[发明专利]一种基于卷积神经网络的大规模安卓恶意应用检测系统及方法

摘要

一种基于卷积神经网络的大规模安卓恶意应用检测系统及方法，包括特征提取模块、特征处理模块、深度学习模块以及恶意应用检测模块。通过收集大量的安卓正常和恶意应用，利用静态与动态分析相结合的方式更加全面的提取安卓应用特征，提高系统对未知恶意应用的识别能力。将特征处理为二维矩阵形式，利用卷积神经网络模型自主的进行特征的学习与训练，准确的识别出安卓应用的恶意性。

主权项

1.一种基于卷积神经网络的大规模安卓恶意应用检测系统，其特征在于，包括：特征提取模块、特征处理模块、深度学习模块和恶意应用检测模块；其中：/n特征提取模块：对于用户提交的每一个待检测安卓应用，分别利用apktool、androguard和droidbox三种工具进行检测得出相应的检测报告，其中apktool用来反编译安卓应用得到配置文件，从中提取权限特征；从androguard检测报告中提取安卓四大组件，即Activity、Service、Broadcast Receiver和Content Provider的使用情况、NDK反射信息和加密混淆信息；通过droidbox获取每个应用执行的动态操作行为，每一个安卓应用都对应一个包含所有上述特征的特征文档，其中每一行表示一个特征；/n特征处理模块：遍历从特征提取模块得到的所有特征文档，获取所有出现过的特征作为词库，将词库中的每一个特征向量化，此外，在词库中添加“Unknown”特征，用于之后匹配不在词库中的未知特征，对于每一个应用，将其特征文档根据词库转换为二维矩阵，作为深度学习模块的输入；/n深度学习模块：使用卷积神经网络对输入的二维矩阵进行特征的提取与训练，得到学习成熟的模型，作为最终的检测模型；/n恶意应用检测模块：用户通过web提交待检测的安卓应用，通过文件哈希比对是否已经存在数据库中，其中数据库是收集的所有安卓正常和恶意应用的文件哈希和带有“正常”或“恶意”的标签；如果存在直接返回检测报告，若不存在，通过深度学习模块获得的检测模型进行检测，得出检测报告，并将报告返还给用户。/n