一种基于异构图学习的安卓恶意软件检测系统和方法技术方案

本发明专利技术提出一种基于异构图学习的安卓恶意软件检测系统及方法，打破传统基于签名机制和静态特征的恶意软件检测方法，其基本思想是：恶意软件内部的函数调用序列和连接结构有别于正常软件的函数调用与连接结构，本发明专利技术将每个待检测安卓软件的内部函数调用关系构建成一个异构图，然后通过引入不同的元路径来探究不同函数调用之间的高阶语义关系，利用标准的多核学习算法来衡量不同元路径对于恶意软件检测的重要性，并将学习到的加权函数调用交互矩阵输入到支持向量机来训练一个自动化模型实现检测。本发明专利技术可以有效探究恶意软件内部的函数调用关系，通过学习恶意软件的函数调用模式来极大地提高恶意软件检测的准确率，可以满足高效实时的检测需求。满足高效实时的检测需求。满足高效实时的检测需求。

【技术实现步骤摘要】
一种基于异构图学习的安卓恶意软件检测系统和方法


[0001]本专利技术涉及网络安全领域，尤其涉及一种基于异构图学习的安卓恶意软件检测系统和方法。

技术介绍

[0002]恶意软件是旨在损害计算机，服务器或计算机网络的软件。恶意软件在植入或以某种方式侵入目标计算机后会对其造成不同程度的破坏。恶意软件是未明确提示用户或未经用户许可的情况下，在计算机上安装运行，表现为强制安装、浏览器劫持、数据窃取、恶意搜集用户敏感信息、恶意捆绑软件等恶意行为。近年来，随着移动通信及智能终端的快速发展，以安卓终端为攻击目标的恶意软件层出不穷，安卓恶意软件甚至广泛分布于一些知名的应用市场。它对安卓手机用户造成严重影响，表现在恶意扣费、窃取隐私信息、消耗网络流量等，严重侵犯用户合法权益，甚至对社会和国家造成重大经济和安全损失，因此高效地检测恶意软件对于保护网络安全、人民财产及国家稳定具有重要意义。
[0003]为了降低恶意软件对网络环境及用户影响，众多的恶意软件检测方法及专利已经被提出。
[0004]申请号为CN201610996935.9的专利技术专利公开本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种基于异构图学习的安卓恶意软件检测系统，其特征在于，包括：安卓软件解压及反编译单元、特征提取单元、异构图构建单元、多核学习单元及恶意软件检测单元。2.根据权利要求1所述的基于异构图学习的安卓恶意软件检测系统，其特征在于，所述安卓软件解码及反编译单元，利用当前公开、常见的解码及反编译技术对待检测的安卓软件进行解码和反编译。具体地，首先将待检测软件解码为APKs文件，然后将解码后的所述APKs文件利用反编译工具反编译为Smali代码，所述反编译后的Smali代码包含该安卓软件内部的函数调用关系及函数连接结构关系。3.根据权利要求1所述的基于异构图学习的安卓恶意软件检测系统，其特征在于，所述特征提取单元提取待检测软件的内部函数调用关系，根据权利要求2中所述的反编译后的Smali代码，对其代码内部的函数进行整型编码，每个函数对应一个唯一的函数编码，然后利用数组存储每个代码块的函数调用序列。基于所述的函数调用序列，进一步依据函数是否属于相同的Smali代码块、是否在相同的包名下以及是否使用了相同的函数唤醒方法来深入分析它们的调用关系以及连接结构，所述的函数调用关系和连接结构可用于进一步地构建函数调用异构图。4.根据权利要求1所述的基于异构图学习的安卓恶意软件检测系统，其特征在于，所述异构图构建单元构建函数调用异构图，根据权利要求3中所述的函数调用及连接关系，构建不同函数之间的全局交互邻接矩阵，当两个函数发生调用关系时它们的对应矩阵元素为1，否则为0。然后依据是否属于相同的Smali代码块、是否在相同的包名下以及是否使用了相同的函数唤醒方式来引入不同的元路径，然后基于构建的函数之间的全局邻接矩阵利用元路径信息构建不同路径下的局部函数调用邻接矩阵，所述的基于不同元路径的局部函数调用邻接矩阵是全局函数调用矩阵的子矩阵，所述基于元路径的局部函数调用邻接矩阵是多核学习单元的输入。5.根据权利要求1所述的基于异构图学习的安卓恶意软件检测系统，其特征在于，所述多核学习单元用于自动化学习不同元路径对于检测恶意软件的重要程度。依据权利要求4中所述的元路径及对应生成的函数调用邻接矩阵，多核学习单元负责学习不同元路径对于检测恶意软件的重...

【专利技术属性】
技术研发人员：张长河，耿童童，
申请(专利权)人：北京卫达信息技术有限公司，
类型：发明
国别省市：