[发明专利]一种基于多运行环境行为比对的安卓恶意应用检测系统

摘要

一种基于多运行环境行为比对的安卓恶意应用检测系统，包括：信息提取模块，对被检测的APK安装文件进行反编译，为后续日志分析提供数据支持；动态分析模块，使用沙盒技术对Android应用程序进行动态分析，并记录程序运行过程中执行的行为；环境检测对抗模块，实时检测程序运行过程中的环境检测行为，并针对不同层次的检测行为进行对抗，将应用程序中运行环境检测的结果修改为伪装的运行环境特征；行为记录分析模块，在某一待测应用程序多次重复运行全部结束后对所有的行为日志进行统一处理与分析；系统运行调度模块，在系统运行过程中控制整个运行流程。本发明可捕捉到应用程序的行为差异情况，并检测是否有恶意行为，适用于识别环境敏感恶意应用程序。

主权项

一种基于多运行环境行为比对的安卓恶意应用检测系统，其特征在于，包括：信息提取模块，对被检测的APK安装文件进行反编译，分析反编译后生成的smali文件中各个类的相关信息，为后续的日志分析提供数据支持；动态分析模块，使用沙盒技术对Android应用程序进行动态分析，包括基于安卓原生系统修改的具有系统调用记录功能的系统运行镜像和经过定制的模拟器运行文件系统，组合成模拟器沙箱运行环境，在应用程序运行过程中对其所执行的一系列行为进行记录，由对被检测应用程序运行时所表现行为进行记录的子模块组成；环境检测对抗模块，实时检测应用程序运行过程中的环境检测行为，并针对不同层次的检测行为进行对抗，将应用程序中运行环境检测的结果修改为伪装的运行环境特征，包括分别对应用层、安卓系统层、Linux系统层和模拟器体系结构层特征进行动态修改的动态修改子模块；行为记录分析模块，在某一待测应用程序多次重复运行全部结束后对所有的行为日志进行统一处理与分析，包括应用行为日志预处理子模块，行为序列提取子模块，行为分析对比子模块和报告生成子模块；系统运行调度模块，在系统运行过程中控制整个运行流程，包括模拟器运行调度子模块、待分析应用管理子模块、系统事件模拟子模块以及用户接口事件触发子模块。