CN110990834B - 一种android恶意软件的静态检测方法、***及介质 - Google Patents

Abstract

本发明请求保护一种Android恶意软件检测的方法、***及介质，本发明引入智能代理模型的概念来动态认定应用程序。该方法首先提取Android***清单文件存在的风险属性，通过词频计算转化为数值，再由等距分箱处理将数值划分为三类集合X_LR、X_HR和X_MR，进而确定样本集类型并加入到模型中，其次对提取的权限属性，API属性等根据不同类别采用并行化的特征选择和特征融合方式，使得最大程度地去除相关性和冗余性属性，最后对处理后的特征集进行归一化处理，构建支持向量机分类器。本发明的优点在于，根据分类结果对智能代理模型进行动态调整，进而提高了检测过程中的可识别性，并通过对特征的分类处理，更加有效的利用了特征数据，提高了分类模型的准确性。

Description

一种android恶意软件的静态检测方法、***及介质

技术领域

本发明属于通信领域软件检测方法，尤其涉及一种针对安卓恶意软件的检测方法。

背景技术

以谷歌公司为首的OHA(Open Handset Alliance)在2008年推出了基于Linux平台的开源的Android操作***，带动了整个手机行业。由于功能的丰富多样、交互便捷等众多优势，智能手机的发展越来越迅速，已经成为我们日常生活中不可或缺的一部分，随之Android应用程序数量也相继在各大平台上迅速增长，由此Android平台上的安全问题就成了我们关注的焦点。智能手机中收集、存储的一些个人数据就属于高度隐私和敏感的，Android使用信息***来控制应用程序访问敏感数据和数据存储等，为了确保安全性和隐私性，Android***使用多重的安全模型来对敏感数据进行访问。Android***一直以来是一个纵向的结构，在整个***中，聚焦于程序的设计、安装以及运行。进而展望整个Android***的安全发展，总体在恶意程序的检测上，取得了相当多的成绩，但很多新的恶意应用程序还不能很好的应对。所以从用户角度上来看，Android***并没有变得更加安全，恶意应用程序的检测是还处于发展阶段。

静态检测方法的检测技术是程序在不运行的情况下，分析程序指令与结构来确定功能的过程，通过对程序进行反编译以及各种逆向工具，对其中的权限、敏感函数调用等进行详细分析，了解该应用程序的意图。

通过对Android应用程序进行反编译等处理，能够知道里面存在大量的属性，属性的个数越多，分析属性和分类模型所需要的时间就越长，而其中维度过高容易引起模型复杂，导致分类效果下降，对于分类模型来说，可能会因为样本中的特征属性微小的变化，产生巨大的波动，能剔除冗余的、不相关的、一部分弱相关的属性，就能减少训练时间，提高模型精确度，所以从中找到有效的特征就尤为重要，通过对特征的改进，就能识别问题区域，改进数据而不是直接删除数据，使得经过特征选择后的属性能更好的反应出潜在的问题，而现有的静态检测技术对属性的筛选存在很大的偏差，忽略了Android应用程序本身存在的风险属性和恶意的性质是代码导致的。若缺乏对Android应用程序本身存在的属性分析，则会影响检测模型对Android应用软件的鉴别效率和精确度。

发明内容

本发明旨在解决以上现有技术的问题。提出了一种更加有效的利用了特征数据，提高了支持向量机检测模型的准确性的android恶意软件的静态检测方法。

本发明的技术方案如下：

一种android恶意软件的静态检测方法，其包括以下步骤：

步骤1、对获取的Android应用程序进行逆向得到数据集，再对数据集进行样本分析，提取数据集中明显存在风险的数据；

步骤2、提取AndroidManifest文件中的exported属性值、debuggable属性值和allowBackup属性值，采用基于词频算法对属性值进行计算；

步骤3、提取AndroidManifest文件中的权限属性和smali文件中的API属性，采用相关性计算方法，首先去除与类别不相关的属性，然后对采用余弦相似度和杰卡德系数对各类别属性进行分别处理并去取出共同属性，最后融合各类别特征，得到融合后的特征集；

步骤4、最后对处理后的特征集进行归一化处理，构建支持向量机分类器，将测试样本集放入分类器中，检测是否是Android恶意程序，再通过对测试样本集在智能代理模型中得到的结果和分类器模型得到的最终结果进行比较，将分类器得到的结果反馈给智能代理模型，动态的改进智能代理模型。

进一步的，所述步骤1对获取的Android应用程序进行逆向得到数据集，再对数据集进行样本分析，具体包括：

对下载的Android良性应用程序和恶意应用程序使用apktool工具进行逆向，提取其中smali文件和AndroidManifest文件，对得到的属性集按类别储存。

进一步的，在步骤2中采用基于词频算法对该属性值进行计算具体包括：

首先对AndroidManifest文件中的组件activity、service、provider、receiver以及application标签中exported属性值、debuggable属性值和allowBackup属性值为true的进行统计，若组件中没有exported属性，却存在action属性，同样认定该标签为true，并将该规则加入到智能代理模型中，该模型计算处理规则如下：

其中N_i,j为一个Android应用程序A_j使用特定风险属性的次数，M_j是A_j中组件的总个数，TF_i,j是该词出现的频率；

得到词频集γ＝{TF_1,j,TF_2,j…TF_i,j…TF_n,j}，然后进行拉普拉斯平滑处理，处理完后将γ通过最小值和最大值划分为3等份，则每个区间的长度为

其中X,Y为γ中的最小值和最大值，则区间的边界为X+W,X+2W，进而将样本集从小到大分为三类集合X_LR、X_HR和X_MR；

进一步的，所述步骤3中相关性计算方法具体包括：

通过点二列相关系数去除Android程序中不相关的属性，首先计算属性与类别的相关系数

其中S是数据集的标准偏差，

是良性样本集中所有数据点的X_p的平均值，

是恶意样本集中所有数据点X_q的平均值，P_p是总样本集中X_p出现的概率，P_q是总样本集中X_q出现的概率，将

带入相关系数计算，得到r_pb，根据相关系数的值判别属性与相关系数的大小，去除不相关属性；

进一步的，步骤4通过序列前项选择算法对融合后的特征集进行处理并通过归一化得到最优特征集，构建支持向量机分类器；

其中序列前项选择是通过构建一个空的特征集R，每次从特征子集中选择一个特征M加入到R中，使得评价函数的效果最优；

一种介质，该存储介质内部存储计算机程序，其所述计算机程序被处理器读取时，执行上述任一项的方法。

一种android恶意软件的静态检测***，其包括：

反编译模块：用于下载获取Android良性应用程序和恶意应用程序，并创建成样本库放入到智能代理模型中，通过逆向工程技术对获取的良性应用和恶意应用分别进行反编译，得到smali文件和AndroidManifest文件；

词频计算模块：提取AndroidManifest文件中的exported属性值、debuggable属性值和allowBackup属性值，采用基于词频算法对该属性值进行计算；

特征融合模块：提取AndroidManifest文件中的权限属性和smali文件中的API属性，采用相关性计算方法，首先去除与类别不相关的属性，然后对采用多种特征选择算法对各类别属性进行分别处理并去取出共同属性，最后融合各类别特征，得到融合后的特征集；

检测模块：用于对处理后的特征集进行归一化处理，构建支持向量机分类器，将测试样本集放入分类器中，检测是否是Android恶意程序，再通过对测试样本集在智能代理模型中得到的结果和分类器模型得到的最终结果进行比较，将分类器得到的结果反馈给智能代理模型，动态的改进智能代理模型。

本发明的优点及有益效果如下：

本发明是一种android恶意软件的静态检测方法、***及介质。不同于现有技术，本发明根据Android应用程序本身存在的风险，引入智能代理模型的概念来动态认定应用程序，提取Android***清单文件存在的风险属性，在模型中通过词频计算转化为数值，再由等距分箱处理将数值划分为三类集合X_LR、X_HR和X_MR，进而确定样本集类型，智能代理模型中得到的结果和分类器模型得到的最终结果进行比较，将分类器得到的结果反馈给智能代理模型，实现动态的改进智能代理模型，这在实际检测过程中提高了对Android软件的可识别度、增加了初始预测类别以及通过后续反馈实时地改进智能代理模型。本发明对检测过程中提取的数据，首先去除与类别不相关的属性，降低了后续属性处理的时间，其次，根据不同类别属性并行计算，通过卡方检测和，选取共同排名靠前地属性，最后通过序列前项选择对融合后的特征集进行处理，更加有效地利用了不同类别的属性，选取了最优特征，极大地提高了分类模型的准确性。

附图说明

图1是本发明提供优选实施例本发明中Android恶意程序检测方法整体流程图；

图2是本发明中Android特征属性分类别处理示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、详细地描述。所描述的实施例仅仅是本发明的一部分实施例。

本发明解决上述技术问题的技术方案是：

图1为本发明所诉方法的整体流程图，如图所示，本发明所诉的Android恶意程序静态检测方法主要包括以下五个步骤：步骤一：下载获取Android良性应用程序和恶意应用程序，并创建成样本库放入到智能代理模型中，通过逆向工程技术对获取的良性应用和恶意应用分别进行反编译，得到smali文件和AndroidManifest文件等；步骤二：提取AndroidManifest文件中的exported属性值、debuggable属性值和allowBackup属性值等，在Android组件中的这些属性值被设置为true时，Android应用程序会存在一定的风险，也有可能是恶意应用程序需要这些属性值来达到恶意的目的，对此采用基于词频算法对该属性值进行计算的方法；步骤三：提取AndroidManifest文件中的权限属性和smali文件中的API属性，采用相关性计算方法，首先去除与类别不相关的属性，然后对采用余弦相似度和杰卡德系数对各类别属性进行分别处理并去取出共同属性，最后融合各类别特征，得到融合后的特征集；步骤四：通过SFS算法选择最优合并特征集，通过归一化方式处理特征集，构建线性支持向量机分类器，将测试样本集放入分类器中，检测是否是Android恶意程序，再通过对测试样本集在智能代理模型中得到的结果和分类器模型得到的最终结果进行比较，将分类器得到的结果反馈给智能代理模型，动态的改进智能代理模型；

在步骤一中，对下载的Android良性应用程序和恶意应用程序使用apktool工具进行逆向，提取其中smali文件和AndroidManifest文件等，对得到的属性集按类别储存；

在步骤二中，对AndroidManifest文件中的组件activity、service、provider、receiver以及application标签中exported属性值、debuggable属性值和allowBackup属性值为true的进行统计，特别的，若组件中没有exported属性，却存在action属性，同样认定该标签为true，并将该规则加入到智能代理模型中，该模型计算处理规则如下：

其中N_i,j为一个Android应用程序A_j使用特定风险属性的次数，M_j是A_j中组件的总个数，TF_i,j是该词出现的频率，得到词频集γ＝{TF_1,j,TF_2,j…TF_i,j…TF_n,j}，然后进行拉普拉斯平滑处理，处理完后将γ通过最小值和最大值划分为3等份，每个区间的长度为

其中X,Y为γ中的最小值和最大值，则区间的边界为X+W,X+2W，进而将样本集从小到大分为三类集合X_LR、X_HR和X_MR；

在步骤三中，通过点二列相关系数去除Android程序中不相关的属性，首先计算属性与类别的相关系数

其中S是数据集的标准偏差，

是良性样本集中所有数据点的X_p的平均值，

是恶意样本集中所有数据点X_q的平均值，P_p是总样本集中X_p出现的概率，P_q是总样本集中X_q出现的概率，将

带入相关系数计算，得到r_pb，根据相关系数的值判别属性与相关系数的大小，去除不相关属性；

图2为Android特征属性分类别处理示意图，Android程序中可能存在即申请了权限组权限又申请了权限组中的子权限的情况或者API函数之间存在相近似的方法，导致的属性与属性之间的冗余，对此，根据不同类别的属性，采用两种或两种以上的特征选择算法，对属性进行处理，取出不同特征选择算法的得到的共同属性；

在步骤四中，通过序列前项选择算法，构建一个空的特征集R，每次从特征子集中选择一个特征M加入到R中，使得评价函数的效果最优，再由归一化提升分类模型的收敛速度和训练时间，得到最优特征集，从而构建支持向量机分类器；

其中基于属性的智能代理模型，对Android应用程序中存在的危险属性进行提取，加入到智能代理模型计算中，从而对样本集进行风险等级划分，通过机器学习模型得到的结果动态的反馈给智能代理模型，从而达到动态添加、更新和删除属性。

以上这些实施例应理解为仅用于说明本发明而不用于限制本发明的保护范围。在阅读了本发明的记载的内容之后，技术人员可以对本发明作各种改动或修改，这些等效变化和修饰同样落入本发明权利要求所限定的范围。

Claims (6)

1.一种android恶意软件的静态检测方法，其特征在于，包括以下步骤：

步骤1、对获取的Android应用程序进行逆向得到数据集，再对数据集进行样本分析，提取数据集中明显存在风险的数据；

步骤2、提取AndroidManifest文件中的exported属性值、debuggable属性值和allowBackup属性值，采用基于词频算法对属性值进行计算；

步骤3、提取AndroidManifest文件中的权限属性和smali文件中的API属性，采用相关性计算方法，首先去除与类别不相关的属性，然后采用余弦相似度和杰卡德系数对各类别属性进行分别处理并去取出共同属性，最后融合各类别特征，得到融合后的特征集；

步骤4、最后对处理后的特征集进行归一化处理，构建支持向量机分类器，将测试样本集放入分类器中，检测是否是Android恶意程序，再通过对测试样本集在智能代理模型中得到的结果和分类器模型得到的最终结果进行比较，将分类器得到的结果反馈给智能代理模型，动态的改进智能代理模型；

在步骤2中采用基于词频算法对该属性值进行计算具体包括：

首先对AndroidManifest文件中的组件activity、service、provider、receiver以及application标签中exported属性值、debuggable属性值和allowBackup属性值为true的进行统计，若组件中没有exported属性，却存在action属性，同样认定该标签为true，并将该规则加入到智能代理模型中，该模型计算处理规则如下：

其中N_i，j为一个Android应用程序A_j使用特定风险属性的次数，M_j是A_j中组件的总个数，TF_i，j是该词出现的频率；

得到词频集γ＝{TF_1，j，TF_2，j...TF_i，j...TF_n，j}，然后进行拉普拉斯平滑处理，处理完后将γ通过最小值和最大值划分为3等份，则每个区间的长度为

其中X,Y为γ中的最小值和最大值，则区间的边界为X+W，X+2W，进而将样本集从小到大分为三类集合X_LR、X_HR和X_MR。

2.根据权利要求1所述的一种android恶意软件的静态检测方法，其特征在于，所述步骤1对获取的Android应用程序进行逆向得到数据集，再对数据集进行样本分析，具体包括：

对下载的Android良性应用程序和恶意应用程序使用apktool工具进行逆向，提取其中smali文件和AndroidManifest文件，对得到的属性集按类别储存。

3.根据权利要求1所述的一种android恶意软件的静态检测方法，其特征在于，所述步骤3中相关性计算方法具体包括：

通过点二列相关系数去除Android程序中不相关的属性，首先计算属性与类别的相关系数

其中S是数据集的标准偏差，

是良性样本集中所有数据点的X_p的平均值，

是恶意样本集中所有数据点X_q的平均值，P_p是总样本集中X_p出现的概率，P_q是总样本集中X_q出现的概率，将

带入相关系数计算，得到r_pb，根据相关系数的值判别属性与相关系数的大小，去除不相关属性。

4.根据权利要求3所述的一种android恶意软件的静态检测方法，其特征在于，步骤4通过序列前项选择算法对融合后的特征集进行处理并通过归一化得到最优特征集，构建支持向量机分类器；

其中序列前项选择是通过构建一个空的特征集R，每次从特征子集中选择一个特征M加入到R中，使得评价函数的效果最优。

5.一种存储介质，该存储介质内部存储计算机程序，其特征在于，所述计算机程序被处理器读取时，执行所述权利要求1～4任一项的方法。

6.一种android恶意软件的静态检测***，其特征在于，包括：

反编译模块：用于下载获取Android良性应用程序和恶意应用程序，并创建成样本库放入到智能代理模型中，通过逆向工程技术对获取的良性应用和恶意应用分别进行反编译，得到smali文件和AndroidManifest文件；

词频计算模块：提取AndroidManifest文件中的exported属性值、debuggable属性值和allowBackup属性值，采用基于词频算法对该属性值进行计算；

特征融合模块：提取AndroidManifest文件中的权限属性和smali文件中的API属性，采用相关性计算方法，首先去除与类别不相关的属性，然后对采用多种特征选择算法对各类别属性进行分别处理并去取出共同属性，最后融合各类别特征，得到融合后的特征集；

检测模块：用于对处理后的特征集进行归一化处理，构建支持向量机分类器，将测试样本集放入分类器中，检测是否是Android恶意程序，再通过对测试样本集在智能代理模型中得到的结果和分类器模型得到的最终结果进行比较，将分类器得到的结果反馈给智能代理模型，动态的改进智能代理模型；中采用基于词频算法对该属性值进行计算具体包括：

首先对AndroidManifest文件中的组件activity、service、provider、receiver以及application标签中exported属性值、debuggable属性值和allowBackup属性值为true的进行统计，若组件中没有exported属性，却存在action属性，同样认定该标签为true，并将该规则加入到智能代理模型中，该模型计算处理规则如下：

其中N_i，j为一个Android应用程序A_j使用特定风险属性的次数，M_j是A_j中组件的总个数，TF_i，j是该词出现的频率；

得到词频集γ＝{TF_1，j，TF_2，j...TF_i，j...TF_n，j}，然后进行拉普拉斯平滑处理，处理完后将γ通过最小值和最大值划分为3等份，则每个区间的长度为

其中X,Y为γ中的最小值和最大值，则区间的边界为X+W，X+2W，进而将样本集从小到大分为三类集合X_LR、X_HR和X_MR。

Images