[发明专利]一种恶意软件检测方法及系统

权利要求书

1.一种恶意软件检测方法，其特征在于，包括：

基于待测软件的安装包确定待测软件申请的权限对应功能；

基于所述待测软件的安装包在测试环境中安装并运行所述待测软件，实时监测所述待测软件在运行过程中实现的动作及具有的特征；

如果监测到所述待测软件实现对应功能时获取了预设隐私信息、且具有可达到始终运行目的和/或被迫终止后自动恢复运行目的的非功能特征，则初步确定所述待测软件为恶意软件。

2.根据权利要求1所述的方法，其特征在于，初步确定所述待测软件为恶意软件之后，还包括：

监测所述待测软件是否将获取到的预设隐私信息上传至网络，如果是，则最终确定所述待测软件为恶意软件。

3.根据权利要求1所述的方法，其特征在于，确定所述待测软件申请的权限对应功能，包括：

对所述待测软件的安装包进行反编译，得到对应反编译文件，由该反编译文件中获取所述待测软件的权限列表，并确定与该权限列表中各项权限对应的功能。

4.根据权利要求1所述的方法，其特征在于，在测试环境中安装并运行所述待测软件，包括：

在真机具有的测试环境中安装并运行所述待测软件。

5.根据权利要求4所述的方法，其特征在于，监测所述待测软件在运行过程中实现的动作之前，还包括：

确定所述待测软件对应的能够获取所述预设隐私信息的功能为目标功能，使用所述真机装有的Xposed框架的HOOK技术将实现所述目标功能时需调用的函数做标记，以基于该标记监测所述待测软件是否调用对应函数实现了预设隐私信息的获取。

6.根据权利要求4所述的方法，其特征在于，监测所述待测软件在运行过程中实现的动作之前，还包括：

散发预设隐私广播，以触发所述待测软件在监听到所述预设隐私广播后实现对应预设隐私信息的获取。

7.一种恶意软件检测系统，其特征在于，包括：

主控制端，用于：提供待测软件的安装包；

静态检测模块，用于：基于待测软件的安装包确定待测软件申请的权限对应功能；

动态检测模块，用于：基于待测软件的安装包在测试环境中安装并运行所述待测软件，实时监测所述待测软件在运行过程中实现的动作及具有的特征；如果监测到所述待测软件实现对应功能时获取了预设隐私信息、且具有可达到始终运行目的和/或被迫终止后自动恢复运行目的的非功能特征，则初步确定所述待测软件为恶意软件。

8.根据权利要求7所述的系统，其特征在于，所述动态检测模块还包括：

动态检测单元，用于：初步确定所述待测软件为恶意软件之后，监测所述待测软件是否将获取到的预设隐私信息上传至网络，如果是，则最终确定所述待测软件为恶意软件。

9.根据权利要求7所述的系统，其特征在于，所述静态检测模块包括：

静态检测单元，用于：对所述待测软件的安装包进行反编译，得到对应反编译文件，由该反编译文件中获取所述待测软件的权限列表，并确定与该权限列表中各项权限对应的功能。

10.根据权利要求7所述的系统，其特征在于，所述动态检测模块包括：

软件安装单元，用于：在真机具有的测试环境中安装并运行所述待测软件。