[发明专利]一种移动终端恶意代码行为监控和分析的方法及系统

说明书

技术领域

本发明涉及移动终端安全技术领域，尤其涉及一种移动终端恶意代码行为监控和分析的方法及系统。

背景技术

随着移动终端的日趋复杂化、智能化和联网化，移动终端在信息安全上所面临的问题也逐渐凸现出来。目前，移动终端结构比较松散，没有提供措施对内部器件进行统一管理和认证，并且，在操作系统设计上缺乏有效的安全策略。移动终端在进行业务应用时将面临多种形式的威胁，例如：病毒、机密信息的泄露、代码的非法篡改、关键器件的恶意替换等。

由于移动终端具备极强的可移动性、硬件和操作系统的封闭性，当突发的移动终端安全事件或新的恶意代码家族出现时，现有的恶意代码分析技术和系统难以快速确定恶意程序的主要恶意行为，同时难以自动筛选包含恶意代码的软件程序。

发明内容

针对上述技术问题，本发明提供了一种移动终端恶意代码行为监控和分析的方法及系统，该方法通过将海量软件程序同时分发至各终端设备中，通过运行各软件程序，并监控软件程序的动态行为，快速判断软件程序是否是恶意代码程序。

本发明采用如下方法来实现：一种移动终端恶意代码行为监控和分析的方法，包括：

将数据库中的软件程序分发至各终端设备中；

在各终端设备中安装并运行软件程序，模拟用户常用操作触发恶意代码敏感行为，并在各终端设备中设置监视点，若存在敏感行为触发监视点，则记录所述敏感行为并生成行为日志；

收集各终端设备中的行为日志；

对于同属一个软件程序的行为日志进行关联分析，判断所述软件程序的危害程度。

方法中，各终端设备依照设定的流程同时处理软件程序。

方法中，所述将数据库中的软件程序分发至各终端设备中包括，根据终端设备的负载情况进行软件程序的分发。

方法中，所述安装并运行软件程序包括：手动运行或者自动运行软件程序，触发软件程序的恶意行为。

方法中，所述监视点包括：短信/wap推送信息监控，数据库操作监控，定位信息监控，网络连接监控，底层操作监控，敏感文件监控；

其中，短信/wap推送信息监控为：若软件程序存在拦截短息或wap推送信息行为，则记录，并同时记录被拦截信息或者短信号码或者短信内容；

数据库操作监控为：若软件程序存在对短信数据库、联系人数据库等个人隐私信息数据库的查询、删除等操作，则记录该行为；

定位信息监控为：若软件程序存在获取移动设备当前定位信息，更新当前定位信息和获取历史定位信息的操作时，则记录该行为；

网络连接监控为：若软件程序存在联网行为，则记录相关URL连接及连接参数等网络行为；

底层操作监控为：若软件程序存在调用底层命令，实现更底层、更隐蔽的操作，则记录该行为；

敏感文件操作为：若软件程序存在在敏感目录下进行文件的创建、删除、修改或者执行等操作，则记录该行为；

其他监控包括：若软件程序存在获取设备硬件信息，账号信息等操作，则记录该行为。

方法中，所述终端设备包括：真实移动终端设备或者设备模拟器。

一种移动终端恶意代码行为监控和分析的系统，包括：

分发模块，用于将数据库中的软件程序分发至各终端设备中；

控制模块，在各终端设备中安装并运行软件程序，模拟用户常用操作触发恶意代码敏感行为，并在各终端设备中设置监视点，若存在敏感行为触发监视点，则记录所述敏感行为并生成行为日志；

回收模块，用于收集各终端设备中的行为日志；

检测模块，对于同属一个软件程序的行为日志进行关联分析，判断所述软件程序的危害程度。

系统中，所述分发模块根据终端设备的负载情况进行软件程序的分发。

系统中，控制模块中所述安装并运行软件程序包括：手动运行或者自动运行软件程序，触发软件程序的恶意行为。

系统中，控制模块中所述监视点包括：短信/wap推送信息监控，数据库操作监控，定位信息监控，网络连接监控，底层操作监控，敏感文件监控；

其中，短信/wap推送信息监控为：若软件程序存在拦截短息或wap推送信息行为，则记录，并同时记录被拦截信息或者短信号码或者短信内容；

数据库操作监控为：若软件程序存在对短信数据库、联系人数据库等个人隐私信息数据库的查询、删除等操作，则记录该行为；

定位信息监控为：若软件程序存在获取移动设备当前定位信息，更新当前定位信息和获取历史定位信息的操作时，则记录该行为；