[发明专利]一种Android系统恶意软件检测中动静混合特征提取方法

权利要求书

1.一种Android系统恶意软件检测中动静混合特征提取方法，其特征在于包括下述步骤：

步骤一：基于CHI统计方法筛选高危权限；

基于CHI统计方法筛选高危权限，具体流程如下：

(1)选取N个样本，包含恶意样本N_K个和正常样本个，且满足

(2)选取Android系统的所有权限作为权限集P＝{p₁,p₂,...,p_M}；

(3)对于权限p_i∈P(i＝1,2,...,M)：

表1 权限样本分组

计算权限p_i的CHI值：

其中，N＝A+B+C+D，A表示属于类别K且含有权限p_i的样本数，B表示属于类别K但不含权限p_i的样本数，C表示不属于类别K但含有权限p_i的样本数，D表示不属于类别K且不含权限p_i样本数；

(4)按照CHI值从大到小排序，选取高危权限列表如表2所示：

表2 高危权限列表

步骤二：基于凝聚层次和K-Means结合方法去除权限之间相关性

通过使用凝聚层次聚类算法优化K-Means聚类算法中的初始聚类中心，对步骤一中的高危权限进行聚类处理；即，先使用凝聚层次聚类算法对高危权限进行初始聚类获得初始聚类中心，再使用K-Means聚类算法基于初始聚类中心对高危权限进行重定位聚类；其中，权限之间的相关程度使用“皮尔逊相关系数”进行衡量；

设恶意样本集为权限集为P_per＝{p₁,p₂,...,p₃₀}，权限集对应的特征向量为对于权限集P_per中的每一个权限p_i(i＝1,2,...,30)，遍历恶意样本集S_vir，若恶意样本s_j∈S_vir(j＝1,2,...,N_K)中含有权限p_i，则权限p_i对应恶意样本s_j的特征向量值为f_j＝1(j＝1,2,...,N_K)，否则f_j＝0,(j＝1,2,...,N_K)；

聚类后的权限共分成14组，设为P_High-Risk＝{P₁,P₂,...,P₁₄}，其中P_i(i＝1,2,...,14)表示每一组高危权限集合，具体如表3所示：

表3 聚类后的权限组

步骤三：筛选敏感API；

针对每一组高位权限对应的API函数集合进行筛选，对于重载的函数或者功能一致的多个API函数，只保留其中一个，最后共筛选出40个敏感API，部分敏感API如表4所示：

表4 部分敏感API

步骤四：基于反编译技术提取静态特征

静态特征由高危权限特征和敏感API特征组成；

依据步骤二中筛选出来的14组高危权限P_High-Risk＝{P₁,P₂,...,P₁₄}，其中P_i(i＝1,2,...,14)表示每一组高危权限集合，设P_High-Risk对应的静态权限特征向量为：F_APK(Per)＝{f₁,f₂,...,f₁₄}，其中f_i＝{0,1}(i＝1,2,...,14)；

依据步骤三筛选出来的敏感API集合API_Sensitive＝{api₁,api₂,...,api₄₀}，设静态敏感API调用特征向量为：F_APK(API)＝{f₁,f₂,...,f₄₀}，其中f_j＝{0,1}(j＝1,2,...,40)；

先将APK文件中的dex文件反编译成smali文件，再对smali文件进行分析；

步骤五：基于开源框架Xposed提取动态特征

基于Xposed框架动态Hook敏感API，以提取动态特征；

依据步骤三筛选出来的敏感API集合API_Sensitive＝{api₁,api₂,...,api₄₀}，设动态敏感API调用频次特征向量为F_APP(API)＝{f₁,f₂,...,f₄₀}，其中f_j＝{0,1}(j＝1,2,...,40)；

在提取敏感API调用频次特征的同时，记录当前系统状态特征作为辅助分析参数；

结合步骤四中静态特征向量F_apk＝{f₁,f₂,...,f₁₄,...,f₅₄}和步骤五中系统敏感API调用频次特征向量F_app＝{f₁,f₂,...,f₄₀}，以及步骤五中动态敏感API调用时的系统状态特征向量F_sys＝{f₁,f₂,f₃}，拼接得到混合特征如下：

F＝{F_apk,F_app,F_sys}＝{f₁,f₂,...,f₁₄,...,f₅₄,...,f₉₄,f₉₅.f₉₆,f₉₇}

其中，F_apk＝{f₁,...,f₅₄}为静态特征向量，F_app＝{f₅₅,...,f₉₄}为系统敏感API调用频次特征向量，F_sys＝{f₉₅,f₉₆,f₉₇}为动态敏感API调用时的系统状态特征向量。