[发明专利]一种通用的Android恶意行为检测方法

摘要

本发明公开了一种通用的Android恶意行为检测方法。本方法为1)在手机上设置一守护进程，并在该守护进程与内核Binder驱动之间建立通信连接；2)在该手机上安装并运行多个第三方应用程序，手机内核驱动将截获的每一通信消息发送给该守护进程；3)该守护进程根据通信消息生成日志文件，记录接收的通信消息；4)恶意行为检测平台将所述日志文件导入数据库，查找数据库中包含目标隐私数据的记录，对于查找得到的记录，进行恶意行为检测如果通信一方不具有访问权限，或者存在A‑>S,S‑>B且发生时间间隔小于设定阈值，则存在恶意行为。本发明收集的信息全面、普适、可重用，可做多种面向具体安全需求的安全分析方法设计。

主权项

一种通用的Android恶意行为检测方法，其步骤为：1)在Android手机上设置一守护进程，并在该守护进程与内核Binder驱动之间建立通信连接；2)在该手机上安装并运行多个第三方应用程序，手机内核Binder驱动将截获的每一通信消息发送给该守护进程；3)该守护进程根据手机内核Binder驱动传过来的通信消息生成日志文件，记录接收的通信消息；4)Android恶意行为检测平台将所述日志文件导入数据库，查找数据库中包含目标隐私数据的记录，对于查找得到的记录，进行恶意行为检测：a)如果该条记录通信双方中的一方为第三方应用，则查看该第三方应用是否有相应的权限访问目标隐私数据，如果有，则该条记录通信双方对应的通信路径为可信，否则存在恶意行为；b)如果通信双方都是第三方应用，则查看两者是否都有相应的权限访问目标隐私数据，如果两者都有，则该条记录通信双方对应的通信路径为可信，否则说明存在恶意行为；c)如果找到的包含目标隐私数据的通信路径有如下两条：A‑>S,S‑>B；其中S为系统应用，A与B是第三方应用，如果两条路径的发生时间间隔小于设定阈值，则第三方应用A与B之间存在恶意行为。