一种静动态结合的恶意安卓应用自动检测系统技术方案

本发明专利技术公开了一种静动态结合的恶意安卓应用自动检测系统，它包含一个恶意行为模型配置模块，一个静态恶意特征检测模块和一个动态恶意行为确认模块。恶意行为模型配置模块供用户指定待检测的恶意行为类型；静态恶意特征检测模块针对特定恶意类型，静态分析安卓应用的反编译文件，检测其中是否存在对应敏感API的调用，以此确定待测安卓应用是否为疑似恶意应用；动态恶意行为确认模块基于底层测试工具自动执行疑似恶意应用，并且利用监测工具收集行为信息确认应用运行过程中是否存在恶意行为。所述自动检测系统灵活性大，根据用户配置可以检测不同类型恶意应用，此外所述自动检测系统采取静动态结合的方式在提高准确率的同时提高了检测效率。

【技术实现步骤摘要】
一种静动态结合的恶意安卓应用自动检测系统
专利技术专利涉及软件安全，安卓应用，静态分析，自动化动态测试等领域，尤其涉及针对安卓应用的静态敏感API分析以及动态自动执行收集行为信息。
技术介绍
安卓应用已经成为人们日常生活不可缺少的部分，与此同时，恶意制造者利用安卓应用来达到他们的目的，在安卓应用中插入恶意代码形成恶意安卓应用，当前常见的恶意行为有恶意扣费、隐私窃取、资费消耗等。针对恶意安卓应用的检测，传统工作一般采取静态分析反编译代码，从敏感API调用、控制流程图、系统调用等角度检测安卓应用中是否包含恶意行为，但这种方式准确率比较低，因为现在的恶意制造者会采取比较狡猾的方式(反射调用等)加入恶意代码来逃避常规的静态检测，所以会漏报大量的恶意安卓应用。为了避免恶意应用躲避静态检测，技术人员提出动态执行安卓应用收集运行时刻信息来确认其中是否包含恶意行为，这种方式能大大提高准确率，但是这种方式代价比较高，动态测试相对而言需要大量的时间，尤其是大型应用。为此，当前急需准确而又高效的方法来自动检测恶意安卓应用。
技术实现思路
针对现有技术中存在的问题，本专利技术主要是提供一种针对恶意安卓应用的自动本文档来自技高网...

【技术保护点】
一种静动态结合的恶意安卓应用自动检测系统，其特征在于：它包含一个恶意行为模型配置模块，一个静态恶意特征检测模块以及一个动态恶意行为确认模块；其中：所述恶意安卓应用是指可在安卓平台上安装、运行以达到不正当目的，或具有违反国家相关法律法规行为的移动应用；所述静动态结合是指静态代码分析和动态应用测试两种方法相结合；所述恶意行为模型配置模块是指待检测的恶意行为类型输入；所述静态恶意特征检测模块是对安卓应用反编译代码进行分析，检测是否存在对应敏感API的反射调用；所述动态恶意行为确认模块是指在动态测试工具支持下，利用测试脚本自动执行安卓应用，收集行为信息，确认过程中是否存在相关恶意行为。

【技术特征摘要】
1.一种静动态结合的恶意安卓应用自动检测系统，其特征在于：它包含一个恶意行为模型配置模块，一个静态恶意特征检测模块以及一个动态恶意行为确认模块；其中：所述恶意安卓应用是指可在安卓平台上安装、运行以达到不正当目的，或具有违反国家相关法律法规行为的移动应用；所述静动态结合是指静态代码分析和动态应用测试两种方法相结合；所述恶意行为模型配置模块是指待检测的恶意行为类型输入；所述静态恶意特征检测模块是对安卓应用反编译代码进行分析，检测是否存在对应敏感API的反射调用；所述动态恶意行为确认模块是指在动态测试工具支持下，利用测试脚本自动执行安卓应用，收集行为信息，确认过程中是否存在相关恶意行为。2.根据权利要求1所述的静动态结合的恶意安卓应用自动检测系统，其特征在于：所述自动检测系统提供恶意行为模型配置文件，用户根据需要检测的恶意应用类型，完成配置(指定对应恶意类型的敏感API)；所述自动检测系统根据不同的配置检测不同类型的恶意安卓应用，不局限于某一种固定类型的恶意安卓应用，有较强的灵活性。3.根据权利要求1所述的静动态结合的恶意安卓应用自动检测系统，其特征在于：所述自动检测系统首先通过静态恶意特征检测模块筛选出疑似恶意安卓应用，然后利用动态恶意行为确认模块，确认其运行过程中是否确认发生恶意行为。4.根据权利要求1所述的静动态结合的恶意安卓应用自动检测系统，其特征在于：所述安卓应用的字节码由反编译安卓应用得到，其中包含多个类文件；所述安卓应用的反射调用是指动态获取信息以及动态调用对象的方法；所述安卓应用的反射调用检测是指分析安卓应用的字节码，判定应用中是否利用了反射机制调用相关敏感API；所述静态恶意特征检测模块是指对安卓应用进行字节码分析，检测其中是否调用了相关敏感API，其中需要利用反射调用检测。5.根据权利要求1至4之一所述的静动态结合的恶意安卓应用自动检测系统，其特征在于：所述静态恶意特征检测模块中加入了对于反射...

【专利技术属性】
技术研发人员：王林章，黄浩华，李宣东，
申请(专利权)人：南京大学，
类型：发明
国别省市：江苏,32