用于检测与移动装置的虚假用户交互以用于改进的恶意软件防护的方法和系统制造方法及图纸

一种计算装置处理器可以处理器可执行指令配置以实施检测和响应于虚假用户交互UI事件的方法。所述处理器可通过与由高层级操作系统产生或接收的用户交互事件信息结合而分析由一或多个硬件驱动器产生的原始数据来确定用户交互事件是否为虚假用户交互事件。另外，所述处理器可以处理器可执行指令配置以实施使用行为分析和机器学习技术以基于所检测用户交互事件是真实还是虚假用户交互事件而识别、防止、校正或以其它方式响应于计算装置的恶意或性能降级的行为的方法。

Method and system for detecting false user interaction with mobile devices for improved malware protection

A computing device that allows a processor to execute instruction configuration to implement methods for detecting and responding to false user interaction UI events. The processor with high level by the operating system or user interface events received information and analysis of the original data generated by one or more hardware driver to determine whether the event is a false user interactive user interface events. In addition, the processor can be configured to implement processor executable instructions using behavior analysis and machine learning techniques based on the detection of user interaction events is true or false user interface events and the identification, prevention, correction or otherwise in response to a computing device or performance downgrade malicious behavior.

【技术实现步骤摘要】
【国外来华专利技术】用于检测与移动装置的虚假用户交互以用于改进的恶意软件防护的方法和系统
技术介绍
近几年来，蜂窝技术和无线通信技术迅猛发展。无线服务供应商现在提供大量特征和服务，所述特征和服务向其用户提供对信息、资源及通信的前所未有的水平的存取。为了与这些增强保持同步，个人和消费型电子装置(例如，蜂窝式电话、手表、头戴受话器、远程控件等)变得前所未有的强大和复杂，且现在所述电子装置通常包括强力的处理器、大型存储器和允许在它们的装置上执行复杂和强力的软件应用程序的其它资源。由于这些和其它改进，个人和消费型电子装置在现代生活中变得普遍存在，且具有对由其用户产生或涉及其用户的信息的前所未有的存取水平。另外，人们频繁地使用其装置来存储敏感信息(例如，信用卡信息、联系人等)和/或实现安全性重要的任务。举例来说，移动装置用户频繁地使用他们的装置来购买货物、发送和接收敏感通信、支付账单、管理银行账户并且进行其它涉密交易。由于这些趋势，个人和消费型电子装置快速地变成恶意软件和网络攻击的下一前线。因而，更好的保护资源受限制的计算装置(例如，移动和无线装置)的新的且改进的安全解决方案将有利于消费者。
技术实现思路
各种实施例包含一种分析在计算装置上操作的软件应用程序的活动的方法，其包含：将从所述计算装置的用户输入装置接收的原始数据与在所述计算装置中接收的用户交互事件信息进行比较以产生分析结果；以及使用所述产生的分析结果以确定用户交互(UI)事件是否与所述计算装置的用户相关。在另一实施例中，从所述用户输入装置接收的所述原始数据可包含从装置驱动器接收的原始数据，且在所述计算装置中接收的所述用户交互事件信息可包含从所述计算装置的高层级操作系统接收的交互信息。在另一实施例中，所述方法可包含响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述软件应用程序的所述活动分类为非良性的。在另一实施例中，所述方法可包含：产生表征所述软件应用程序的所述活动的行为向量；响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述产生的行为向量应用于可包含决策节点的分类器模型，所述决策节点评估是否存在对应于所述活动的用户交互事件；以及使用将所述产生的行为向量应用于所述分类器模型的结果以确定所述软件应用程序的所述活动是否为非良性的。在另一实施例中，所述方法可包含：产生表征所述软件应用程序的所述活动的行为向量；响应于确定所述用户交互事件不与所述计算装置的用户相关而选择不包含决策节点的分类器模型，所述决策节点测试是否存在对应于所述活动的用户交互事件；将所述产生的行为向量应用于所述选定分类器模型以产生额外分析结果；以及使用所述产生的额外分析结果以确定所述软件应用程序的所述活动是否为非良性的。在另一实施例中，所述方法可包含：响应于确定所述用户交互事件不与所述计算装置的用户相关而选择一系列稳健分类器模型；以及将多个行为向量应用于所述选定系列的稳健分类器模型以确定所述软件应用程序的所述活动是否为非良性的。在另一实施例中，所述方法可包含：将从所述计算装置的第一传感器接收的原始数据与从所述计算装置的第二传感器接收的原始数据进行比较以确定从所述第一传感器接收的所述原始数据是否与从所述第二传感器接收的所述原始数据一致，其中将从所述计算装置的所述用户输入装置接收的原始数据与在所述计算装置中接收的所述用户交互事件信息进行比较以产生所述分析结果是响应于确定从所述第一传感器接收的所述原始数据与从所述第二传感器接收的所述原始数据一致而执行的。在另一实施例中，将从所述第一传感器接收的原始数据与从所述第二传感器接收的所述原始数据进行比较可包含比较将行为向量应用于分类器模型的结果。在另一实施例中，从所述用户输入装置接收的所述原始数据可包含从用户输入传感器接收的原始数据；在所述计算装置中接收的所述用户交互事件信息可包含从用于所述用户输入传感器的装置驱动器接收的数据；且使用所述产生的分析结果以确定所述用户交互事件是否与所述计算装置的用户相关可包含响应于从所述用户输入传感器接收的所述原始数据不相关于从用于所述用户输入传感器的所述装置驱动器接收的所述数据而确定所述用户交互事件不与所述计算装置的用户相关。在另一实施例中，所述用户输入传感器可包含触摸屏，且所述装置驱动器可包含触摸屏装置驱动器。在另一实施例中，所述方法可包含响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述软件应用程序的所述活动分类为非良性的。在另一实施例中，所述方法可包含：产生表征所述软件应用程序的所述活动的行为向量；响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述产生的行为向量应用于不包含决策节点的分类器模型，所述决策节点评估涉及与所述计算装置的用户交互的条件；以及使用将所述产生的行为向量应用于所述分类器模型的结果以确定所述软件应用程序的所述活动是否为非良性的。另外的实施例可包含计算装置，其具有处理器，所述处理器以处理器可执行指令配置以执行对应于上文所论述的方法的各种操作。另外的实施例可包含具有用于执行对应于上文所论述的方法操作的功能的各种装置的计算装置。其它实施例可包含非暂时性处理器可读存储媒体，所述非暂时性处理器可读存储媒体在其上存储有处理器可执行指令，所述处理器可执行指令经配置以致使处理器执行对应于上文所论述的方法操作的各种操作。附图说明并入本文中并且构成本说明书一部分的随附图式展示本专利技术的示范性实施例，并且与上文给出的一般描述和下文给出的详细描述一起用来解释本专利技术的特征。图1是适合于实施各种实施例的实例芯片上系统的架构图式。图2是说明根据各种实施例在一实施例计算装置中的实例逻辑组件和信息流的框图，所述计算装置包含经配置以识别且响应于虚假用户交互(UI)事件的虚假UI事件检测模块。图3是说明在一实施例计算装置中的实例逻辑组件和信息流的框图，所述计算装置经配置以确定特定移动装置行为是否为良性或非良性的。图4A和4B是说明根据各种实施例检测且响应于虚假UI事件的方法的过程流程图。图4C是说明根据一实施例检测且响应于泄密的用户输入传感器装置驱动器的方法的过程流程图。图5是说明根据一实施例使用一系列分类器模型对装置行为进行分类的方法的过程流程图。图6是可产生且用以产生分类器模型的实例决策节点的图示。图7是说明根据一实施例执行自适应观测的方法的过程流程图。图8是适合于在一实施例中使用的移动装置的组件框图。具体实施方式将参看随附图式详细描述各种实施例。只要可能，便将在图式中使用相同参考标号来指代相同或相似部分。对特定实例和实施方案进行的参考是用于说明性目的，且不希望限制本专利技术或权利要求书的范围。概括来说，各种实施例包含使用基于行为且机器学习的技术来检测且响应于虚假用户交互(UI)事件的方法以及经配置以实施所述方法的计算装置。在实施例中，计算装置可经配置以实施与由高层级操作系统产生或接收的UI信息结合而分析由一或多个硬件驱动器或用户输入装置产生的原始数据的方法，且使用此分析的结果来确定UI事件是否与计算装置的用户相关和/或将所检测UI事件分类为真实UI事件或虚假UI事件。所述计算装置还可包含综合的基于行为的安全系统，其经配置以基于UI事件是否为真实或虚假UI事件而识别且响应于非良性装置行为(例如，由恶意或使性能降级的软本文档来自技高网...

【技术保护点】
一种分析在计算装置上操作的软件应用程序的活动的方法，其包括：将从所述计算装置的用户输入装置接收的原始数据与在所述计算装置中接收的用户交互事件信息进行比较以产生分析结果；以及使用所述分析结果以确定用户交互事件是否与所述计算装置的用户相关。

【技术特征摘要】
【国外来华专利技术】2015.02.06 US 14/616,0461.一种分析在计算装置上操作的软件应用程序的活动的方法，其包括：将从所述计算装置的用户输入装置接收的原始数据与在所述计算装置中接收的用户交互事件信息进行比较以产生分析结果；以及使用所述分析结果以确定用户交互事件是否与所述计算装置的用户相关。2.根据权利要求1所述的方法，其中：从所述用户输入装置接收的所述原始数据包括从装置驱动器接收的原始数据；且在所述计算装置中接收的所述用户交互事件信息包括从所述计算装置的高层级操作系统接收的交互信息。3.根据权利要求2所述的方法，其进一步包括响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述软件应用程序的所述活动分类为非良性的。4.根据权利要求2所述的方法，其进一步包括：产生表征所述软件应用程序的所述活动的行为向量；响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述行为向量应用于包含决策节点的分类器模型，所述决策节点评估是否存在对应于所述活动的用户交互事件；以及使用将所述行为向量应用于所述分类器模型的结果以确定所述软件应用程序的所述活动是否为非良性的。5.根据权利要求2所述的方法，其进一步包括：产生表征所述软件应用程序的所述活动的行为向量；响应于确定所述用户交互事件不与所述计算装置的用户相关而选择不包含决策节点的分类器模型，所述决策节点测试是否存在对应于所述活动的用户交互事件；将所述行为向量应用于所述选定分类器模型以产生额外分析结果；以及使用所述额外分析结果以确定所述软件应用程序的所述活动是否为非良性的。6.根据权利要求1所述的方法，其进一步包括：响应于确定所述用户交互事件不与所述计算装置的用户相关而选择一系列稳健分类器模型；以及将多个行为向量应用于所述选定系列的稳健分类器模型以确定所述软件应用程序的所述活动是否为非良性的。7.根据权利要求1所述的方法，其进一步包括将从所述计算装置的第一传感器接收的原始数据与从所述计算装置的第二传感器接收的原始数据进行比较以确定从所述第一传感器接收的所述原始数据是否与从所述第二传感器接收的所述原始数据一致，其中将从所述计算装置的所述用户输入装置接收的所述原始数据与在所述计算装置中接收的所述用户交互事件信息进行比较以产生所述分析结果是响应于确定从所述第一传感器接收的所述原始数据与从所述第二传感器接收的所述原始数据一致而执行的。8.根据权利要求7所述的方法，其中将从所述第一传感器接收的原始数据与从所述第二传感器接收的所述原始数据进行比较包括比较将行为向量应用于分类器模型的结果。9.根据权利要求1所述的方法，其中：从所述用户输入装置接收的所述原始数据包括从用户输入传感器接收的原始数据；在所述计算装置中接收的所述用户交互事件信息包括从用于所述用户输入传感器的装置驱动器接收的数据；且使用所述分析结果以确定所述用户交互事件是否与所述计算装置的用户相关包括响应于从所述用户输入传感器接收的所述原始数据不相关于从用于所述用户输入传感器的所述装置驱动器接收的所述数据而确定所述用户交互事件不与所述计算装置的用户相关。10.根据权利要求9所述的方法，其中：所述用户输入传感器包括触摸屏；且所述装置驱动器包括触摸屏装置驱动器。11.根据权利要求9所述的方法，其进一步包括：响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述软件应用程序的所述活动分类为非良性的。12.根据权利要求9所述的方法，其进一步包括：产生表征所述软件应用程序的所述活动的行为向量；响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述行为向量应用于不包含决策节点的分类器模型，所述决策节点评估涉及与所述计算装置的用户交互的条件；以及使用将所述行为向量应用于所述分类器模型的结果以确定所述软件应用程序的所述活动是否为非良性的。13.一种计算装置，其包括：用于将从用户输入装置接收的原始数据与用户交互事件信息进行比较以产生分析结果的装置；以及用于使用所述分析结果以确定用户交互UI事件是否与所述计算装置的用户相关的装置。14.根据权利要求13所述的计算装置，其中用于将从所述用户输入装置接收的原始数据与所述用户交互事件信息进行比较以产生所述分析结果的装置包括用于将从装置驱动器接收的原始数据与从高层级操作系统接收的交互信息进行比较的装置。15.根据权利要求14所述的计算装置，其进一步包括用于响应于确定所述用户交互事件不与所述计算装置的用户相关而将软件应用程序的活动分类为非良性的装置。16.根据权利要求14所述的计算装置，其进一步包括：用于产生表征软件应用程序的活动的行为向量的装置；用于响应于确定所述用户交互事件不与所述计算装置的用户相关而将所述行为向量应用于包含决策节点的分类器模型的装置，所述决策节点评估是否存在对应于所述活动的用户交互事件；以及用于使用将所述行为向量应用于所述分类器模型的结果以确定所述软件应用程序的所述活动是否为非良性的装置。17.根据权利要求14所述的计算装置，其进一步包括：用于产生表征软件应用程序的活动的行为向量的装置；用于响应...

【专利技术属性】
技术研发人员：陈茵，尹曼奇，维纳伊·斯里达拉，
申请(专利权)人：高通股份有限公司，
类型：发明
国别省市：美国,US