[发明专利]一种基于符号的Android恶意代码检测方法及系统

说明书

技术领域

本发明涉及移动终端恶意代码检测技术，特别涉及一种基于符号的Android恶意代码检测方法及系统。 

背景技术

随着移动通信网络的发展，融合3C的智能手机成为移动终端的发展趋势。智能手机的出现极大地丰富了手机应用的种类，为移动增值业务提供了终端基础。但与此同时，智能手机的流行也给手机病毒的滋生和肆虐创造了便利条件，手机正在成为黑客、病毒制造者的新目标。因此面对形势日益严峻的个人数据安全问题，各个安全厂商都在研制更加稳定高效的病毒检测机制。但是目前的恶意软件判研方法一般都是广泛采用文件中的特征值扫描技术进行检测，一旦资源文件和数据发生变化，文件的特征值也随之变化，因此恶意代码可以通过修改资源文件和数据文件对编译文件进行改变躲过检测。 

发明内容

本发明提供了一种基于符号的Android恶意代码检测方法，通过对文件中的符号信息进行检测，解决了特征值扫描方法中特征值随数据变化，导致无法检出的问题。 

一种基于符号的Android恶意代码检测方法，包括： 

对待检测程序中的文件进行解析，获取并记录各文件的符号信息，并标记符号类型，所述文件的符号信息为文件中的所有符号；所述文件的符号类型至少包括：API、FILENAME和UNKNOWN； 

遍历所有文件的符号信息及符号类型，判断符号类型是否为UNKNOWN，若是，则根据关键字特征库的符号内容匹配符号信息，若所述符号信息与关键字特征库中的任一符号内容相同，则关键字特征库中符号内容对应的符号类型为当前符号信息的符号类型，输出当前文件的符号信息及符号类型；若关键字特征库中不包含符号内容，则进行下一文件的判断；否则直接输出文件的符号 信息及符号内容；所述关键字特征库为已知文件的符号信息及对应符号类型的集合； 

将输出的全部符号信息和符号类型与符号特征库中的符号规则匹配，若与任一符号规则中的符号内容及对应的符号类型匹配成功的数量大于预设值，则输出符号规则对应的病毒名称，否则结束检测；所述的符号特征库中至少包括符号规则及病毒名称，所述符号规则为已知恶意代码的全部符号信息及对应符号类型的集合。 

所述的方法中，所述的待检测程序中的文件至少包括：dex文件、apk文件、资源文件和elf文件。 

所述的方法中，所述的文件的符号信息至少包括：dex文件中的函数类型、apk文件中各文件节点的文件路径、资源文件中的资源符号、elf文件中rodata中的全局静态数据符号、URL或SP号码。 

所述的方法中，所述的dex文件中的函数类型为，按类名和函数名对每个函数的API信息拼接后的函数符号信息组。 

一种基于符号的Android恶意代码检测系统，包括： 

解析模块，用于对待检测程序中的文件进行解析，获取并记录各文件的符号信息，并标记符号类型，所述文件的符号信息为文件中的所有符号；所述文件的符号类型至少包括：API、FILENAME和UNKNOWN； 

过滤模块，用于遍历所有文件的符号信息及符号类型，判断符号类型是否为UNKNOWN，若是，则根据关键字特征库的符号内容匹配符号信息，若所述符号信息与关键字特征库中的任一符号内容相同，则关键字特征库中符号内容对应的符号类型为当前符号信息的符号类型，输出当前文件的符号信息及符号类型；若关键字特征库中不包含符号内容，则进行下一文件的判断；否则直接输出文件的符号信息及符号内容； 

匹配模块，用于将输出的全部符号信息和符号类型与符号特征库中的符号规则匹配，若与任一符号规则中的符号内容及对应的符号类型匹配成功的数量大于预设值，则输出符号规则对应的病毒名称，否则结束检测；所述的符号特征库中至少包括符号规则及病毒名称，所述符号规则为已知恶意代码的全部符号信息及对应符号类型的集合。 

所述的系统中，所述的待检测程序中的文件至少包括：dex文件、apk文件、资源文件和elf文件。 

所述的系统中，所述的文件的符号信息至少包括：dex文件中的函数类型、apk文件中各文件节点的文件路径、资源文件中的资源符号、elf文件中rodata中的全局静态数据符号、URL或SP号码。 

所述的系统中，所述的dex文件中的函数类型为，按类名和函数名对每个函数的API信息拼接后的函数符号信息组。