[发明专利]一种基于超分辨特征图像的安卓恶意软件分类方法

权利要求书

1.一种基于超分辨特征图像的安卓恶意软件分类方法，其特征在于，所述安卓恶意软件分类方法包括以下步骤：

S1、收集安卓恶意软件样本集；

S2、对安卓恶意软件样本集的每一个样本，在沙盒环境中加载并运行该样本文件，通过telnet控制台模拟该样本的基本使用场景，收集该样本运行期间的网络流量及其API日志；

S3、对安卓恶意软件样本集的每一个样本，对该样本收集到的网络流量文件与API日志文件进行整理，提取该样本的动态行为特征并计算其特征值，其中，动态行为特征包括内存特征、API特征、电池特征、网络特征、进程特征和日志特征；其后，将所有安卓恶意软件样本的一维特征矩阵按序进行整合，生成安卓恶意软件样本集的完整二维特征矩阵；

S4、对安卓恶意软件样本集的完整二维特征矩阵，使用极限树分类器进行重要性值评估，按照重要性值降序排序，提取重要性值高的特征及其特征值，删除重要性值低的特征及其特征值，生成重要性值高的二维特征矩阵；

S5、对安卓恶意软件样本集的每一个样本，将样本中重要性值高的二维特征矩阵重塑成低分辨率的特征图像；

S6、对安卓恶意软件样本集的每一个样本，将样本中低分辨率的特征图像进行超分辨重建，得到高分辨率的特征图像；

S7、利用CNN技术，使用高分辨率的特征图像对卷积神经网络进行训练，最后，通过经训练的卷积神经网络得到测试安卓恶意软件分类结果，其中，所述卷积神经网络包括依次顺序连接的输入层、第一卷积层、第一池化层、第二卷积层、第二池化层、第三卷积层、第三池化层、扁平化层、密集层、输出层。

2.根据权利要求1所述的一种基于超分辨特征图像的安卓恶意软件分类方法，其特征在于，所述步骤S1过程如下：

从数据软件库中收集已标记的安卓恶意软件样本，其中，所述安卓恶意软件样本的类型包括：广告软件、后门软件、文件监控软件、PUA软件、勒索软件、恐吓软件、风险软件、木马软件、针对金融类攻击的软件、恶意下载行为的软件、间谍软件、窃取与拦截信息的软件。

3.根据权利要求1所述的一种基于超分辨率的特征图像的安卓恶意软件分类方法，其特征在于，所述步骤S2过程如下：

S201、使用沙盒作为安卓恶意软件样本运行的容器，并使沙盒与安卓服务器后台进行对接，通过telnet控制台、ADB服务实现场景模拟操作与数据收集操作；

S202、对于安卓恶意软件样本集的每一个样本，在沙盒内加载并启动，并通过telnet控制台命令模拟该样本的基本使用场景，同时，通过ADB服务收集每一个样本运行期间的网络流量文件与API日志。

4.根据权利要求1所述的一种基于超分辨特征图像的安卓恶意软件分类方法，其特征在于，所述步骤S3过程如下：

S301、对于对安卓恶意软件样本集的每一个样本收集到的对应的网络流量文件与API日志文件，提取该样本的动态行为特征；

S302、根据动态行为特征的数据结构确定计算方法，计算动态行为特征的值；所述动态行为特征的计算方法定义如下：

若某一项动态行为特征的数据结构为数值型，则取数值大小作为该动态行为特征的具体值；

若某一项动态行为特征的数据结构为布尔型，则统计API日志文件中对应函数的总调用次数，将该调用次数的总和作为该动态行为特征的具体值；

S303、根据每一项动态行为特征的值，生成唯一的一维矩阵，定义如下：

x_i＝[f₁,f₂,f₃,…,f_j,...f₁₄₁],j＝1,2,…,141

其中，x_i为安卓恶意样本集中的第i个样本的唯一一维矩阵，f_j为第i个样本的第j个动态行为特征的值；

S304、将每一个安卓恶意软件样本的一维矩阵按序进行整合，生成安卓恶意软件样本集的二维特征矩阵，定义如下：

其中，X为安卓恶意样本集的完整二维特征矩阵。