CN116226852B 基于多模态信息融合的移动平台恶意软件检测方法及装置 （中国科学院软件研究所）

号基于多模态信息融合的移动平台恶意软件本发明公开基于多模态信息融合的移动平络将各特征和异类选择网络输出的向量进行融将异类选择网络的输出向量与鲁棒融合网络输态融合，可以有效地提高决策总体结果的准确22)针对灰度图提取图像特征，针对接口调用序提取二进制应用程序的二进制字节流，并以二进制字节流的大小为标准根据逆向分析结果提取其中的指令码序列，保留指令码序列中的接口调用对于该接口调用序列中的每一个接口调用指令，提取其调用信息，包提取二进制应用程序的函数调用序列，根据函数调用序列中的函数确定函数调用图中的每个节点的函数类型是外部函数还是本地函数；若为外部函数，根据每个本地函数内的基本块之间的跳转关系生成每个本地函数的函3统计接口调用序列的所有接口调用指令中出现的族名称和根据族名称集合，对于接口调用序列中的每一对相邻的接口调用指根据包名称集合，对于接口调用序列中的每一对相邻的接口调用指根据族名称集合和包名称集合，以及上述两种统计次数，构建表示提取马尔科夫链中出现次数最多的前预设数量的节点，针对函数调用图包含的全部本地函数，采用多层GraphSAGE模型对每个本地函数内的函数控制流图中的每一个基本块节点生成特征向量，每层GraphSAGE利用自传递函数和消息传递函数从上一层中生成的特征向量和其他邻居节点的特征向量来学习和更新每层的采用聚合模型对每个本地函数对应的函数控制流图中所有节点的总特征向量进行最针对函数调用图包含的全部外部函数，利用独热编码方法生成外部将上述图向量和初始化特征向量输入到GraphSAGE模型的下游编码层，针对函数调用采用聚合模型对函数调用图中所有节点的新的总特征向量进行最10.一种采用权利要求1_9任一所述方法的移动平台恶意软件检测装置，其特征在于，45[0002]随着移动系统平台和移动应用生态的快速发展，移动端系统的安全风险越来越LiangJY,etal.Beyondgoogleplay:alarge_scaleAndroidappmarkets.In:ProceedingsogtheInternetMeasurementConference(IMC),Boston,2018.293_307.)在GooglePlay和国内应用市场上共计600万个应用LeeY,WangXF,MaB,WangAH,ZhangYJ,ZouW.Followingdevilsfootprints:CrossplatformanalysisofpotentiallyharmfullibrariesonAndroidandiOS.In:Proc.ofthe37thIEEESymp.OnSecurityandPrivacy,Ser.(S&P2016)个潜在iOS恶意软件库，共706个变体。Zhou等人(ZhouY,JiangX.DissectingAndroidmalware:Characterizationandevolution.In:Proc.ofthe2012IEEESymp.onSecurityandPrivacy.IEEE,2012.95_109.)总结了移动终端恶意软件的形态、分类和演P.StructuralAttackagainstGraphBasedAndroidMalwareDetection.InProc.ofthe2021ACMSIGSACConferenceonComputerandCommunicationsSecurity.ACM,NewYork,NY,USA,3218–3235.)利用结构化攻击，根据程序提取的图结构特征进行节点和6模态融合利用多个模态提取出的特征信息进行融合，从而获得比单一模态更好的识别效融合网络将异类选择网络输出的向量与鲁棒融合网络输出的结果进行融合，输出预测向[0019]根据逆向分析结果提取其中的指令码序列，保留指令码得到接口调用序列；7[0024]根据每个本地函数内的基本块之间的跳转关系生成每个本地函数的函数控制流[0035]提取马尔科夫链中出现次数最多的前预设数量的节点，构成筛选后的马尔科夫[0037]针对函数调用图包含的全部本地函数，采用多层GraphSAGE模型对每个本地函数内的函数控制流图中的每一个基本块节点生成特征向量，每层GraphSAGE利用自传递函数和消息传递函数从上一层中生成的特征向量和其他邻居节点的特征向量来学习和更新每[0038]采用聚合模型对每个本地函数对应的函数控制流图中所有节点的总特征向量进[0040]将上述图向量和初始化特征向量输入到GraphSAGE模型的下游编码层，针对函数8[0045]优选地，步骤5)中将预测向量通过多层标准的全连接层，降维到一维；再采用9信息，即模态之间的冗余信息有助于根据现有的模态信文件大小<10k10_30k30_60k60_100k100_200k200_500k500_1000k>1000k图像宽度32px64px128px256px384px512px768px1024px[0076]1_1c)若生成的像素是当前像素行的最后一个像素，即生成像素的水平位置与图pp[0079]1_2a)使用IDA逆向工具对二进制应用程序包进行逆向分析，将应用程序p的逆向指令，将提取的接口调用序列表示为cn,=[c1,…,态C.[0083]其中，将二进制应用程序p表示为函数间的函数调用图(步骤1_3a)至步骤1_[0084]1_3a)根据步骤1_2c)中指令Ci中提取的调用内容ci，分析并[0086]1_3c)获取函数调用关系：根据步骤1_3a)中提取的调用者和被调用者的调用关ppi函数调用了Nj函数。p[0087]1_3d)将步骤1_3b)中提取的函数节点集和步骤1_3d)中提取的边集ε结合，得p[0088]1_3e)根据步骤(1_3b)中提取不同的类型：外部函数N;和本地函数N,N={N;,N3,其中外部函数为移动系统平台提[0090]1_3g)提取本地函数节点中包含的指令序列。根据函数中指令的具体内容和执行[0093]1_3j)将步骤1_3h)中提取的基本块节点集和步骤1_3i)中提取的基本块边集[0096]2_1)针对步骤1_1)中提取的二进制灰度图Ip，生成图像特征表示Fi。具体的实现[0097]2_1a)使用Grad_CAM(梯度加权类激活映射，RamprasaathRSelvaraju,MichaelCogswell,AbhishekDas,RamakrishnaVedantam,DeviParikhandDhruvBatra,"Grad_cam:Visualexplanationsfromdeepnetworksviagradient_basedlocalization",Proc.oftheIEEEinternationalconferenceoncomputervision,pp.618_626,[0099]2_1c)使用亮度阈值对新热图中的每个像素进行处理，提取新热图中突出显示的[0100]2_1d)记录突出显示的像素相对于像素空间的位置作为灰度图的特征表示，将该[0101]2_2)针对步骤1_2)中生成的接口调用序列cm生成调用序列特征表示smo[0103]2_2b)根据步骤1_2b)中提取的接口调用序列cr,根据每一对相邻的接口调用Ci计在某一包名称pi(或su)之后出现另一包名称pj(或sv,)的次数Oij和在包名称pi(或su)之[0104]2_2c)根据步骤2_2a)中的名称集合和步骤2_2b)中统计口调用序列的马尔可夫链sh=(sm,pn),其中为马尔科夫链中的状态集，[0105]2_2d)由于开发人员自定义的函数所属的包名称和族名称可能会存在不规范现[0106]2_3)针对步骤1_3d)中提取的函数调用图和步骤1_3j)中提取的函数控制流图通过图神经网络(GNN)训练得到其全局图特征向[0107]2_3a)采用简化的GraphSAGE模型(WillHamilton,ZhitaoYing,JureLeskovec.Inductiverepresentationlearningonlargegraphs[C].AdvancesinNeuralInformationProcessingSystems.LongBeach,CA,USA,2017:1024–1034.)来生的每一个节点n(ieIW)而言第t层GraphSAGE模型生成的特征向量可以表示为hfeRd",和消息传递函数fmessage从上一层中的特征向量和其他邻居节点的特征向量来[0110]2_3b)为了学习本地函数对应的函数控制流图的图向量，采用聚合模型对每个图[0111]2_3c)针对中包含的WSI个外部函数，利用独热编码(One_hotEncoding)方法[0112]2_3d)将由步骤2_3b)中得到的图向量和步骤2_3c)中得到的独热编码对应的特征向量hsn作为初始特征向量输入下游编码层，针对函数调用图中的每一个节点[0115]2_3e)采用聚合模型对函数调用图中所有节点的特征向量进行最大池化操作，计算s,全局图特征向量zs,=maxpoolingf⃞ER",wnEN,》,其中dK代表最后一层即K层输中生成的灰度图IpI；x2表示由步骤1_2)中提取的接口调用序列x3表示由[0124]传统利用多模态信息融合网络f:x口y预测受到单一模态攻击时的防御性能P*为P*=Etry)-nmaxIC(f(xi+j,x-i),)l,其中，E为期望值；(x,y)~D表示输入x和输出y是从具体步骤如下。[0125]4_1)针对步骤2)中提取的特征进行融合，使用鲁棒融合网络frobust，frobust(x)=[0128]4_2)使用多模态信息融合网络将异类选择网络o和鲁棒融合网络frobust的结果进[0130]5_1)将4_2)中输出的预测向量zoutput通过多层标准的全连接层，逐渐将输出维度[0142]接口调用序列模态通过分析二进制文件逆向分析后的汇编指令序列，通过IDA逆[0146](4)根据步骤(3)中的接口调用序列提取分析结果中的接口调[0148](6)将步骤(4)生成的接口调用图中的每个节点和步骤(5)中生成的函数控制流图pp[0157]接口调用序列特征通过分析提取的接口调用序列使用马尔科夫链对接口调[0161](4)提取马尔可夫链中出现次数排名前50个[0163](1)给定生成的函数调用图和函数控制流图以及外部函数的函数名独热编码[0168](2)分别使用特征融合网络融合给定的三种模态，