[发明专利]一种动静检测融合的勒索病毒检测系统及方法

说明书

本发明实施例是关于一种动静检测融合的勒索病毒检测系统及方法。包括：动态检测分析组件，用于实例化Observer组件并实时监控APK文件信息熵值，当所述APK文件信息熵值变大时判断所述APK文件为勒索病毒文件；静态检测分析组件，包括：信息提取模块，用于获取APK文件的基本信息，所述基本信息至少包括文件包名和API版本号；文件提取模块，用于获取所述APK文件的源码文件和资源文件；检测分析模块，至少包括签名分析子模块、权限分析子模块、API调用分析子模块和资源文件分析子模块中的一个。上述检测系统，可对安卓系统进行动态勒索病毒检测和静态勒索病毒检测，为后续病毒查杀打好基础，解决了传统安卓系统勒索病毒泛滥影响用户数据资产和计算资源安全问题。

技术领域

本发明实施例涉及安全管理技术领域，尤其涉及一种动静检测融合的勒索病毒检测系统及方法。

背景技术

勒索病毒是一种攻击者通过敲诈、恐吓或威胁等方式控制计算机用户数据资产或计算资源，使其无法正常使用，并借此向受害用户勒索钱财的恶意软件或程序。在电脑端，勒索病毒是基于Windows平台或者Linux平台的，现在已经有不少关于勒索病毒的防御方法。但是，相比电脑勒索病毒，手机端的勒索病毒逻辑结构和所处平台环境都与电脑端差别巨大，同时手机勒索病毒危害更大，受害人数更多，防御方法同时也极少。

因此，有必要改善上述相关技术方案中存在的一个或者多个问题。

需要注意的是，本部分旨在为权利要求书中陈述的本发明的实施方式提供背景或上下文。此处的描述不因为包括在本部分中就承认是现有技术。

发明内容

本发明实施例的目的在于提供一种动静检测融合的勒索病毒检测系统及方法，进而至少在一定程度上克服由于相关技术的限制和缺陷而导致的一个或者多个问题。

根据本发明实施例的第一方面，提供一种动静检测融合的勒索病毒检测系统，应用于安卓系统的电子设备，包括：

动态检测分析组件，用于实例化Observer组件并实时监控APK文件信息熵值，当所述APK文件信息熵值变大时判断所述APK文件为勒索病毒文件；

静态检测分析组件，包括：

信息提取模块，用于获取APK(AndroidPackage)文件的基本信息，所述基本信息至少包括文件包名和API(Application Programming Interface)版本号；

文件提取模块，用于获取所述APK文件的源码文件和资源文件；

检测分析模块，至少包括签名分析子模块、权限分析子模块、API调用分析子模块和资源文件分析子模块中的一个；所述签名分析子模块用于根据所述APK文件中的开发者签名信息判断所述APK文件是否为勒索病毒文件；所述权限分析子模块用于根据所述APK文件权限判断所述APK文件是否为勒索病毒文件；所述API调用分析子模块用于调用所述源码文件，通过分析所述源码文件判断所述APK文件是否为勒索病毒文件；所述资源文件分析子模块用于调用所述资源文件，通过分析所述资源文件判断所述APK文件是否为勒索病毒文件；

综合分析组件，用于当所述动态检测分析组件、签名分析子模块、权限分析子模块、API调用分析子模块和资源文件分析子模块中至少一个的判断结果为勒索病毒文件时，判定所述电子设备具有勒索病毒。

本发明的一实施例中，所述文件提取模块包括：

反编译单元，用于对所述APK文件进行反编译从而得到源码文件和资源文件；

发送单元，用于将所述源码文件发送至所述API调用分析子模块和将所述资源文件发送至所述资源文件分析子模块。

本发明的一实施例中，所述签名分析子模块包括：

开发者存储单元，用于存储勒索病毒开发者名单；