[发明专利]用于检测恶意应用的方法及装置

权利要求书

1.一种用于检测恶意应用的方法，其特征在于，包括：

获取待分析的应用文件；

在至少一个虚拟系统上安装并运行所述应用文件，所述至少一个虚拟系统部署在云端；以及

获取所述应用文件的运行数据。

2.如权利要求1所述的方法，其特征在于，还包括：

通过多级分类算法对所述运行数据进行分析，得到恶意应用怀疑程度曲线。

3.如权利要求1所述的方法，其特征在于，获取待分析的应用文件，包括：

获取待分析的所述应用的apk文件。

4.如权利要求1所述的方法，其特征在于，在至少一个虚拟系统上安装并运行所述应用文件，包括：

判断所述应用文件是否已经经过恶意应用检测。

5.如权利要求1所述的方法，其特征在于，获取所述应用文件的运行数据，包括：

通过特征提取工具获取所述应用文件的运行数据。

6.如权利要求5所述的方法，其特征在于，所述特征提取工具包括：Monky、Strace、Netflow、Logcat、sysdump以及wireshark中的至少一种。

7.如权利要求2所述的方法，其特征在于，通过多级分类算法对所述数据进行分析，得到恶意应用怀疑程度曲线，包括：

所述运行数据与训练集数据进行欧式距离相似性测量，得到相似性值；

由所述相似性值与第一预定权重系数，得到恶意应用值；以及

由所述相似性值与第二预定权重系数，得到僵尸网络值。

8.如权利要求7所述的方法，其特征在于，通过多级分类算法对所述数据进行分析，得到恶意应用怀疑程度曲线，包括：

由所述恶意应用值、所述僵尸网络值以及第三预定权重系数，得到恶意应用怀疑程度曲线。

9.如权利要求2所述的方法，其特征在于，还包括：

通过梯度算法与所述恶意应用怀疑程度曲线，确定所述应用所属的恶意应用类型。

10.一种用于检测恶意应用的方法，其特征在于，包括：

获取待分析的应用文件；

发送所述应用文件给服务器，以使得部署在云端的至少一个虚拟系统接收到所述应用文件；以及

获取所述服务器对所述应用的分析结果，并展示所述分析结果。

11.如权利要求10所述的方法，其特征在于，所述应用的文件包括：所述应用的apk文件。

12.一种用于检测恶意应用的装置，其特征在于，包括：

获取应用模块，用于获取待分析的应用文件；

虚拟机模块，用于在至少一个虚拟系统上安装并运行所述应用文件，所述虚拟系统部署在云端；以及

获取数据模块，用于获取所述应用文件的运行数据。

13.如权利要求12所述的装置，其特征在于，还包括：

分析模块，用于通过多级分类算法对所述运行数据进行分析，得到恶意应用怀疑程度曲线；以及

类型模块，用于通过梯度算法与所述恶意应用怀疑程度曲线，确定所述应用所属的恶意应用类型。

14.一种用于检测恶意应用的装置，其特征在于，包括：

获取模块，用于获取待分析的应用文件；

发送模块，用于发送所述应用文件给服务器，以使得部署在云端的至少一个虚拟系统接收到所述应用文件；以及

结果显示模块，用于获取所述服务器对所述应用的分析结果，并展示所述分析结果。