[发明专利]一种基于卷积神经网络的Android勒索软件检测方法

权利要求书

1.一种基于卷积神经网络的Android勒索软件检测方法，其特征在于，包括以下步骤：

步骤1：安卓应用软件特征提取，对不平衡数据集中的Android非勒索软件和勒索软件的原始安装文件进行特征提取，具体包括行为特征以及结构特征；

所述行为特征为从XML文件中提取权限和API函数，具体包括以下步骤：

步骤S1：反编译：使用apk反编译工具对应用程序进行分解，并获得应用程序的配置文件；

步骤S2：解析程序包中Manifest.xml配置文件以提取应用程序请求的权限；通过扫描对应用程序的分解获得的SMALI装配文件代码以提取应用程序调用的系统API函数；

步骤S3：生成特征向量：基于步骤S2中提取的应用程序权限和API函数，生成二进制特征向量，即行为特征；

所述结构特征为从DEX文件中提取软件应用程序的全部操作指令以及运行数据，具体包括以下步骤：

步骤D1：反编译：使用apk反编译工具对应用程序进行分解，并获得应用程序的DEX文件；

步骤D2：通过反向工程获取的DEX文件中的编码格式，直接用作解析文件；

步骤D3：生成特征向量：解析所获得编码格式，生成十六进制特征向量，即结构特征；

步骤2：建立特征向量图片，具体包括两种映射关系图以及一种DEX特征图；

步骤2中所述映射关系图，根据步骤S3获得的行为特征，在每个Android软件样本中，如果权限或API的调用被解析为映射关系，则标注该位置为对应关系，根据标注的映射关系，获得映射关系的二进制特征向量，将二进制特征向量转换为十进制值矩阵，并将转化后的十进制值矩阵生成映射关系图，分别是权限-API映射关系图和API-权限映射关系图，这两种图片作为行为特征提取的结果；

所述DEX特征图，读取步骤D3中解析应用程序后所获取的十六进制特征向量，将特征向量转换为十进制值，并将十进制矩阵生成DEX特征图，即得到一种特征向量图片，为DEX特征图，作为结构特征提取的结果；

步骤3：读取映射关系图以及特征向量图片，生成numpy数组,用作卷积神经网络CNN的输入；所述numpy数组是提取特征的最终形式，其表示Android软件安装包APK文件所代表的特征信息；

步骤4：训练卷积神经网络CNN；根据神经网络的误测精度反向传播进行权重和参数的调整，直至CNN满足条件或训练周期结束，得到训练好的卷积神经网络模型；

步骤4中所述卷积神经网络CNN包括卷积层、池化层、Flatten层、Dropout层，全连接层；卷积神经网络CNN采用焦损函数，通过降低多数样本的损失来降低对整体损失的贡献，焦损函数用于估计模型输出与实际值之间的间隙，以实现预测标签生成的错误的反向化和样本的实际标签，以指导网络参数学习和表示学习，并指导模型优化的方向，交叉熵测量同一随机变量中的两个不同概率分布之间的差异程度，联结的值越小，模型预测效果越好；

首先构建序贯模型Sequential，将numpy数组放入卷积层中，使用卷积核进行模型训练，得到训练后的numpy数组；使用池化层降低信息冗余，得到更新后的numpy数组，将更新后的numpy数组输入至Flatten层，得到一维数组；

使用自定义的全连接权重矩阵进行训练，将输出维度设定为一维数组，得到的新的矩阵，并输入至Dropout层，防止矩阵训练过程中过拟合现象的发生；

使用自定义的全连接权重矩阵继续进行训练，将输出维度仍保持为不变，得到的新的矩阵，输出的一维数组并再次输入至Dropout层，再次防止矩阵训练过程中过拟合现象的发生；

将全连接矩阵变成1*1的矩阵获得最终结果，即预测应用的概率，设置概率N(1N0)作为判断待检测应用程序是勒索软件或非勒索软件的判定界限；

步骤5：安卓勒索软件与非勒索软件检测识别；对待检测Android勒索应用程序，获取其特征向量图片；将特征向量图片的numpy数组格式输入训练好的卷积神经网络CNN中，并输出是否属于勒索软件的分类结果。