一种基于余弦算法的手机病毒检测方法

◆苏 晖 王怡然

（华能贵诚信托有限公司电子商务部 北京 100093）

随着全球化和信息化的发展，移动互联网的发展进入了高速行驶的快车道，同时，移动互联网病毒也加快蔓延。2018 年，CNCERT 通过移动互联网恶意程序监测体系共监测移动互联网恶意程序5702861 个，比2017 年同期监测3162981 个恶意程序增长1.8 倍，涉及移动恶意程序702 个，继续呈现出爆炸式增长趋势。

现在对手机病毒的分析及检测主要采用基于特征的检测方法，它通过对已知特征匹配来判断是否存在手机病毒。现在，基于行为的检测方法也被引入手机病毒检测，它通过对手机程序执行监视，对文件、内存、进程等变化进行判断来完成检测，如J2ME 沙箱、Android 沙箱等[1-9]。但是，无论是基于特征还是基于行为的检测方法都无法难以对多态[10-11]和变形技术[12-13]处理后的手机病毒进行有效的检测。因为多态和变形技术处理后的手机病毒，可以通过逃避已知检测点或者加入混淆信息欺骗检测工具的方法来防止其被检测。由于没有对手机操作系统底层进行研究，检测不到操作系统底层的工作状态，如内存的变化，仅仅是监视了应用层APP 的数据改动及API 调用[14]，因此无法对多态和变形技术处理后的手机病毒进行判断，从而对其也无法进行检测。

本文提出了一种基于余弦算法的二进制程序手机病毒检测方法，该方法对二进制程序行为进行分析，监视手机操作系统底层，跟踪内存及APP 存储空间的变化情况，揭示手机病毒程序的工作机制，通过余弦相似度比较对其进行检测，从而有效地解决了对多态和变形技术处理后的二进制程序手机病毒无法进行检查的问题。……