利索能及
我要发布
收藏
专利号: 2024114582162
申请人: 武汉工程大学
专利类型:发明专利
专利状态:已下证
更新日期:2025-12-01
缴费截止日期: 暂无
联系人

摘要:

权利要求书:

1.一种基于安卓恶意软件检测模型的恶意软件识别方法,其特征在于,包括:

获取APK数据集,所述APK数据集中包括APK文件;

根据所述APK数据集,分别确定所述APK数据集中各个APK文件对应的权限向量和函数调用图,所述权限向量为描述APK文件对应的应用程序所需权限的向量;

基于各个APK文件对应的权限向量,对预设的神经网络模型进行训练,得到第一模型,所述第一模型用于基于APK文件对应的应用程序所需权限识别APK文件对应的应用程序是否为恶意软件;

基于各个APK文件对应的函数调用图,对预设的图卷积神经网络模型进行训练,得到第二模型,所述第二模型用于基于APK文件对应的函数调用图识别APK文件对应的应用程序是否为恶意软件;

对所述第一模型和所述第二模型进行模型集成处理,生成安卓恶意软件检测模型,以基于所述安卓恶意软件检测模型对待检测的APK文件进行恶意软件识别;

对于每个APK文件,所述APK文件对应的函数调用图是通过以下方式确定的:

根据所述APK文件,获取所述APK文件对应的应用程序中定义的框架空间方法、应用空间方法、各个框架空间方法所属的类和各个应用空间方法所属的类,并生成初始函数调用图;每个所述框架空间方法表征安卓系统框架自定义的方法,每个所述应用空间方法表征编写APK文件对应的应用程序时用户自定义的方法,所述初始函数调用图用于描述框架空间方法与应用空间方法之间的调用关系;

分别获取安卓框架空间中的回调关系、安卓应用空间中的继承关系以及安卓框架空间中的权限关系,所述安卓框架空间中的回调关系表征框架空间方法之间的回调关系,所述安卓应用空间中的继承关系包括类继承关系和方法继承关系,所述类继承关系表征各个类之间的继承关系,所述方法继承关系表征各个应用空间方法之间、框架空间方法与应用空间方法之间的继承关系,所述安卓框架空间中的权限关系表征框架空间方法与框架空间方法所需权限之间的对应关系;

以框架空间方法、应用空间方法以及框架空间方法所需权限为节点,基于安卓框架空间中的回调关系、安卓应用空间中的继承关系以及安卓框架空间中的权限关系,更新所述初始函数调用图,得到新的函数调用图;

对所述新的函数调用图进行简化处理,得到所述APK文件对应的函数调用图。

2.根据权利要求1所述一种基于安卓恶意软件检测模型的恶意软件识别方法,其特征在于,对于每个APK文件,所述APK文件对应的权限向量是通过以下方式确定的:根据所述APK文件,确定所述APK文件对应的应用程序所需的权限;

根据所述APK文件对应的应用程序所需的权限和预设的默认权限集,构建所述APK文件对应的权限向量。

3.根据权利要求1所述一种基于安卓恶意软件检测模型的恶意软件识别方法,其特征在于,还包括:分别确定各个节点的属性向量,每个所述框架空间方法的属性向量为描述框架空间方法所属的应用程序编程接口包的向量,每个所述应用空间方法的属性向量为描述应用空间方法所需的操作码的向量,每个所述框架空间方法所需权限的属性向量为描述框架空间方法所需权限所属的权限类型及危险类型的向量。

4.根据权利要求1所述一种基于安卓恶意软件检测模型的恶意软件识别方法,其特征在于,每个所述安卓框架空间中的回调关系是通过以下方式确定的:获取潜在回调方法,所述潜在回调方法表征能够被安卓应用空间执行并重写的框架空间方法,所述安卓应用空间表征APK文件对应的应用程序在设备上运行时所使用的独立环境;

对于每个潜在回调方法,判断是否存在与所述潜在回调方法对应的注册方法,并判断所述潜在回调方法是否在所述注册方法所属的类的内部被调用,若存在与所述潜在回调方法对应的注册方法且所述潜在回调方法在所述注册方法所属的类的内部被调用,则基于所述潜在回调方法及所述潜在回调方法对应的注册方法构成所述安卓框架空间中的回调关系,所述注册方法表征以所述潜在回调方法所属的类为参数的框架空间方法,所述参数表征框架空间方法定义中声明的变量。

5.根据权利要求4所述一种基于安卓恶意软件检测模型的恶意软件识别方法,其特征在于,所述获取潜在回调方法,包括:分别判断各个框架空间方法是否符合第一准则,将符合所述第一准则的框架空间方法确定为潜在回调方法,所述第一准则为:框架空间方法所属的类能够被任一框架空间方法所属的类和应用空间方法所属的类访问和继承,且框架空间方法所属的类能够被扩展,且框架空间方法能够被安卓应用空间重写。

6.根据权利要求1所述一种基于安卓恶意软件检测模型的恶意软件识别方法,其特征在于,所述方法继承关系是通过以下方式确定的:对于每个应用空间方法,根据所述类继承关系判断是否存在与所述应用空间方法对应的第一方法,若存在,则确定所述应用空间方法及所述第一方法构成所述方法继承关系;其中,所述第一方法为应用空间方法或框架空间方法,所述第一方法所属的类与所述应用空间方法所属的类具有继承关系,且所述第一方法对应的签名与所述应用空间方法对应的签名相同。

7.根据权利要求1所述一种基于安卓恶意软件检测模型的恶意软件识别方法,其特征在于,所述对所述新的函数调用图进行简化处理,包括:将所述新的函数调用图中的各个框架空间方法对应的节点替换为各个框架空间方法所属的类对应的节点;

将所述新的函数调用图中的各个应用空间方法对应的节点替换为各个应用空间方法所属的类对应的节点。

8.一种基于安卓恶意软件检测模型的恶意软件识别装置,其特征在于,包括:

获取模块,用于获取APK数据集,所述APK数据集中包括APK文件;

数据处理模块,用于根据所述APK数据集,分别确定所述APK数据集中各个APK文件对应的权限向量和函数调用图,所述权限向量为描述APK文件对应的应用程序所需权限的向量;

第一训练模块,用于基于各个APK文件对应的权限向量,对预设的神经网络模型进行训练,得到第一模型,所述第一模型用于基于APK文件对应的应用程序所需权限识别APK文件对应的应用程序是否为恶意软件;

第二训练模块,用于基于各个APK文件对应的函数调用图,对预设的图卷积神经网络模型进行训练,得到第二模型,所述第二模型用于基于APK文件对应的函数调用图识别APK文件对应的应用程序是否为恶意软件;

模型集成模块,用于对所述第一模型和所述第二模型进行模型集成处理,生成安卓恶意软件检测模型,以基于所述安卓恶意软件检测模型对待检测的APK文件进行恶意软件识别;

对于每个APK文件,所述APK文件对应的函数调用图是通过以下方式确定的:根据所述APK文件,获取所述APK文件对应的应用程序中定义的框架空间方法、应用空间方法、各个框架空间方法所属的类和各个应用空间方法所属的类,并生成初始函数调用图;每个所述框架空间方法表征安卓系统框架自定义的方法,每个所述应用空间方法表征编写APK文件对应的应用程序时用户自定义的方法,所述初始函数调用图用于描述框架空间方法与应用空间方法之间的调用关系;分别获取安卓框架空间中的回调关系、安卓应用空间中的继承关系以及安卓框架空间中的权限关系,所述安卓框架空间中的回调关系表征框架空间方法之间的回调关系,所述安卓应用空间中的继承关系包括类继承关系和方法继承关系,所述类继承关系表征各个类之间的继承关系,所述方法继承关系表征各个应用空间方法之间、框架空间方法与应用空间方法之间的继承关系,所述安卓框架空间中的权限关系表征框架空间方法与框架空间方法所需权限之间的对应关系;以框架空间方法、应用空间方法以及框架空间方法所需权限为节点,基于安卓框架空间中的回调关系、安卓应用空间中的继承关系以及安卓框架空间中的权限关系,更新所述初始函数调用图,得到新的函数调用图;对所述新的函数调用图进行简化处理,得到所述APK文件对应的函数调用图。

9.一种电子设备,其特征在于,包括存储器、处理器及存储在所述存储器上并可在所述处理器上运行的计算机程序,所述处理器执行所述计算机程序时实现如权利要求1至7中任一项所述的一种基于安卓恶意软件检测模型的恶意软件识别方法。