專利名稱：一種手機(jī)病毒特征的識別方法及裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明屬于移動通信領(lǐng)域，特別涉及一種手機(jī)病毒特征的識別方法及裝置。
背景技術(shù)：
隨著智能手機(jī)的普及，以及手機(jī)處理器的芯片功能越來越強(qiáng)大，手機(jī)逐漸與PDA 進(jìn)行融合，手機(jī)已成為可以進(jìn)行移動通訊的小型計算機(jī)。但是，手機(jī)運(yùn)算能力和存儲容量的提高為病毒的寄存和傳播提供了條件。現(xiàn)有技術(shù)中，主要是通過對病毒樣本進(jìn)行分析來識別手機(jī)病毒。病毒樣本的來源包括FANS用戶舉報、論壇舉報、蜜罐收集和病毒聯(lián)盟樣本交換等。具體分析步驟包括步驟一、靜態(tài)掃描分析文件程序是否有調(diào)用聯(lián)網(wǎng)、發(fā)短信等程序，這是對程序代碼的初步分析測試。步驟二、黑盒測試通過文件安裝后進(jìn)行手機(jī)監(jiān)測，檢查是否有病毒行為，這是對程序文件的黑盒測試。步驟三、DEBUG分析通過手機(jī)與電腦配合，對安裝的程序進(jìn)行逐步調(diào)試，抓取各個步驟與外界的交互信息，進(jìn)行動態(tài)分析。上述技術(shù)方案至少存在如下缺點(1)局限于病毒樣本采集，屬于被動發(fā)現(xiàn)；(2)病毒發(fā)現(xiàn)不及時由于目前手機(jī)病毒從病毒制作者發(fā)布病毒到病毒爆發(fā)之間有較長的潛伏期，樣本采集基本無法在病毒潛伏期完成?，F(xiàn)有技術(shù)中的另外一種識別手機(jī)病毒的方法為在WAP(無線應(yīng)用協(xié)議)網(wǎng)關(guān)或者 GPRS (通用分組無線業(yè)務(wù))網(wǎng)絡(luò)加入數(shù)據(jù)旁路設(shè)備，通過所述數(shù)據(jù)旁路設(shè)備來獲取數(shù)據(jù)流， 然后，基于已知病毒庫對數(shù)據(jù)流進(jìn)行分析，從而識別手機(jī)病毒。這種技術(shù)方案的缺點是只能識別已知病毒，無法發(fā)現(xiàn)未知病毒。

發(fā)明內(nèi)容
有鑒于此，本發(fā)明的目的是提供一種手機(jī)病毒特征的識別方法及裝置，不需要依賴于病毒庫，就能實現(xiàn)對手機(jī)病毒特征的自動和及時的識別。為實現(xiàn)上述目的，本發(fā)明提供一種手機(jī)病毒特征的識別方法，包括獲取異常訪問行為記錄表，所述異常訪問行為記錄表中包括用戶代理UA和域名， 所述UA包括終端型號和軟件平臺；根據(jù)域名對所述異常訪問行為記錄表的記錄進(jìn)行歸類，生成多個異常訪問行為記錄子表；對于每個異常訪問行為記錄子表，判斷其中的軟件平臺是否唯一，得到一判斷結(jié)果；
當(dāng)所述判斷結(jié)果為是時，則確定手機(jī)病毒導(dǎo)致了對相應(yīng)域名的訪問，并將該域名及對應(yīng)的軟件平臺記錄為手機(jī)病毒特征。上述的識別方法，其中，還包括對于每個異常訪問行為記錄子表，分別統(tǒng)計每種終端型號對應(yīng)的記錄條數(shù)，并按照記錄條數(shù)從高到低的順序選取預(yù)定數(shù)目個終端型號；此時，所述判斷其中的軟件平臺是否唯一為判斷所述預(yù)定數(shù)目個終端型號對應(yīng)的軟件平臺是否唯一。上述的識別方法，其中，所述獲取異常訪問行為記錄表，具體包括采集WAP網(wǎng)關(guān)的HTTP數(shù)據(jù)包；根據(jù)關(guān)鍵字列表從所述HTTP數(shù)據(jù)包中匹配出用戶的異常訪問行為，根據(jù)所述異常訪問行為生成所述異常訪問行為記錄表，所述關(guān)鍵字列表中包括用戶敏感信息和域名黑名單中的域名；根據(jù)所述異常訪問行為記錄表對所述域名黑名單進(jìn)行更新。上述的識別方法，其中，還包括當(dāng)所述判斷結(jié)果為否時，將相應(yīng)的域名加入到域名白名單中；此時，對于匹配出的異常訪問行為，如果其對應(yīng)的域名存在于所述域名白名單中， 則不將該異常訪問行為添加到所述異常訪問行為記錄表中。上述的識別方法，其中，所述根據(jù)關(guān)鍵字列表從所述HTTP數(shù)據(jù)包中匹配出用戶的異常訪問行為，具體包括從所述HTTP數(shù)據(jù)包中獲取URL數(shù)據(jù)，判斷所述URL數(shù)據(jù)中是否包括所述關(guān)鍵字列表中的至少一個關(guān)鍵字，若是，確定相應(yīng)的訪問行為為異常訪問行為。上述的識別方法，其中，所述根據(jù)關(guān)鍵字列表從所述HTTP數(shù)據(jù)包中匹配出用戶的異常訪問行為，具體包括判斷所述HTTP數(shù)據(jù)包中是否包括所述關(guān)鍵字列表中的至少一個關(guān)鍵字，若是，確定相應(yīng)的訪問行為為異常訪問行為。上述的識別方法，其中，所述根據(jù)所述異常訪問行為記錄表對所述域名黑名單進(jìn)行更新，具體包括對所述異常訪問行為記錄表中的域名進(jìn)行匯總，得到匯總表；將所述匯總表中的域名與所述域名黑名單中的域名進(jìn)行比對，將存在于所述匯總表中、但不存在于所述域名黑名單中的域名添加到所述域名黑名單中。上述的識別方法，其中，所述用戶敏感信息包括IMSI和/或IMEI。為實現(xiàn)上述目的，本發(fā)明還提供一種手機(jī)病毒的識別裝置，包括記錄表生成模塊，用于獲取異常訪問行為記錄表，所述異常訪問行為記錄表中包括用戶代理UA和域名，所述UA包括終端型號和軟件平臺；記錄子表生成模塊，用于根據(jù)域名對所述異常訪問行為記錄表的記錄進(jìn)行歸類， 生成多個異常訪問行為記錄子表；判斷模塊，用于對于每個異常訪問行為記錄子表，判斷其中的軟件平臺是否唯一， 得到一判斷結(jié)果；病毒特征識別模塊，用于當(dāng)所述判斷結(jié)果為是時，則確定手機(jī)病毒導(dǎo)致了對相應(yīng)域名的訪問，并將該域名及對應(yīng)的軟件平臺記錄為手機(jī)病毒特征。
5
上述的識別裝置，其中，還包括統(tǒng)計模塊，用于對于每個異常訪問行為記錄子表， 分別統(tǒng)計每種終端型號對應(yīng)的記錄條數(shù)，并按照記錄條數(shù)從高到低的順序選取預(yù)定數(shù)目個終端型號；此時，所述判斷模塊判斷其中的軟件平臺是否唯一為判斷所述預(yù)定數(shù)目個終端型號對應(yīng)的軟件平臺是否唯一。上述的識別裝置，其中，所述記錄表生成模塊具體包括數(shù)據(jù)采集模塊，用于采集WAP網(wǎng)關(guān)的HTTP數(shù)據(jù)包；匹配模塊，用于根據(jù)關(guān)鍵字列表從所述HTTP數(shù)據(jù)包中匹配出用戶的異常訪問行為，根據(jù)所述異常訪問行為生成所述異常訪問行為記錄表，所述關(guān)鍵字列表中包括用戶敏感信息和域名黑名單中的域名；黑名單更新模塊，用于根據(jù)所述異常訪問行為記錄表對所述域名黑名單進(jìn)行更新。上述的識別裝置，其中，所述病毒特征識別模塊還用于當(dāng)所述判斷結(jié)果為否時， 將相應(yīng)的域名加入到域名白名單中；此時，所述匹配模塊對于匹配出的異常訪問行為，如果其對應(yīng)的域名存在于所述域名白名單中，則不將該異常訪問行為添加到所述異常訪問行為記錄表中。上述的識別裝置，其中，所述匹配模塊進(jìn)一步用于從所述HTTP數(shù)據(jù)包中獲取URL數(shù)據(jù)，判斷所述URL數(shù)據(jù)中是否包括所述關(guān)鍵字列表中的至少一個關(guān)鍵字，若是，確定相應(yīng)的訪問行為為異常訪問行為。上述的識別裝置，其中，所述匹配模塊進(jìn)一步用于判斷所述HTTP數(shù)據(jù)包中是否包括所述關(guān)鍵字列表中的至少一個關(guān)鍵字，若是，確定相應(yīng)的訪問行為為異常訪問行為。上述的識別裝置，其中，所述黑名單更新模塊進(jìn)一步用于對所述異常訪問行為記錄表中的域名進(jìn)行匯總，得到匯總表；將所述匯總表中的域名與所述域名黑名單中的域名進(jìn)行比對，將存在于所述匯總表中、但不存在于所述域名黑名單中的域名添加到所述域名黑名單中。上述的識別裝置，其中，所述用戶敏感信息包括IMSI和IMEI。與現(xiàn)有技術(shù)相比，本發(fā)明的有益效果是本發(fā)明基于用戶的異常訪問行為，識別出訪問同一域名的多種終端型號對應(yīng)的軟件平臺，若采用相同的軟件平臺，則確定手機(jī)病毒(包括后門和流氓軟件)導(dǎo)致了對該域名的訪問，并將該域名及對應(yīng)的軟件平臺記錄為手機(jī)病毒特征，如此，實現(xiàn)了手機(jī)病毒特征的自動識別，并且，該方案不需要依賴于病毒庫，對手機(jī)病毒特征的識別效率也較高。


圖1為本發(fā)明實施例的手機(jī)病毒特征的識別方法流程圖；圖2為發(fā)明實施例中獲取異常訪問行為記錄表的一種實現(xiàn)方式流程圖；圖3為本發(fā)明實施例的手機(jī)病毒特征的識別裝置結(jié)構(gòu)圖；圖4為圖3中的記錄表生成模塊的詳細(xì)結(jié)構(gòu)圖。
具體實施例方式為使本發(fā)明的目的、技術(shù)方案和優(yōu)點更加清楚，下面將結(jié)合附圖及具體實施例對本發(fā)明進(jìn)行詳細(xì)描述。參照圖1，本發(fā)明實施例的手機(jī)病毒特征的識別方法，包括如下步驟步驟101 獲取異常訪問行為記錄表；所述異常訪問行為記錄表中記錄有用戶的異常訪問行為，每條異常訪問行為記錄包括用戶的手機(jī)號碼、上網(wǎng)時實用的UA(用戶代理)、訪問時間和訪問的域名，其中，所述 UA包括終端型號和軟件平臺。軟件平臺一般是指手機(jī)所使用的操作系統(tǒng)，例如，MTK、塞班、Andriod等，同一軟件平臺，還可以對應(yīng)不同的軟件版本。手機(jī)訪問網(wǎng)絡(luò)時，在訪問請求數(shù)據(jù)包的UA中會攜帶該軟件平臺信息。所述異常訪問行為記錄表可以通過外部輸入得到。所述異常訪問行為記錄表也可以通過采集WAP網(wǎng)關(guān)的HTTP數(shù)據(jù)包，然后根據(jù)關(guān)鍵字列表對所述HTTP數(shù)據(jù)包進(jìn)行匹配得到，具體方法請參見后文。步驟102 根據(jù)域名對所述異常訪問行為記錄表的記錄進(jìn)行歸類，生成多個異常訪問行為記錄子表；由于異常訪問行為記錄表中包括域名項目，那么，就可以將異常訪問行為記錄表中具有相同域名的記錄歸為一類，對于每個域名，都生成對應(yīng)該域名的異常訪問行為記錄子表。即，對于每個異常訪問行為記錄子表，該子表中的每條記錄都包括有相同的域名。在本步驟中，還可以對異常訪問行為記錄表中的域名進(jìn)行預(yù)處理，并根據(jù)預(yù)處理后的域名對所述異常訪問行為記錄表中的記錄進(jìn)行歸類，生成相應(yīng)的異常訪問行為記錄子表。具體如下(1)對于IP地址形式的域名，將記錄表中的域名替換為該域名所屬網(wǎng)段的域名。(2)對包含字母的域名，將相似的域名歸為一個域名，例如Caijing.3g.Cn與 caipiao. 3g. cn為相似域名，將記錄表中的這些域名都替換為3g. cn,又例如lyricS. m-tunes. com. cn>mservice. m-tunes. com. cn、update2. m-tunes. com. c 為相似域名，將記錄表中的這些域名都替換為m-tunes. com. cn。在進(jìn)行上述替換后，就以替換后的域名對異常訪問行為記錄表中的記錄進(jìn)行歸類。步驟103 對于每個異常訪問行為記錄子表，判斷其中的軟件平臺是否唯一，得到一判斷結(jié)果；步驟104 當(dāng)所述判斷結(jié)果為是時，則確定手機(jī)病毒導(dǎo)致了對相應(yīng)域名的訪問，并將該域名及對應(yīng)的軟件平臺記錄為手機(jī)病毒特征；在將域名及對應(yīng)的軟件平臺記錄為手機(jī)病毒特征后，通過少量的人工判斷就可以核實其是否為手機(jī)病毒。步驟105 當(dāng)所述判斷結(jié)果為否時，將相應(yīng)的域名加入到域名白名單中。由于異常訪問行為記錄子表中包括UA項目，而所述UA中包括終端型號和軟件平臺，那么，就可以獲取到該子表的每條記錄對應(yīng)的軟件平臺，如果每條記錄對應(yīng)的軟件平臺都相同，則可以確定多種終端型號采用的都是相同的軟件平臺，而對于同一種手機(jī)病毒來說，其一般不會跨軟件平臺存在，因此，在確定多種終端型號采用的都是相同的軟件平臺時，則可以確定是由于手機(jī)病毒導(dǎo)致了對相應(yīng)域名(該異常訪問行為記錄子表對應(yīng)的域名)的訪問，即，該子表中的異常訪問行為為病毒行為。同理，在確定多種終端型號采用的不是同一個軟件平臺時，則可以認(rèn)為該子表中的異常訪問行為不是病毒行為，此時，相應(yīng)的域名是可信的域名，可以將其加入到域名白名單中。為提高手機(jī)病毒特征的識別準(zhǔn)確率，上述步驟103中還可以包括對于每個異常訪問行為記錄子表，分別統(tǒng)計每種終端型號對應(yīng)的記錄條數(shù)，并按照記錄條數(shù)從高到低的順序選取預(yù)定數(shù)目個終端型號；此時，所述判斷其中的軟件平臺是否唯一為判斷所述預(yù)定數(shù)目個終端型號對應(yīng)的軟件平臺是否唯一。舉例如下對于某一異常訪問行為記錄子表，從中選取包含的記錄條數(shù)最高的20種終端型號，再根據(jù)以下的方法確定該子表中的異常訪問行為是否為病毒行為(1)如果這20種終端型號為跨軟件平臺，如MTK、塞班、Andriod等，基于手機(jī)操作系統(tǒng)相對封閉這一特殊性，手機(jī)病毒極少能夠跨軟件平臺存在，這種情況下，可以認(rèn)為該子表中的異常訪問行為不是病毒行為，于是，將該域名加入到域名白名單中；(2)如果這20種終端型號集中在某一軟件平臺，如下表舉例所示，則可以認(rèn)為該子表中的異常訪問行為是病毒行為，并以該域名來標(biāo)識手機(jī)病毒。
權(quán)利要求
1.一種手機(jī)病毒特征的識別方法，其特征在于，包括獲取異常訪問行為記錄表，所述異常訪問行為記錄表中包括用戶代理UA和域名，所述 UA包括終端型號和軟件平臺；根據(jù)域名對所述異常訪問行為記錄表的記錄進(jìn)行歸類，生成多個異常訪問行為記錄子表；對于每個異常訪問行為記錄子表，判斷其中的軟件平臺是否唯一，得到一判斷結(jié)果； 當(dāng)所述判斷結(jié)果為是時，則確定手機(jī)病毒導(dǎo)致了對相應(yīng)域名的訪問，并將該域名及對應(yīng)的軟件平臺記錄為手機(jī)病毒特征。
2.如權(quán)利要求1所述的識別方法，其特征在于，還包括對于每個異常訪問行為記錄子表，分別統(tǒng)計每種終端型號對應(yīng)的記錄條數(shù)，并按照記錄條數(shù)從高到低的順序選取預(yù)定數(shù)目個終端型號；此時，所述判斷其中的軟件平臺是否唯一為判斷所述預(yù)定數(shù)目個終端型號對應(yīng)的軟件平臺是否唯一。
3.如權(quán)利要求1所述的識別方法，其特征在于，所述獲取異常訪問行為記錄表，具體包括采集WAP網(wǎng)關(guān)的HTTP數(shù)據(jù)包；根據(jù)關(guān)鍵字列表從所述HTTP數(shù)據(jù)包中匹配出用戶的異常訪問行為，根據(jù)所述異常訪問行為生成所述異常訪問行為記錄表，所述關(guān)鍵字列表中包括用戶敏感信息和域名黑名單中的域名；根據(jù)所述異常訪問行為記錄表對所述域名黑名單進(jìn)行更新。
4.如權(quán)利要求3所述的識別方法，其特征在于，還包括當(dāng)所述判斷結(jié)果為否時，將相應(yīng)的域名加入到域名白名單中；此時，對于匹配出的異常訪問行為，如果其對應(yīng)的域名存在于所述域名白名單中，則不將該異常訪問行為添加到所述異常訪問行為記錄表中。
5.如權(quán)利要求3所述的識別方法，其特征在于，所述根據(jù)關(guān)鍵字列表從所述HTTP數(shù)據(jù)包中匹配出用戶的異常訪問行為，具體包括從所述HTTP數(shù)據(jù)包中獲取URL數(shù)據(jù)，判斷所述URL數(shù)據(jù)中是否包括所述關(guān)鍵字列表中的至少一個關(guān)鍵字，若是，確定相應(yīng)的訪問行為為異常訪問行為。
6.如權(quán)利要求3所述的識別方法，其特征在于，所述根據(jù)關(guān)鍵字列表從所述HTTP數(shù)據(jù)包中匹配出用戶的異常訪問行為，具體包括判斷所述HTTP數(shù)據(jù)包中是否包括所述關(guān)鍵字列表中的至少一個關(guān)鍵字，若是，確定相應(yīng)的訪問行為為異常訪問行為。
7.如權(quán)利要求3所述的識別方法，其特征在于，所述根據(jù)所述異常訪問行為記錄表對所述域名黑名單進(jìn)行更新，具體包括對所述異常訪問行為記錄表中的域名進(jìn)行匯總，得到匯總表； 將所述匯總表中的域名與所述域名黑名單中的域名進(jìn)行比對，將存在于所述匯總表中、但不存在于所述域名黑名單中的域名添加到所述域名黑名單中。
8.如權(quán)利要求3所述的識別方法，其特征在于，所述用戶敏感信息包括IMSI和/或 IMEI。
9.一種手機(jī)病毒的識別裝置，其特征在于，包括記錄表生成模塊，用于獲取異常訪問行為記錄表，所述異常訪問行為記錄表中包括用戶代理UA和域名，所述UA包括終端型號和軟件平臺；記錄子表生成模塊，用于根據(jù)域名對所述異常訪問行為記錄表的記錄進(jìn)行歸類，生成多個異常訪問行為記錄子表；判斷模塊，用于對于每個異常訪問行為記錄子表，判斷其中的軟件平臺是否唯一，得到一判斷結(jié)果；病毒特征識別模塊，用于當(dāng)所述判斷結(jié)果為是時，則確定手機(jī)病毒導(dǎo)致了對相應(yīng)域名的訪問，并將該域名及對應(yīng)的軟件平臺記錄為手機(jī)病毒特征。
10.如權(quán)利要求9所述的識別裝置，其特征在于，還包括統(tǒng)計模塊，用于對于每個異常訪問行為記錄子表，分別統(tǒng)計每種終端型號對應(yīng)的記錄條數(shù)，并按照記錄條數(shù)從高到低的順序選取預(yù)定數(shù)目個終端型號；此時，所述判斷模塊判斷其中的軟件平臺是否唯一為判斷所述預(yù)定數(shù)目個終端型號對應(yīng)的軟件平臺是否唯一。
11.如權(quán)利要求9所述的識別裝置，其特征在于，所述記錄表生成模塊具體包括數(shù)據(jù)采集模塊，用于采集WAP網(wǎng)關(guān)的HTTP數(shù)據(jù)包；匹配模塊，用于根據(jù)關(guān)鍵字列表從所述HTTP數(shù)據(jù)包中匹配出用戶的異常訪問行為，根據(jù)所述異常訪問行為生成所述異常訪問行為記錄表，所述關(guān)鍵字列表中包括用戶敏感信息和域名黑名單中的域名；黑名單更新模塊，用于根據(jù)所述異常訪問行為記錄表對所述域名黑名單進(jìn)行更新。
12.如權(quán)利要求11所述的識別裝置，其特征在于，所述病毒特征識別模塊還用于當(dāng)所述判斷結(jié)果為否時，將相應(yīng)的域名加入到域名白名單中；此時，所述匹配模塊對于匹配出的異常訪問行為，如果其對應(yīng)的域名存在于所述域名白名單中，則不將該異常訪問行為添加到所述異常訪問行為記錄表中。
13.如權(quán)利要求11所述的識別裝置，其特征在于，所述匹配模塊進(jìn)一步用于從所述HTTP數(shù)據(jù)包中獲取URL數(shù)據(jù)，判斷所述URL數(shù)據(jù)中是否包括所述關(guān)鍵字列表中的至少一個關(guān)鍵字，若是，確定相應(yīng)的訪問行為為異常訪問行為。
14.如權(quán)利要求11所述的識別裝置，其特征在于，所述匹配模塊進(jìn)一步用于判斷所述HTTP數(shù)據(jù)包中是否包括所述關(guān)鍵字列表中的至少一個關(guān)鍵字，若是，確定相應(yīng)的訪問行為為異常訪問行為。
15.如權(quán)利要求11所述的識別裝置，其特征在于，所述黑名單更新模塊進(jìn)一步用于對所述異常訪問行為記錄表中的域名進(jìn)行匯總，得到匯總表；將所述匯總表中的域名與所述域名黑名單中的域名進(jìn)行比對，將存在于所述匯總表中、但不存在于所述域名黑名單中的域名添加到所述域名黑名單中。
16.如權(quán)利要求11所述的識別裝置，其特征在于，所述用戶敏感信息包括IMSI和/或 IMEI。
全文摘要
本發(fā)明提供一種手機(jī)病毒特征的識別方法及裝置，所述識別方法包括獲取異常訪問行為記錄表，所述異常訪問行為記錄表中包括UA和域名，所述UA包括終端型號和軟件平臺；根據(jù)域名對所述異常訪問行為記錄表的記錄進(jìn)行歸類，生成多個異常訪問行為記錄子表；對于每個異常訪問行為記錄子表，判斷其中的軟件平臺是否唯一，得到一判斷結(jié)果；當(dāng)所述判斷結(jié)果為是時，則確定手機(jī)病毒導(dǎo)致了對相應(yīng)域名的訪問，并將該域名及對應(yīng)的軟件平臺記錄為手機(jī)病毒特征。本發(fā)明不需要依賴于病毒庫，就能實現(xiàn)對手機(jī)病毒的自動和及時的識別。
文檔編號H04W88/02GK102469450SQ201010534498
公開日2012年5月23日 申請日期2010年11月8日 優(yōu)先權(quán)日2010年11月8日
發(fā)明者呂漢鑫, 孔軼, 莊仁峰, 譚俊, 鄭浩彬, 黃偉湘 申請人:中國移動通信集團(tuán)廣東有限公司