[发明专利]基于SVM的Android移动网络终端恶意代码的动静结合检测方法

说明书

本发明公开了一种基于SVM的Android移动网络终端恶意代码的动静结合检测方法，构建包含恶意软件和非恶意软件的训练样本数据集；获取训练样本数据集中每个样本的静态特征与动态行为特征，构建每个软件样本的特征向量；对所有软件样本的特征向量增加恶意软件标记字段，训练支持向量机分类器；对恶意软件样本的特征向量增加恶意软件类别标记字段，训练随机森林分类器；提取待测软件的静态特征向量和动态特征向量，构建待测软件的特征向量；利用支持向量机分类器进行恶意软件检；若检测为恶意的软件，则进一步利用随机森林分类器判断其所属的恶意软件家族。本发明提高了软件恶意行为检测的准确性，同时具有恶意家族分类的能力。

技术领域

本发明属于信息安全领域，具体涉及一种基于SVM的Android移动网络终端恶意代码的动静结合检测方法。

背景技术

当前智能手机的应用已经涉及到人们生活的各个方面，而Android系统在智能手机中占有大量的份额，因此准确的检测Android恶意代码，对于保护Android用户隐私和财产安全具有重要的意义和应用价值。现有的Android恶意代码多标签检测的研究中，一般仅使用静态分析方法提取Android软件的特征，无法处理动态加载、运行时加解密等行为，恶意软件的检测精度和恶意家族的分类精度较低。

发明内容

本发明的目的在于提供一种基于SVM的Android移动网络终端恶意代码的动静结合检测方法。

实现本发明目的的技术解决方案为：一种基于SVM的Android移动网络终端恶意代码的动静结合检测方法，包括以下步骤：

步骤1、获取Android移动智能终端嵌入式恶意软件样本，并标记各样本所属的Android恶意软件家族，然后获取非恶意软件样本，从而构建包含恶意软件和非恶意软件的训练样本数据集；

步骤2、使用反编译工具处理Android软件样本，构建软件的静态特征向量；

步骤3、创建Android虚拟设备，使用Android软件动态分析工具，构建软件的动态特征向量；

步骤4、获取训练样本数据集中每个样本的静态特征与动态行为特征，构建每个软件样本的特征向量；

步骤5、对所有软件样本的特征向量增加恶意软件标记字段，指明该样本是否为恶意软件，利用带恶意软件标记字段的特征向量训练支持向量机分类器；

步骤6、对恶意软件样本的特征向量增加恶意软件类别标记字段，指明该样本所属的Android恶意软件家族，利用带恶意软件类别标记字段的特征向量训练随机森林分类器；

步骤7、提取待测软件的静态特征向量和动态特征向量，构建待测软件的特征向量；

步骤8、利用支持向量机分类器进行恶意软件检；若检测为恶意的软件，则进一步利用随机森林分类器判断其所属的恶意软件家族。

本发明与现有技术相比，其显著优点为：1)使用动静结合的方法分析待测软件，能够更全面获取软件的行为特征，对动态加载、加密等行为进行检测，提高了恶意性判定的准确性；2)通过使用脚本构建adb shell命令，模拟Android恶意软件通常监听的系统事件，能够有效触发软件恶意负载，提高了动态分析的效率；3)使用支持向量机判定软件的恶意性，并将随机森林引入到Android恶意家族的分类中，提高了恶意性判定精度和恶意家族分类精度。

附图说明

图1为基于SVM的Android移动网络终端恶意代码的动静结合检测方法流程图。

图2为构建的软件特征向量实例图。

图3为待测软件恶意性检测和家族分类流程图。

具体实施方式

下面结合附图和具体实施例，进一步说明本发明方案。