[发明专利]基于二进制动态插桩的Android恶意行为动态检测方法

摘要

本发明涉及基于二进制动态插桩的Android恶意行为动态检测方法，属于计算机与信息科学技术领域。本发明首先将通过Android动态检测框架触发被测软件的所有潜在恶意行为；然后通过动态二进制插桩技术，构建程序对系统API的调用序列，使用N‑Gram模型提取函数的调用时序关系特征；最后，将生成的时序关系特征输入到训练好的GBDT(Gradient Boosting Decision Tree，梯度提升决策树)多分类算法检测模型中，识别恶意软件并将该软件存在的恶意行为进行细粒度分类。本发明使用动态二进制插桩技术，在不需要知道程序源码的情况下提取软件的系统函数调用时序特征，不仅对Android恶意行为检测具有较高的准确率，而且可以将软件的恶意行为分为六类，具有更细致的检测结论粒度，有效提升Android恶意软件的检测效率。

主权项

1.基于二进制动态插桩的Android恶意行为动态检测方法，其特征在于所述方法包括如下步骤：步骤1，将被测软件的apk文件安装到Android实体机或虚拟机上，使用Android动态监测框架触发软件潜在的所有恶意行为；步骤2，通过二进制动态插桩工具，在程序运行过程中向二进制可执行文件中注入自定义代码，执行自定义函数收集软件的函数调用日志；步骤3，根据函数调用日志生成函数的调用序列，生成敏感系统API的调用序列，使用N‑Gram模型提取软件的系统API调用序列的时序关系特征；步骤4，将提取出的调用时序特征作为输入，输入到采用GBDT多分类算法训练出的用于软件恶意行为识别分类的恶意行为检测模型中，对软件中潜在的恶意行为进行检测和细粒度分类。