CN104363256A - 一种手机病毒的识别和控制方法、设备与*** - Google Patents

Abstract

本发明通过将手机病毒的识别和控制部署在网络节点，而非传统的在手机上安装病毒识别和控制终端的方式，实现了手机病毒的识别和中央控制，对个人用户是透明的，极大地减轻了组织机构实现移动设备安全的工作量。同时，通过设置病毒特征库和应用行为特征库，大大降低了误报率，克服了传统方案的多项缺陷，改善了用户体验。

Description

一种手机病毒的识别和控制方法、设备与***

【技术领域】

本发明主要涉及移动互联网上的手机病毒和恶意软件的识别和控制技术领域。

【背景技术】

现有的手机查杀病毒的方案基本都是终端杀毒的方式。就是在每个手机用户的终端上安装客户端，客户端包含各种功能，其中最重要的两个：一是集成了预先收集的病毒特征库，当手机的网络行为符合先验的病毒定义时，则识别出病毒并执行与之匹配的控制动作；另一个是可疑行为的反馈和上传动作，当未被预先定义的特征库所包含，却达到某些触发条件时，可以将指定的行为信息上传和反馈给手机杀毒方案提供商，经其分析后将新的病毒特征库交由客户端下载更新。还有一些杀毒方案包含云查杀的方式，这有两方面含义：一是病毒特征库可能部署在云端，这使得客户端变得小巧轻便，本地资源和性能得到较大改善，另外病毒特征库更容易保持最新同步；二是病毒的鉴别计算被转移到云端，云端既可以通过先验的特征库进行识别，也可以通过统计每个个体的行为共性来进行识别。每当客户端触发网络流量时，到云端查询识别结果，并根据结果执行相应的控制动作。移动设备管理的本质是数据管理，数据管理仅仅从终端角度是不够的，必须要从云端+终端两方面解决。

传统杀毒软件收集病毒样本的方式：①、Fans举报；②、论坛举报；③、蜜罐收集 ④、病毒联盟样本交换。

传统杀毒软件厂商进行病毒分析的方法：①、静态扫描；②、黑盒测试；③、Debug分析，对安装的程序逐步调试。

现有的手机终端杀毒方案，虽然从客户端的病毒库到云端查杀，已经取得了较大的技术进展，但其固有的缺陷却始终无法得到解决。这就需要另辟蹊径，从现有***所未覆盖的角度入手，设计一套新的解决方案，与现有方案一起来解决病毒的识别和控制难题。

现有的手机终端病毒解决方案存在如下缺陷：首先需要在手机终端上安装一个客户端，这会占据客户端较多的计算和网络资源，降低了用户移动设备的可用性；其次，安装了客户端的终端也可能由于病毒库不同步，从而无法获得一致的识别和控制效果，损害了用户体验；更重要的是，对于一个较大范围的用户群体来说，每个终端都安装客户端将会是一个极其繁琐的问题，安装和维护都非常麻烦，而未安装的用户则会被遗漏在保护之外，很可能就因为遗漏的用户从而对整个组织的移动设备的安全造成较大威胁；最后，目前的杀毒方案都是仅收集了病毒样本和可疑样本，虚警率较高给用户造成困扰从而无法长期持续地获得用户的信赖。

【发明内容】

本发明提供了一个新型的不需要在手机终端上安装病毒查杀终端，而是部署在网络节点处可以进行有效的中央控制的手机病毒解决方案，并且既包含手机病毒特征库，又包含正常的应用行为特征库，从而大大降低了误报率，克服了传统方案的多项缺陷，改善了用户体验。

首先，本发明提供了一种手机病毒的识别和控制方法，其特征在于：

手机病毒的识别和控制***部署于网络节点处，无需在手机终端上安装对手机病毒进行识别和控制的客户端；

其中，在该网络节点处既部署手机病毒特征库，又部署正常的应用行为特征库；

根据手机病毒特征库和应用行为特征库对手机与所述网络节点间连接所代表的应用进行识别。

优选地，当手机上网的流量通过所述网络节点时，首先通过应用行为特征库对该手机与所述网络节点间的连接所代表的应用进行识别。

优选地，如果识别成功，则该连接的流量不是病毒；如果识别不成功，则通过病毒特征库对该连接所代表的应用进行识别，如果成功，则该连接的流量为病毒，如未识别，则根据病毒样本的行为共性对该连接所代表的应用进行识别。

优选地，所述根据病毒样本的行为共性对该连接所代表的应用进行识别具体为：根据病毒样本的行为共性建立模型，分析未知的网络流量是否与该模型匹配，如果匹配，则识别为病毒，如果不匹配，则根据安全策略将剩余的流量归类为病毒或非病毒。

优选地，查询病毒特征库与描述信息映射表，输出病毒名称信息。

优选地，如果识别的结果为应用为病毒，则对该应用进行阻止，如果不是病毒，则不进行阻止。

优选地，在根据病毒样本的行为共性对该连接所代表的应用进行识别之前，还包括：根据在网络节点中设置的恶意目标地址库，对该应用进行恶意目标地址匹配，如果匹配成功，则该应用是病毒，如果匹配不成功，则再根据病毒样本的行为共性对该连接所代表的应用进行识别。

优选地，所述病毒特征库是通过持续跟踪和收集某一网站或多个入口网站提供的不推荐应用列表，然后分析提取出的应用特征，从而建立的。

优选地，所述病毒特征库中的病毒是通过GOOGLE等搜索引擎对病毒或恶意应用的搜索和分析获取的。

优选地，所述病毒特征库中的病毒是通过对安全机制较差的应用市场、手机论坛和资源站点的应用列表进行跟踪获取的。

优选地，所述病毒特征库中的病毒是通过对Android***上的应用程序进行反编译，分析程序代码中可疑函数调用获取的。

其次，本发明提供了一种手机病毒的识别和控制设备，其特征在于：该设备为网络中的节点，而不是网络中的终端设备，其中，所述识别和控制设备包括：

特征库部署模块，用于在所述识别和控制设备处部署手机病毒特征库和正常的应用行为特征库；

接收模块，用于接收来自手机的网络连接；

识别和控制模块，用于根据手机病毒特征库和应用行为特征库对手机与所述识别和控制设备间连接所代表的应用进行识别和控制。

优选地，所述识别和控制模块还用于：首先通过应用行为特征库对该手机与所述网络节点间的连接所代表的应用进行识别。

优选地，所述识别和控制模块还用于：如果识别成功，则该连接的流量不是病毒；如果识别不成功，则通过病毒特征库对该连接所代表的应用进行识别，如果成功，则该连接的流量为病毒，如未识别，则根据病毒样本的行为共性对该连接所代表的应用进行识别。

优选地，所述根据病毒样本的行为共性对该连接所代表的应用进行识别具体为：根据病毒样本的行为共性建立模型，分析未知的网络流量是否与该模型匹配，如果匹配，则识别为病毒，如果不匹配，则根据安全策略将剩余的流量归类为病毒或非病毒。

优选地，所述的设备，还包括：查询和输出模块：用于查询病毒特征库与描述信息映射表，输出病毒名称信息。

优选地，设备，还包括阻止模块，用于当识别结果为所述应用为病毒时，对该应用进行阻止。

优选地，所述识别和控制模块还用于：在根据病毒样本的行为共性对该连接所代表的应用进行识别之前，根据在网络节点中设置的恶意目标地址库，对该应用进行恶意目标地址匹配，如果匹配成功，则该应用是病毒，如果匹配不成功，则再根据病毒样本的行为共性对该连接所代表的应用进行识别。

优选地，所述病毒特征库是通过持续跟踪和收集某一网站提供的不推荐应用列表，然后分析提取出的应用特征，从而建立的。

优选地，所述病毒特征库中的病毒是通过GOOGLE等搜索引擎对病毒或恶意应用的搜索和分析获取的。

优选地，所述病毒特征库中的病毒是通过病毒安全机制较差的应用市场、手机论坛和资源站点的应用列表进行跟踪获取的。

优选地，所述病毒特征库中的病毒是通过对Android***上的应用程序进行反编译，分析程序代码中可疑函数调用获取的。

再次，本发明还提供了一种手机病毒的识别和控制***，该***包括：一个或多个手机终端，以及，一个或多个以上任一种所述的手机病毒的识别和控制设备。

本发明将手机病毒库部署在网络节点上，不需要用户安装客户端软件，从而实现了手机病毒的识别和中央控制，对个人用户是透明的，极大地减轻了组织机构实现移动设备安全的工作量。

评价一个病毒识别***的指标主要是看识别率和误报率，按照该***的识别逻辑可知，对于已知病毒的识别一方面取决于样本收集的程度，该***的样本收集方法应当说是完备的；另一方面对未知病毒的识别也有一个行为分析模块进行处理，因此可预期病毒识别率应该会很高；另一方面通过应用特征库将正常的应用流量全部排除掉，恶意的APP特征库和恶意目标地址库的匹配都是确定性的，可能发生误识别的部分仅剩下这两个库都不能识别的流量，鉴于未识别流量只占很小的比例，误报率应该也会很低。

【附图说明】

图1为本发明对手机和网络设备之间连接对应的应用的识别流程图。

【具体实施方式】

下面结合附图，对本发明作详细的阐述。

病毒样本的收集方法

但是对照传统方法，结合我们在调研过程中的实践，可以通过以下途径收集病毒样本。

①跟踪恶意应用列表；

蚕豆网每天都会发布最新的不推荐应用列表，我们可以持续地跟踪和收集该网站提供的结果，然后分析提取出应用特征，从而建立起恶意应用的特征库。该网站所列举的主要是恶意推广类的应用。

②搜索可疑应用

通过GOOGLE等搜索引擎以Key word:"<尽可能三俗的名称>apk"搜索即可，搜索结果中的应用大都是病毒或恶意应用，当然了需要进一步的分析。

③手机论坛和资源站收集

目前手机病毒大都是通过对合法程序反编译后重新打包，然后通过安全机制较差的应用市场、手机论坛和资源站点进行传播，因此跟踪这些站点的应用列表，也可以作为病毒样本的收集渠道。

④大面积扫描

由于Android***上的应用程序都可以进行反编译，因此可以对所有应用进行反编译，然后通过程序代码中是否存在可疑的函数调用，必要的时候辅助以人工分析。

病毒样本的分析方法

①、静态扫描法。首先可以对Android应用程序进行反编译，获得源代码，然后通过程序扫描源代码文件中的常见敏感点，比如android manifest的权限，还有recevier、broadcast、开机启动、sendTextMessage()等，如果存在这些调用则应当怀疑为病毒应用，可以进行进一步的人工分析。

②、黑盒测试。搭建起一套类似于手机应用分析的环境，在安装了android***的手机或PAD上实际安装大量应用，分别运行这些应用，观察应用的行为以便确定是否进行了恶意操作，比如莫名其妙出现了一些不是自己安装的软件。

③、Debug分析。人工分析应用被反编译后的源代码，深入研究代码中所隐含的各种动作，比如AES、DES、MD5、SHA、异或等加密解密(反编译可以看到一大堆的byte数组或者String类型的长的乱字符串等)，都是敏感区域，说不定就可以解密出一些恶意url地址。

通过以上各种分析可以把病毒应用的通信的目的地址收集下来，包括SP号码、手机号码、URL地址，IP地址等。

通过前期的应用分析和病毒分析的工作，我们可以建立起如下几个特征库。应用特征库、恶意短信目的地址(包括SP号码和手机号)、恶意网络地址(包括URL和IP地址)、恶意APP特征库。

病毒的识别过程

假设安装了手机病毒识别***的设备部署于网络中的某个节点，当手机上网的流量通过该设备时，将依据下列步骤检测出手机病毒的流量，并采取相应的处理措施：

①、通过应用特征库识别该连接所代表的应用，若识别成功，则该条连接的流量不是病毒；若未识别则进入步骤②；

②、通过恶意APP特征库识别该连接所代表的应用，若识别成功，则该条连接的流量是病毒；若未识别则进入步骤③；

③、检查网络流量的目的地址是否在已收集到的恶意地址列表中，若匹配成功则该条连接的流量是病毒；若未识别则进入步骤④；

④根据病毒样本的行为共性建立模型，分析未知的网络流量是否与该模型匹配，如果匹配，则识别为病毒；若未识别则进入步骤⑤；

其中一种可参考识别方法是：获取异常访问行为记录表，所述异常访问行为记录表中包括UA和域名，所述UA包括终端型号和软件平台；根据域名对所述异常访问行为记录表的记录进行归类，生成多个异常访问行为记录子表；对于每个异常访问行为记录子表，判断其中的软件平台是否唯一，得到一判断结果；当所述判断结果为是时，则确定手机病毒导致了对相应域名的访问，并将该域名及对应的软件平台记录为手机病毒特征。本方法不需要依赖于病毒库，就能实现对手机病毒的自动和及时的识别。

另一种可参考的识别方法是：通过收集***参数指标，与已知的恶意软件引发的***参数指标作对比，检测相同点，进而发现先前未曾遇到的新的恶意软件。

我们对程序执行时的行为监控所能获取信息的详细和完备程度,以及我们采用何种方式使用这些信息来匹配特征行为,决定了动态检测对恶意代码的检测效果。

⑤可以根据安全策略将剩余的流量归类为病毒或非病毒；

⑥查询病毒特征与描述信息映射表，输出病毒名称等信息；通常都是以源代码中主程序的名称作为病毒名称。

Claims (10)

1.一种手机病毒的识别和控制方法，其特征在于：

手机病毒的识别和控制***部署于网络节点处，无需在手机终端上安装对手机病毒进行识别和控制的客户端；

其中，在该网络节点处既部署手机病毒特征库，又部署正常的应用行为特征库；

根据手机病毒特征库和应用行为特征库对手机与所述网络节点间连接所代表的应用进行识别。

2.基于权利要求1所述的方法，当手机上网的流量通过所述网络节点时，首先通过应用行为特征库对该手机与所述网络节点间的连接所代表的应用进行识别。

3.基于权利要求2所述的方法，还包括：如果识别成功，则该连接的流量不是病毒；如果识别不成功，则通过病毒特征库对该连接所代表的应用进行识别，如果成功，则该连接的流量为病毒，如未识别，则根据病毒样本的行为共性对该连接所代表的应用进行识别。

4.基于权利要求3所述的方法，其中，所述根据病毒样本的行为共性对该连接所代表的应用进行识别具体为：根据病毒样本的行为共性建立模型，分析未知的网络流量是否与该模型匹配，如果匹配，则识别为病毒，如果不匹配，则根据安全策略将剩余的流量归类为病毒或非病毒。

5.基于权利要求4所述的方法，其中，在根据病毒样本的行为共性对该连接所代表的应用进行识别之前，还包括：根据在网络节点中设置的恶意目标地址库，对该应用进行恶意目标地址匹配，如果匹配成功，则该应用是病毒，如果匹配不成功，则再根据病毒样本的行为共性对该连接所代表的应用进行识别。

6.一种手机病毒的识别和控制设备，其特征在于：该设备为网络中的节点，而不是网络中的终端设备，其中，所述识别和控制设备包括：

特征库部署模块，用于在所述识别和控制设备处部署手机病毒特征库和正常的应用行为特征库；

接收模块，用于接收来自手机的网络连接；

识别和控制模块，用于根据手机病毒特征库和应用行为特征库对手机与所述识别和控制设备间连接所代表的应用进行识别和控制。

7.基于权利要求6所述的设备，所述识别和控制模块还用于：如果识别成功，则该连接的流量不是病毒；如果识别不成功，则通过病毒特征库对该连接所代表的应用进行识别，如果成功，则该连接的流量为病毒，如未识别，则根据病毒样本的行为共性对该连接所代表的应用进行识别。

8.基于权利要求7所述的设备，其中，所述根据病毒样本的行为共性对该连接所代表的应用进行识别具体为：根据病毒样本的行为共性建立模型，分析未知的网络流量是否与该模型匹配，如果匹配，则识别为病毒，如果不匹配，则根据安全策略将剩余的流量归类为病毒或非病毒。

9.基于权利要求8所述的设备，其中所述识别和控制模块还用于：在根据病毒样本的行为共性对该连接所代表的应用进行识别之前，根据在网络节点中设置的恶意目标地址库，对该应用进行恶意目标地址匹配，如果匹配成功，则该应用是病毒，如果匹配不成功，则再根据病毒样本的行为共性对该连接所代表的应用进行识别。

10.一种手机病毒的识别和控制***，该***包括：一个或多个手机终端，以及，一个或多个如权利要求6-9中任一项所述的手机病毒的识别和控制设备。