[发明专利]一种基于特征的恶意应用程序检测方法及设备

权利要求书

1.一种基于特征的恶意应用程序检测方法，其特征在于，包括：

解析待检测应用程序安装包中的目标文件，提取所述目标文件中的关键特征，所述关键特征包含行为维度、权限维度和内容维度中的至少一种维度信息；

获取部分关键特征的词语随机度，获取剩余部分关键特征的数值数据，并将所述词语随机度以及所述数值数据拼接为数字特征向量；

将所述数字特征向量输入训练好的AI模型，获得对所述待检测应用程序的恶意性检测结果；所述AI模型是根据输入的数字特征向量进行训练，并输出所述数字特征向量对应的应用程序为恶意应用的概率和/或非恶意应用的概率。

2.根据权利要求1所述的方法，其特征在于，所述行为维度包含应用程序运行时的行为信息；

所述权限维度包含应用程序在进行特定行为时所需要的权限信息；

所述内容维度包含下述至少一种信息：应用程序包名、程序名、开发者信息、语言信息、应用程序的总文件大小、应用程序所包含的文件数量、应用程序中特定文件大小、应用程序中特定组件的数量、元数据的数量、资源字符串数量、支持语言数量以及应用程序加固信息。

3.根据权利要求1所述的方法，其特征在于，所述获取所述部分关键特征的词语随机度，具体包括：

根据所述部分关键特征字符串的字母顺序，依次获取所述部分关键特征字符串的任意相邻两个字母的字母相邻频率；

基于所述任意相邻两个字母的字母相邻频率，获取所述关键特征的词语随机度；

其中，所述字母相邻频率是将字符串作为预设语言文字的单词，通过预设语言文字的词语随机度计算规则得到两个字母之间的相邻频率；

所述词语随机度通过所述字母相邻频率得到。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述获取剩余部分关键特征的数值数据，具体包括：

基于所述剩余部分关键特征中内容维度的关键特征，将所提取的关键特征转换为第一数值数据，所述第一数值数据为关键特征所代表的数值；

基于所述剩余部分关键特征中行为维度和权限维度的关键特征，将所提取的关键特征转换为第二数值数据，所述第二数值数据为数字0或1。

5.根据权利要求4任一项所述的方法，其特征在于，所述将所述词语随机度以及所述数值数据拼接为数字特征向量，具体包括：

基于所述词语随机度以及所述第一数值数据中的每一个数据，分别将每一个数据进行特征变换后，通过独热编码，转换成由0和1组成的编码数字；

将所有随机度数据和第一数值数据转换后的编码数字，以及第二数值数据，按预设顺序拼接为数字特征向量。

6.根据权利要求5所述的方法，其特征在于，所述分别将每一个数据进行特征变换后，通过独热编码，转换成由0和1组成的编码数字，具体包括：

基于所有数据，按第一预设规则获取N个数值分段，并将所述N个数值分段按数值大小排序，获得每个数值分段的排序位次，所述N为大于0的整数；

将每一个数据，按第二预设规则与所述N个数值分段进行匹配，使每一个数据匹配一个数值分段，并将所匹配的数值分段的排序位次作为所述每一个数据的特征变换数字；

对每一个数据的特征变换数字进行独热编码，从而获得由0和1组成的编码数字。

7.根据权利要求5或6任一项所述的方法，其特征在于，所述分别将每一个数据进行特征变换后，通过独热编码，转换成由0和1组成的编码数字，具体包括：

以所有数据中的最大值和最小值为数值区间，将所述数值区间分为N份，获得N个数值分段，并将所述N个数值分段按数值大小排序，获得每个数值分段的排序位次，所述N为大于0的整数；

对于每一个数据，若所述数据的值处于一个数值分段S的数值范围内，则将所述数值分段S的排序位次作为所述数据的特征变换数字；

对每一个数据的特征变换数字进行独热编码，从而获得由0和1组成的编码数字。