[发明专利]一种用于检测手机病毒的方法和装置

权利要求书

1.一种用于检测手机病毒的方法，包括步骤：

计算待检测的可执行文件的文件内容与至少一个病毒文件中的每个病毒文件的文件内容的相似程度值，其中，所述至少一个病毒文件各自包含不同的已知手机病毒；

当所述可执行文件的文件内容与所述至少一个病毒文件中的选定病毒文件的文件内容的相似程度值大于指定阈值时，检测所述可执行文件在执行时出现的危险行为，其中，所述可执行文件的文件内容与所述选定病毒文件的文件内容的相似程度值最大；以及

根据所检测的危险行为和所述选定病毒文件所包含的已知手机病毒的危险行为的相似程度，确定所述可执行文件是否包含已知手机病毒的变形病毒。

2.如权利要求1所述的方法，其中，所述计算步骤进一步包括：

根据所述可执行文件和所述每个病毒文件中的多个指定位置的数据块，来计算所述可执行文件的文件内容与所述每个病毒文件的文件内容的相似程度值。

3.如权利要求2所述的方法，其中，所述计算步骤包括：

从所述可执行文件中的所述多个指定位置提取多个数据块；

获取所述每个病毒文件的数据块集，其中，所述每个病毒文件的数据块集包括从该病毒文件中的所述多个指定位置获取的多个数据块；

计算所述可执行文件与所述每个病毒文件的多个相似程度子值，其中，与所述每个病毒文件的多个相似程度子值分别根据所提取的多个数据块中的一个数据块和从该病毒文件中的相同位置获取的一个数据块两者的相同字节数与从该病毒文件中的该相同位置获取的该数据块的总字节数的比值来确定；以及

计算所述可执行文件与所述每个病毒文件的多个相似程度子值的加权求和之值，作为所述可执行文件的文件内容与所述每个病毒文件的文件内容的相似程度值。

4.如权利要求3所述的方法，其中，所述计算步骤还包括：

在计算所述多个相似程度子值之前，去除所提取的多个数据块中的无意义字节。

5.如权利要求1所述的方法，其中，所述确定步骤包括：

计算所检测的危险行为和所述选定病毒文件所包含的已知手机病毒的危险行为两者的相同行为数与所述选定病毒文件所包含的已知手机病毒的危险行为的总行为数的比值；

判断所计算的比值是否大于预定阈值；以及

当判断结果为肯定时，判定所述可执行文件包含已知手机病毒的变形病毒。

6.如权利要求1、2或3所述的方法，其中，所述可执行文件和所述多个病毒文件具有相同的文件类型。

7.如权利要求3所述的方法，其中，所述方法还包括步骤：

从所提取的多个数据块中获取用于表征所述变形病毒的家族特征的数据块或者用于表征所述变形病毒的家族特征和唯一特征的数据块。

8.一种用于检测手机病毒的装置，包括：

计算模块，用于计算待检测的可执行文件的文件内容与至少一个病毒文件中的每个病毒文件的文件内容的相似程度值，其中，所述至少一个病毒文件各自包含不同的已知手机病毒；

检测模块，用于当所述可执行文件的文件内容与所述至少一个病毒文件中的选定病毒文件的文件内容的相似程度值大于指定阈值时，检测所述可执行文件在执行时出现的危险行为，其中，所述可执行文件的文件内容与所述选定病毒文件的文件内容的相似程度值最大；以及

确定模块，用于根据所检测的危险行为和所述选定病毒文件所包含的已知手机病毒的危险行为的相似程度，确定所述可执行文件是否包含已知手机病毒的变形病毒。

9.如权利要求8所述的装置，其中，所述计算模块进一步用于：

根据所述可执行文件和所述每个病毒文件中的多个指定位置的数据块，来计算所述可执行文件的文件内容与所述每个病毒文件的文件内容的相似程度值。