基于敏感API的恶意软件检测方法、系统、设备及介质技术方案

本发明专利技术提供了一种基于敏感API的恶意软件检测方法、系统、设备及介质，其属于软件检测技术领域，包括：对待检测的APK文件进行反编译，并从中提取API调用图、操作码以及包名；对API调用图中的每个节点进行分类，获得内部调用节点和外部调用节点；其中，对于内部调用节点采用操作码进行特征表示，外部调用节点采用API所在的包名进行特征表示；基于预设敏感API数据集，获取满足预设要求的若干敏感API，并基于所述若干敏感API对分类后的API调用图中的节点进行重要性标记，获得增强后的API调用图；将所述增强后的API调用图输入预先训练的基于深度学习的安卓恶意软件检测模型中，获得检测结果。

【技术实现步骤摘要】

本专利技术属于软件检测，尤其涉及一种基于敏感api的恶意软件检测方法、系统、设备及介质。

技术介绍

1、本部分的陈述仅仅是提供了与本专利技术相关的
技术介绍
信息，不必然构成在先技术。

2、在移动应用安全领域，尤其是在android应用安全分析中，对应用程序包（apk）的深度静态分析是一项关键任务。传统方法通常采用简单的反编译手段以获取程序内部结构和api调用关系，但此类方法往往忽视了调用图中的节点的细化特征和重要性问题，以及如何有效利用这些信息来识别潜在的安全威胁；同时，一些研究者倾向于精简调用图以减少分析复杂度，然而这种做法可能导致丢失大量有助于区分正常行为与恶意行为的详细信息，尤其在涉及敏感api调用的情况下，仅依赖于粗略的调用关系网络可能不足以精确识别出恶意活动或潜在的安全漏洞。

技术实现思路

1、为克服上述现有技术的不足，本专利技术提供了一种基于敏感api的恶意软件检测方法、系统、设备及介质，所述方案构建并充分利用了应用程序的api调用图这一关键特征表示，通过深入挖掘各组件间的调用关系和交互本文档来自技高网...

【技术保护点】

1.一种基于敏感API的恶意软件检测方法，其特征在于，包括：

2.如权利要求1所述的一种基于敏感API的恶意软件检测方法，其特征在于，所述基于预设敏感API数据集，获取满足预设要求的若干敏感API，具体为：对于预设敏感API数据集中的每个敏感API，计算其TF-IDF值；基于TF-IDF值进行降序排列，从中选取前预设数量的敏感API。

3.如权利要求2所述的一种基于敏感API的恶意软件检测方法，其特征在于，所述TF-IDF值的计算，具体为：对于预设敏感API数据集中的每个敏感API，在预设APK样本数据集中计算每个敏感API在其对应APK样本中的词频，以及每个敏感...

【技术特征摘要】

1.一种基于敏感api的恶意软件检测方法，其特征在于，包括：

2.如权利要求1所述的一种基于敏感api的恶意软件检测方法，其特征在于，所述基于预设敏感api数据集，获取满足预设要求的若干敏感api，具体为：对于预设敏感api数据集中的每个敏感api，计算其tf-idf值；基于tf-idf值进行降序排列，从中选取前预设数量的敏感api。

3.如权利要求2所述的一种基于敏感api的恶意软件检测方法，其特征在于，所述tf-idf值的计算，具体为：对于预设敏感api数据集中的每个敏感api，在预设apk样本数据集中计算每个敏感api在其对应apk样本中的词频，以及每个敏感api在整个apk样本数据集中的逆文档频率；将所述词频和逆文档频率相乘，获得每个敏感api的tf-idf值。

4.如权利要求1所述的一种基于敏感api的恶意软件检测方法，其特征在于，所述基于所述若干敏感api对分类后的api调用图中的节点进行重要性标记，具体为：将api调用图中的每个节点与获得的预设数量的敏感api进行匹配，若存在匹配的敏感api，则对当前节点进行标记，其中，所述标记具体为：为每个节点添加一个以敏感api数量为长度的向量，若当前节点与某一敏感api匹配，则敏感api在向量中的对应位置标记为1，否则标记为0。

5.如权利要求1所述的一种基于敏感api的恶意软件检测方法，其特...

【专利技术属性】
技术研发人员：徐庆灵，赵大伟，杨淑棉，徐丽娟，李鑫，宋维钊，
申请(专利权)人：山东省计算中心国家超级计算济南中心，
类型：发明
国别省市：