[发明专利]大数据混合式Android恶意代码检测方法及装置

权利要求书

1.一种大数据混合式Android恶意代码检测方法，其特征在于，包括：

获取待分析应用程序的安装包，其中，所述待分析应用程序为在安卓设备上运行的应用程序；

将所述安装包进行分解，得到分解数据，并在所述分解数据中进行特征提取，得到所述安装包的属性特征，所述分解数据包括以下至少之一：配置文件，数字签名证书和可执行文件；

基于所述属性特征，对所述安装包进行恶意代码检测。

2.根据权利要求1所述的方法，其特征在于，所述分解数据包括所述配置文件，在所述分解数据中进行特征提取，得到所述安装包的属性特征，包括：

对所述配置文件进行反编译；

在反编译后的所述配置文件中提取第一信息，并将所述第一信息确定为所述属性特征，其中，所述第一信息为所述待分析应用程序的基础信息。

3.根据权利要求1所述的方法，其特征在于，所述分解数据包括所述数字签名证书，在所述分解数据中进行特征提取，得到所述安装包的属性特征，包括：

从所述数字签名证书中提取第二信息，其中，所述第二信息为所述数字签名证书的基础信息；

将所述第二信息确定为所述属性特征。

4.根据权利要求1所述的方法，其特征在于，所述分解数据包括所述可执行文件，在所述分解数据中进行特征提取，得到所述安装包的属性特征，包括：

反编译所述可执行文件，得到开发工具包；

运行所述可执行文件得到运行文件；

将所述开发工具包和所述运行文件确定为所述属性特征。

5.根据权利要求1所述的方法，其特征在于，基于所述属性特征，对所述安装包进行恶意代码检测，包括：

获取样本集，其中，所述样本集中包括预先对目标程序进行恶意代码检测得到的合法特征和非法特征，所述目标程序为所述待分析应用程序的同类程序；

将所述属性特征和所述样本集进行对比，得到比对结果，其中，所述比对结果用于表示所述属性特征是否为恶意代码攻击所述待分析应用程序时所生成的特征。

6.根据权利要求5所述的方法，其特征在于，

将所述属性特征和所述样本集进行对比，包括：通过机器学习算法，将所述属性特征和所述样本集进行对比；

在将所述属性特征和所述样本集进行对比，得到比对结果之后，所述方法还包括：获取预设白名单，其中，所述预设白名单中包括目标属性特征，所述目标属性特征为预先确定的由机器学习算法误判的属性特征；以及，根据所述目标属性特征，对所述比对结果进程误报处理。

7.根据权利要求1所述的方法，其特征在于，所述属性特征的种类为多种，所述方法还包括：

依照所述属性特征的种类，将采用所述属性特征对所述安装包进行恶意代码检测得到的结果进行分类，得到多类检测结果；

在所述多类检测结果不统一的情况下，将所述多类检测结果发送给管理人员，以便管理人员进行误报处理。

8.根据权利要求1所述的方法，其特征在于，在基于所述属性特征，对所述安装包进行恶意代码检测之后，所述方法还包括：

获取所述属性特征的标识信息，其中，所述标识信息用于表示所述属性特征是否为恶意代码攻击所述待分析应用程序时所生成的特征；

将所述属性特征和所述标识信息存储在样本集内。

9.一种大数据混合式Android恶意代码检测装置，其特征在于，包括：

获取模块，用于获取待分析应用程序的安装包，其中，所述待分析应用程序为在安卓设备上运行的应用程序；

分解提取模块，用于将所述安装包进行分解，得到分解数据，并在所述分解数据中进行特征提取，得到所述安装包的属性特征，所述分解数据包括以下至少之一：配置文件，数字签名证书和可执行文件；

检测模块，用于基于所述属性特征，对所述安装包进行恶意代码检测。

10.一种具有处理器可执行的非易失的程序代码的计算机可读介质，其特征在于，所述程序代码使所述处理器执行权利要求1-8中任一项所述的方法。