[发明专利]用于恶意代码检测的方法及装置、设备

权利要求书

1.一种用于恶意代码检测的方法，其特征在于，包括：

获取待测APK文件的第一函数调用图；

根据所述第一函数调用图获取所述待测APK文件的第一敏感API调用序列；

根据所述第一敏感API调用序列获取所述待测APK文件的第一特征向量；

将所述第一特征向量输入预设的恶意代码检测模型，获得所述待测APK文件是否为恶意代码的检测结果。

2.根据权利要求1所述的方法，其特征在于，将所述第一特征向量输入预设的恶意代码检测模型之前，还包括：

获取APK文件样本的第二函数调用图，其中，所述APK文件样本的类型包括：恶意APK文件样本和良性APK文件样本；

根据所述第二函数调用图获取所述APK文件样本的第二敏感API调用序列；

根据所述第二敏感API调用序列获取所述APK文件样本的分类特征；

根据所述分类特征获取所述APK文件样本的第二特征向量；

根据所述第二特征向量进行训练，构建出恶意代码检测模型。

3.根据权利要求2所述的方法，其特征在于，根据所述第二函数调用图获取所述APK文件样本的第二敏感API调用序列，包括：

根据所述第二函数调用图获取所述APK文件样本的第二敏感API调用图；

根据所述第二敏感API调用图获取所述第二敏感API调用序列。

4.根据权利要求3所述的方法，其特征在于，根据所述第二函数调用图获取所述APK文件样本的第二敏感API调用图，包括：

将所述第二函数调用图中的节点与预设的敏感API集合中的API节点进行匹配，在所述第二函数调用图中的节点与敏感API集合中的API节点不相同的情况下，将对应的第二函数调用图中的节点确定为第二非敏感API节点；

将所述第二非敏感API节点及其对应的边删掉，得到所述APK文件样本的第二敏感API调用图。

5.根据权利要求3所述的方法，其特征在于，根据所述第二敏感API调用图获取所述第二敏感API调用序列，包括：

在所述第二敏感API调用图中各第二敏感API节点之间存在至少一条边的情况下，在对应的两个第二敏感API节点间添加一条有向边，得到所述第二敏感API调用序列。

6.根据权利要求2所述的方法，其特征在于，根据所述第二敏感API调用序列获取所述APK文件样本的分类特征，包括：

获取所述第二敏感API调用序列的支持度；

将满足预设条件的支持度对应的第二敏感API调用序列确定为所述APK文件样本的分类特征。

7.根据权利要求6所述的方法，其特征在于，通过计算：

w-supp_k(s_i)＝S_k(s_i)*A_k(s_i)得到所述第二敏感API调用序列的支持度；

其中，w-supp_k(s_i)为第二敏感API调用序列s_i在类型k的APK文件样本中的支持度，S_k(s_i)为第二敏感API调用序列s_i在类型k的所有APK文件样本的第二敏感API调用序列中的出现频率，A_k(s_i)为第二敏感API调用序列s_i在类型k的所有APK文件样本中的出现频率，k为恶意APK文件样本或良性APK文件样本。

8.根据权利要求2至7任一项所述的方法，其特征在于，根据所述第二敏感API调用序列获取所述APK文件样本的分类特征之后，还包括：

获取所述分类特征中恶意APK文件样本的敏感API调用序列集合与良性APK文件样本的敏感API调用序列集合的交集；

将所述交集从分类特征中删掉。