[发明专利]一种恶意Android应用程序检测方法和系统

权利要求书

1.一种恶意Android应用程序检测方法，其步骤为：

1)将待测Andorid应用程序中的行为划分为若干类别；将待测Android应用程序中每个页面上的每个按钮与一个或多个类别行为对应，得到应用程序按钮----行为模型；

2)采集硬件模拟器执行按钮时的应用程序信息，识别出当前操作对应的按钮；根据所述应用程序按钮----行为模型得到该按钮要执行的操作行为；

3)采集当前按钮触发的硬件模拟器底层API调用序列，根据API序列模型得到该按钮对应执行的操作行为；所述API序列模型记录API序列与步骤1)所划分行为类别的对应关系；

4)将步骤2)确定的操作行为与步骤3)确定的操作行为进行对比，如果不一致则将该待测Android应用程序确定为恶意程序。

2.如权利要求1所述的方法，其特征在于所述类别包括：联网，短信，访问地址薄，访问sim卡信息，访问多媒体数据，执行程序。

3.如权利要求1或2所述的方法，其特征在于采集所述API调用序列的方法为：首先实时监控硬件模拟器CPU运行，通过反汇编引擎反汇编硬件模拟器的CPU指令；然后根据反汇编的指令调用地址，在API表里查找对应的API，记录调用的API，得到所述API调用序列。

4.如权利要求3所述的方法，其特征在于采用一hash表记录所述API调用序列的API地址和API。

5.如权利要求1或2所述的方法，其特征在于所述识别出当前操作对应的按钮的方法为：首先采集硬件模拟器中的各种点击、滑动以及晃动操作；然后通过模式匹配识别出目前操作为待测Android应用程序中哪个页面中的哪个按钮。

6.如权利要求1或2所述的方法，其特征在于建立所述API序列模型的方法为：根据Android应用程序的开发文档确定Android应用程序中每一API的作用；然后对每一所述行为进行API序列验证，得到每一所述行为的API序列。

7.一种恶意Android应用程序检测系统，其特征在于包括一硬件模拟器，一应用程序行为定义模块，一应用程序行为分析模块，一底层API获取模块，一API序列分析模块，一安全分析模块；其中：

所述硬件模拟器用于模拟Android应用程序运行环境；

所述应用程序行为定义模块用于将待测Andorid应用程序中的行为划分为若干类别，并将待测Android应用程序中每个页面上的每个按钮与一个或多个类别行为对应，建立应用程序按钮----行为模型；

所述应用程序行为分析模块用于从所述硬件模拟器中采集Android应用程序信息，识别出操作对应的按钮，并根据所述应用程序按钮----行为模型得到该按钮要执行的操作行为；

所述底层API获取模块用于从所述硬件模拟器中采集按钮触发的硬件模拟器底层API调用序列；

所述API序列分析模块用于根据获取的API调用序列，利用API序列模型得到该按钮对应执行的操作行为；所述API序列模型记录API序列与所述应用程序行为定义模块所划分行为类别的对应关系；

所述安全分析模块用于根据所述所述应用程序行为分析模块确定的操作行为与所述API序列分析模块确定的操作行为进行对比，如果不一致则确定待测Android应用程序为恶意程序。

8.如权利要求7所述的系统，其特征在于所述类别包括：联网，短信，访问地址薄，访问sim卡信息，访问多媒体数据，执行程序。

9.如权利要求7或8所述的系统，其特征在于采用一hash表记录所述API调用序列的API地址和API。

10.如权利要求7或8所述的系统，其特征在于采集的所述Android应用程序信息包括所述操作是哪个页面中的哪个按钮。