[发明专利]一种基于应用多分类的Android恶意应用威胁度检测方法

权利要求书

1.一种基于应用多分类的Android恶意应用威胁度检测方法，其特征在于：所述检测方法包括如下步骤：

步骤一：接收待处理应用，提取待检测应用的特征数据；

步骤二：基于所述特征数据，根据预分类算法模型将待检测app划分成特定类别的app；

步骤三：根据待检测应用的类别，提取待检测应用的特定特征，并对特定特征赋予权重；

步骤四：检测工具根据所述权重对待检测应用的威胁度评估和恶意性进行检测。

2.如权利要求1所述的一种基于应用多分类的Android恶意应用威胁度检测方法，其特征在于：提取待检测应用的特征数据的方法为：

根据预设的预处理算法提取训练样本的特征数据，所述训练样本包括恶意应用和良性应用，所述特征数据包括权限信息和附加特征信息，并根据所述特征数据的状态构建特征向量。

3.如权利要求1所述的一种基于应用多分类的Android恶意应用威胁度检测方法，其特征在于：所述预分类模型为：

利用聚类算法，根据所述权限信息对所述训练样本的特征向量集进行聚类，将所述特征向量集分为不同的特征向量簇，得到聚类算法模型;

以所述特征向量簇为单位，利用数据降维算法对所述特征向量簇中所述特征向量进行特征选择，并得到与所述特征向量簇对应的特征选择字典;对所述特征向量簇中所述特征向量使用预设的机器学习算法进行分类，所述机器学习算法为多个;根据分类结果获取各个所述机器学习算法的预设指标;根据所述预设指标获取与所述特征向量簇对应的所述机器学习算法，得到分类算法模型。

4.如权利要求1所述的一种基于应用多分类的Android恶意应用威胁度检测方法，其特征在于：所述附加特征信息包括敏感API信息、敏感字符串信息、组件activity信息、组件Broadcast Receiver信息以及native代码信息、动态代码信息、加密代码信息和反射代码信息；其中，所述组件activity信息和所述组件Broadcast Receiver信息包括action信息。