[发明专利]一种恶意软件识别方法和系统

说明书

本发明公开了一种恶意软件识别方法和系统，方法包括：解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从smali代码中提取对应的特征编码，计算特征编码的哈希值以生成特征串；将特征串与对比集合中的对比特征串集合进行交叉对比，对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；计算对比中标的比例，当比例大于阈值则判断待检测软件为恶意软件。系统用于执行方法。通过根据路径层级/类名/方法名的提取规则合适的特征串，根据特征串和对比特征串集合的中标比例以判断是否属于恶意软件，能够准确判断软件是否类似现有恶意软件或者属于恶意软件的变异。

技术领域

本发明涉及手机安全技术领域，尤其是一种恶意软件识别方法和系统。

背景技术

作为数据处理、传输的终端，软件的安全性的要求不言而喻，现有的安全方案包括1、利用文件签名方案和文件哈希值校验进行恶意软件的检测，适用于已知恶意软件的查杀，或者识别相同开发者发布的恶意软件；2、分析程序的基本块并得到其流程图，将API全路径哈希编码值与其连接关系组成的图指纹作为恶意行为特征，然后利用子图同构理论进行恶意软件的行为匹配；这两种方案的缺点在于：利用文件签名方案进行恶意软件检测，针对恶意软件二次打包或进行签名替换会导致方案1的失败；而方案2需分析程序的基本块并得到其流程图，将API全路径哈希编码值与其连接关系组成的图指纹作为恶意行为特征，如果API路径发生细微变化，或者恶意软件中增加防逆向代码保护措施导致流程图稍不准确，现有方案就无法有效识别。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。为此，本发明的一个目的是提供一种恶意软件识别方法和系统。

本发明所采用的技术方案是：一种恶意软件识别方法，包括步骤：S1、解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从所述smali代码中提取对应的特征编码，计算所述特征编码的哈希值以生成特征串；S2、将所述特征串与对比集合中的对比特征串集合进行交叉对比，所述对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；S3、计算对比中标的比例，当所述比例大于阈值则判断所述待检测软件为恶意软件。

优选的，还包括步骤S0：采集已有的恶意软件，解析所述恶意软件以获取行为逻辑代码，根据预设的提取规则从所述行为逻辑代码中提取对应的特征编码，计算特征编码的哈希值以生成对比特征串，根据行为逻辑代码的目的区别所述对比特征串为对比特征串集合。

优选的，所述计算对比中标的比例的具体步骤包括：记录所述特征串与对比特征串集合的匹配个数M，对应的，对比中标的比例

本发明所采用的技术方案是：一种恶意软件识别系统，包括：处理模块，用于解析待检测软件的dex文件的smali代码，根据路径层级/类名/方法名的提取规则从所述smali代码中提取对应的特征编码，计算所述特征编码的哈希值以生成特征串；对比模块，用于将所述特征串与对比集合中的对比特征串集合进行交叉对比，所述对比集合包括X个用于作为判断软件恶意与否的基准的对比特征串集合；判断模块，用于计算对比中标的比例，当所述比例大于阈值则判断所述待检测软件为恶意软件。

优选的，还包括预处理模块，用于采集已有的恶意软件，解析所述恶意软件以获取行为逻辑代码，根据预设的提取规则从所述行为逻辑代码中提取对应的特征编码，计算特征编码的哈希值以生成对比特征串，根据行为逻辑代码的目的区别所述对比特征串为对比特征串集合。

优选的，所述计算对比中标的比例的具体步骤包括：记录所述特征串与对比特征串集合的匹配个数M，对应的，对比中标的比例

本发明的有益效果是：

本发明通过根据路径层级/类名/方法名的提取规则合适的特征串，根据特征串和对比特征串集合的中标比例以判断是否属于恶意软件，能够准确判断软件是否类似现有恶意软件或者属于恶意软件的变异。

附图说明