[发明专利]一种移动应用的恶意代码入侵检测与防范方法

说明书

本发明公开了一种移动应用的恶意代码入侵检测与防范方法，包括以下步骤：通过动态污点传播分析恶意代码样本执行流程，识别并记录流程中的调用信息及与污点数据相关的指令信息；根据调用信息及指令信息，构建恶意代码行为依赖图；对恶意代码样本行为进行分析以对行为依赖图进行抗混淆处理，识别并处理语义调用，得到恶意代码行为特征图；根据行为特征图对恶意代码进行检测，根据行为敏感度对图中节点和边赋值，设定加权特征值计算方式及检测阈值；对目标检测代码进行污点传播分析，根据调用信息与特征的匹配情况计算特征值，比对特征值与检测阈值判定恶意代码，所述方法可从恶意代码敏感行为对待测目标进行检测，检测准确率高、性能好、误报率低。

技术领域

本发明涉及信息安全领域，尤其涉及一种移动应用的恶意代码入侵检测与防范方法。

背景技术

恶意代码变种的检测问题是目前恶意代码防范的难点和重点，现有的恶意代码变种在实现上可大致分为两类，一类是恶意代码开发人员通过重用基础模块实现变种；一类是恶意代码专门针对现有防范技术而设计开发的混淆技术，混淆技术按实现原理分为两类，一类是高冉反汇编的混淆，使反汇编无法得到正确结果，从而阻碍进一步分析，另一类是指令/控制流混淆，此类混淆技术通常采用垃圾代码插入、寄存器重分配、等价指令替换及代码变换等方式，改变代码的语法特征，隐藏内部逻辑关系。

恶意代码检测方法可分为基于启发式检测和基于特征检测两大类，基于启发式检测根据预先设计的规则判断恶意代码存在的可能性，可用于检测新恶意代码样本，但其规则生成较依赖于开发人员经验，实际使用中误报及漏报率较高；基于特征的检测方法则根据由恶意代码提取的特征进行检测，与基于启发式检测相比，效率和误报率均均有一定优势。

发明内容

鉴以此，本发明的目的在于提供一种移动应用的恶意代码入侵检测与防范方法，基于恶意代码样本特征对目标代码进行检测，以提高识别准确率。

一种移动应用的恶意代码入侵检测与防范方法，包括以下步骤：

S1、采集移动应用恶意代码样本，通过动态污点传播分析恶意代码样本的执行流程，识别并记录流程中的调用信息以及与污点数据相关的指令信息；

S2、根据调用信息以及指令信息，构建恶意代码行为依赖图；

S3、对恶意代码样本的行为进行分析以对行为依赖图进行抗混淆处理，识别并处理语义调用，得到恶意代码行为特征图；

S4、根据行为特征图对恶意代码进行检测，根据行为敏感度对图中节点和边赋予权值，设定加权特征值计算式以及检测阈值；

S5、对待测移动应用代码进行污点传播分析，根据其调用信息与特征库中特征的匹配情况计算特征值，比对特征值与检测阈值对目标检测代码进行判定。

进一步的，所述调用信息包括系统调用以及系统调用之间的数据依赖关系和控制依赖关系。

进一步的，所述语义调用包括语义无关调用插入以及语义等价调用变换。

进一步的，S3中，对于语义无关调用，通过分析动态污点传播过程中是否影响系统状态对其进行识别并剔除；对于语义等价调用，采用等价调用序列处理以及循环处理。

进一步的，S5中，对待测移动应用代码进行动态污点分析以提取其关键系统调用及参数、数据依赖关系和控制依赖关系。

进一步的，所述动态污点分析包括污点标记、污点传播以及污点漂白。

进一步的，S5中，当特征值大于检测阈值时，判定待测移动应用代码为恶意代码；否则判定目标检测代码为非恶意代码。

进一步的，S5中，对调用信息和特征库中的特征进行匹配，包括系统调用节点匹配、集合节点匹配、边的匹配和匹配计数。