本申请实施例恶意应用安装的检测方法实施例2的流程图； 

图3为本申请实施例恶意应用安装的检测装置实施例1的结构图。 

具体实施方式　

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。 

参见图1，图1为本申请实施例恶意应用安装的检测方法实施例1的流程图；本实施例提供的技术方案包括以下步骤： 

步骤101，扫描终端设备中已安装的应用的唯一标识。 

终端设备可以是手机、平板电脑、笔记本电脑、计算机、智能手机等具有安装软件功能的设备。 

应用提供者发布每一款应用时都提供该应用的唯一标识，唯一标识顾名思义只能唯一标识对应的应用。唯一标识中可以包含该应用的名称、编号、发布时间等与该应用有关的信息。唯一标识可以是数据、字母、图像或其组合形式，也可以是二维码等其他形式。同一类型应用的不同版本其唯一标识也彼此不同，比如支付宝应用的不同版本的唯一标识均不相同。 

在实际应用场景中，用户可以从任意应用商店下载应用并将其安装在终端设备中，也可以从其他地方获取应用并将其安装在终端设备中，这些合法应用的安装过程一定是经过用户许可的。用户主动触发的应用安装，由终端设备***中的应用安装管理器控制整个安装过程，为用户提供安装确认界面，以便用户许可安装行为。但一些恶意软件比如木马、病毒等软件会未明确提 示用户或未经用户许可，在终端设备上自行安装，或者篡改原有的合法应用，使其变成恶意应用。恶意应用会出现强制安装、恶意卸载、恶意捆绑、浏览器劫持、恶意收集用户信息等危害。恶意应用会获取root　权限，通过一些非法手段隐藏自身的安装行为，恶意应用的安装会故意跳过终端设备***中的应用安装管理器的控制，则恶意应用的安装过程无法被应用安装管理器监控，其唯一标识也无法被保存在标识数据库中。　 

终端设备可以是手机、平板电脑、笔记本电脑、计算机、智能手机等具有安装软件功能的设备。下面仅以手机为例，对本申请方法实施例1中各步骤进行解释说明。其他终端设备均可根据具体设备的特殊情况作适应性处理。在此不再一一列举。 

对手机而言，其操作***的类型也多种多样，比如安卓Android、塞班、W indows 　phone　7、黑莓***等，这些***均会设置应用安装管理器，所谓应该安装管理器实际上是***中的一个程序软件，该程序的功能是控制应用安装的整个过程，并为用户提供安装确认服务。 

另外，对于终端设备而言，可以在***中预先设置扫描周期，则后续的扫描操作可以按照扫描周期作周期性扫描以达到周期性检测恶意应用的目的。该周期可以是固定周期，比如一小时、十二小时、一天、一个月等。也可以是不定周期，比如：第二次扫描与第一次扫描间隔一个小时，第三次扫描与第二次扫描间隔两小时，第四次扫描与第三次扫描间隔三个小时等，即每次扫描间隔时间不同，没有周期性。当然，终端设备也可以设置扫描按键(软件或者硬件形式)，由用户触发扫描按键，终端设备接收到按键信息之后，执行扫描操作。在实际应用中，也会存在其他触发扫描操作的形式，在此不再一一列举。 

步骤102，在标识数据库中查找是否存在所扫描的唯一标识，所述标识数据库用于保存每一个经应用安装管理器安装的应用的唯一标识。如果否，执行步骤103。 

步骤103，确定所扫描的唯一标识对应的应用是恶意安装的。 

其中，标签数据库中通过以下方式建立的： 

在合法应用安装应用时，所述应用安装管理器获取该合法应用的唯一标识，将获取的唯一标识保存至数据库，该数据库作为标识数据库。 

终端设备操作***中的应用安装管理器会控制每一个合法应用的安装过程，具体过程为：用户选择待安装的应用，应用安装管理器准备安装该应用时，向用户提供确认安装服务，比如向用户反馈一个确认安装界面，该界面有两个选择一个是确认一个是取消；用户可以选择确认安装，也可以选择取消安装；或者，向用户发送一个查询是否安装信息，用户可以回复确定安装，也可以回复取消安装，当用户选择确认安装时，该应用安装服务器获取待安装的应用的唯一标识，并将该标识保存在一个数据库中，将该数据库称之为标签数据库。由此可见：所有经过用户确认安装的合法应用的唯一标识都会被保存在标签数据库中，而恶意应用由于跳过应用按照管理器的控制，则其标识不会被保存在该标签数据库中。 

当扫描到终端设备中已安装的应用的唯一标识时，则遍历数据库查看其中是否保存该唯一标识，如果有，则表明该唯一标识是合法应用的唯一标识，如果没有，则表明该唯一标识对应的应用是恶意安装的。终端设备中安装的应用可包括：合法安装的应用、被非法篡改的应用、非法安装的应用等，其中除去合法安装的应用之外，其他的应用均称之为恶意安装的应用。 

由于终端设备中安装的应用数目较多，可能查找到多个唯一标识，因此，可以依次在标识数据库中查找是否存在所扫描的每一个应用的唯一标识，也可以并行执行该查找操作。 

在实际应用场景中，当确定唯一标识对应的应用是恶意安装的，该终端设备可以自动卸载该应用。即终端设备操作***预先设置为：当发现恶意安装的应用时，立刻执行自动卸载应用的操作。 

在实际应用场景中，当确定唯一标识对应的应用是恶意安装的，可以向用户发送告警信息，以告知用户卸载该恶意安装的应用。即，卸载操作由用户触发，由用户决定是否卸载该恶意安装的应用。 

通过上述实施例可以看出：本发明恶意应用安装的检测方法是从合法应用安装的角度考虑，由于合法应用安装必须经过终端设备***的应用安装管理器控制安装，在此过程中，再将合法应用的唯一标识保存起来，这样就可以通过查找数据库中保存的唯一标识来识别终端设备中的应用是不是合法安装的，基于此可以分析出终端设备中恶意安装的应用，该方法不依赖开发者 的信息，保存在数据中唯一标识无法被篡改，此过程是封闭过程，因此，该方法的检测可靠性高，能满足用户实际需求。 

目前市场上最常用的终端设备***是安卓***，下面以安卓***为实际***场景，对本发明优选方案作进一步解释说明。 

步骤201，扫描终端设备中已安装的应用的签名信息。 

安卓应用签名是指在安卓***中，所有安装到***的应用都必须有一个数学证书，该数学证书用于标识该应用，也称之为签名信息。每一个安卓应用的签名信息都不相同，即使是同一应用的不同版本，其签名信息也不相同。　 

签名信息是利用数学证书签名技术对应用的相关信息进行加密得到信息。应用的相关信息可以包括应用开发者信息、应用名称、应用编号等与该应用相关的任一种或其多种信息。　 

该扫描操作可以是由安卓***预先设置触发条件，比如设置扫描周期，该扫描周期可以是固定的，也可以是不固定的。当然，也可以在终端设备上设置按键，用于触发扫描操作，该按键可以是硬件的也可以是软件的。 

步骤202，在数据库中查找是否存在所扫描的签名信息，所述数据库用于保存每一个经应用安装管理器安装的应用的签名信息。如果否，执行步骤203。 

步骤203，确定所扫描的签名信息对应的应用是恶意安装的。 

安卓***具有唯一签名机制，该唯一签名机制具体是指：每个安卓应用只要有一点改动，它对应的签名信息就会发生变化，所以可以利用这种签名的唯一性来验证应用是否被篡改过。对于每个合法安装的应用，所谓合法安装是指通过安卓***内置的应用安装管理器(可以是软件模块)会取得应用的签名信息，然后将该签名信息存放在一个标识数据库中，作为该应用的唯一标识，用于后续识别终端设备中安装的应用过是否被篡改或者是否是恶意安装的依据。 

恶意安装是要跳过***的应用安装管理器的控制，因此，其签名信息不会被保存在标识数据库中，另外，当终端设备中的合法应用被恶意篡改，其签名信息也会发生变化，此时，该变化后的签名信息也不会被保存在标识数据库中，恶意篡改后的应用也称之为恶意安装的应用。因此，可以通过签名数据中已保存的签名信息来识别终端设备中已安装应用是否为恶意安装的。 

当确定一个应用是恶意安装的时，安卓***可以后***立卸载该恶意安装应用；也可以向用户反馈告警信息，以告知用户卸载该恶意安装的应用，最终由用户决定是否卸载该恶意安装的应用。 

通过上述实施例可以看出：本发明优选方案结合安卓***的唯一签名机制，通过签名信息识别终端设备中已安装应用是否为恶意安装，此方法简单可行，无需依赖应用开发者信息，其识别可靠性高，能够满足用户实际需求。　 

上述技术方案仅是在安卓***的环境下的一种优选方案，在实际应用中，还存在其他操作***，在其他操作***环境下，同样可以按照本发明技术方案实现恶意应用的检测方法，其基本思想是一致的，在此不再一一列举。 

与上述方法实施例1相对应的，本发明提供了恶意应用安装的检测装置。 

参见图3，图3为本发明实施例恶意应用安装的检测装置，下面结合该装　置工作原理对该装置内部各单元的功能及其连接关系作进一步解释说明。如图3所示，该装置可包括： 

扫描单元301，用于扫描终端设备中已安装的应用的唯一标识； 

查找单元302，用于在标识数据库中查找是否存在所扫描的唯一标识，如果否，触发确定单元；所述标识数据库用于保存每一个经应用安装管理器安装的应用的唯一标识；　 

所述确定单元303，用于确定所扫描的唯一标识对应的应用是恶意安装的。 

可选的，所述扫描单元具体用于扫描终端设备中已安装的应用的签名信息； 

则所述查找单元具体用于在数据库中查找是否存在所扫描的签名信息，所述数据库用于保存每一个经应用安装管理器安装的应用的签名信息； 

则所述确定单元具体用于确定所扫描的签名信息对应的应用是恶意安装的。 

可选的，所述查找单元使用的标签数据库是通过建立单元建立的； 

所述建立单元，用于在合法应用安装应用时，所述应用安装管理器获取该合法应用的唯一标识，将获取的唯一标识保存至数据库，该数据库作为标识数据库。 

可选的，所述装置还包括： 

设置单元，用于设置扫描周期； 

则所述扫描单元具体用于按照所设置的扫描周期自动周期性扫描终端设备中安装的应用的唯一标识。 

可选的，所述装置还包括： 

告警单元，用于向用户发送告警信息，以告知用户卸载该恶意安装的应用。 

通过上述实施例可以看出：本发明提供的检测装置能够利用合法安装的应用的唯一标识机制，通过查看终端设备中已安装的应用的唯一标识是否存在于标识数据库中，如果不存在，则确定该应用是恶意安装的，该检测原理能够提高检测可靠性，满足用户实际需求。 

该装置可以应用于任意一个可安装应用的终端设备中，可以以软件形式，也可以是硬件形式，或者软硬件结合的形式。 

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。 

还需要说明的是，本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中作为分离部件说明的单元可以是或者也可以不是物理上分开的。可以根据实际的需要选 择其中的部分或者全部单元来实现本发明方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。 

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台终端设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。 

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。 

Claims (10)

1.一种恶意应用安装的检测方法，其特征在于，所述方法包括：

扫描终端设备中已安装的应用的唯一标识；

在标识数据库中查找是否存在所扫描的唯一标识，所述标识数据库用于保存每一个经应用安装管理器安装的应用的唯一标识；

如果否，确定所扫描的唯一标识对应的应用是恶意安装的。

2.根据权利要求1所述的方法，其特征在于，所述扫描终端设备中已安装的应用的唯一标识，包括：

扫描终端设备中已安装的应用的签名信息；

则在数据库中查找是否存在所扫描的唯一标识，所述数据库用于保存每一个经应用安装管理器安装的应用的唯一标识，具体为：

在数据库中查找是否存在所扫描的签名信息，所述数据库用于保存每一个经应用安装管理器安装的应用的签名信息；

则所述确定所扫描的唯一标识对应的应用是恶意安装的，具体为：

确定所扫描的签名信息对应的应用是恶意安装的。

3.根据权利要求1所述的方法，其特征在于，

所述标识数据库是通过以下方式建立的：

在合法应用安装应用时，所述应用安装管理器获取该合法应用的唯一标识，将获取的唯一标识保存至数据库，该数据库作为标识数据库。

4.根据权利要求1所述的方法，其特征在于，在所述扫描终端设备中已安装的应用的唯一标识之前，所述方法还包括：

设置扫描周期；

则所述扫描终端设备中安装的应用的唯一标识，具体为按照所设置的扫描周期自动周期性扫描终端设备中安装的应用的唯一标识。

5.根据权利要求1所述的方法，其特征在于，在所述确定所扫描的唯一标识对应的应用是恶意安装的之后，所述方法还包括：

向用户发送告警信息，以告知用户卸载该恶意安装的应用。

6.一种恶意应用安装的检测装置，其特征在于，所述装置包括：

扫描单元，用于扫描终端设备中已安装的应用的唯一标识；

查找单元，用于在标识数据库中查找是否存在所扫描的唯一标识，如果否，触发确定单元；所述标识数据库用于保存每一个经应用安装管理器安装的应用的唯一标识；

所述确定单元，用于确定所扫描的唯一标识对应的应用是恶意安装的。

7.根据权利要求6所述的装置，其特征在于，

所述扫描单元具体用于扫描终端设备中已安装的应用的签名信息；

则所述查找单元具体用于在数据库中查找是否存在所扫描的签名信息，所述数据库用于保存每一个经应用安装管理器安装的应用的签名信息；

则所述确定单元具体用于确定所扫描的签名信息对应的应用是恶意安装的。

8.根据权利要求6所述的装置，其特征在于，所述查找单元使用的标签数据库是通过建立单元建立的；

所述建立单元，用于在合法应用安装应用时，所述应用安装管理器获取该合法应用的唯一标识，将获取的唯一标识保存至数据库，该数据库作为标识数据库。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

设置单元，用于设置扫描周期；

则所述扫描单元具体用于按照所设置的扫描周期自动周期性扫描终端设备中安装的应用的唯一标识。

10.根据权利要求6所述的装置，其特征在于，所述装置还包括：

告警单元，用于向用户发送告警信息，以告知用户卸载该恶意安装的应用。