[發明專利]用于檢測未知惡意軟件的系統和方法

有效

• 申請號: 201110442195.1
• 申請日: 2011-12-26
• 公開（公告）號: CN102592079A
• 公開（公告）日: 2012-07-18
• 發明（設計）人: 尤里·V·馬舍夫斯基;羅曼·瓦西連科
• 申請（專利權）人: 卡巴斯基實驗室封閉式股份公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 北京市磐華律師事務所 11336
• 代理人: 顧珊;魏寧

1.一種用于檢測未知惡意軟件的方法，所述方法包括：

為多個已知惡意的和干凈的對象的每一個生成至少一個對象基因，其中對象基因為包含從對象中檢索的或與對象相關聯的多個信息元素的數據結構；

使用一個或多個惡意軟件分析方法來分析每個對象基因；

基于通過所述方法對所述已知惡意對象的基因的分析來計算通過一個惡意軟件分析方法或者兩個或多個惡意軟件分析方法的組合對惡意對象的成功檢測水平；

基于通過所述方法對已知干凈對象的基因的分析來計算通過一個惡意軟件分析方法或者兩個或多個惡意軟件分析方法的組合對干凈對象的誤報檢測水平；

以所述已知惡意對象的所述成功檢測水平和所述已知干凈對象的所述誤報檢測水平的函數來衡量惡意軟件分析方法的每一個或所述組合的有效性；以及

選擇最有效的惡意軟件分析方法的一個或者組合來分析未知對象是否存在惡意軟件。

2.如權利要求1所述的方法，進一步包括：

識別所述未知對象的文件類型；

基于所述對象的所述文件類型，選擇所述最有效的惡意軟件分析方法的所述一個或所述組合；

為每個所選擇的惡意軟件分析方法，生成所述未知對象的基因；

使用所述所選擇的惡意軟件分析方法來分析所述未知對象的所述基因；

基于使用所述所選擇的惡意軟件分析方法對所述對象基因的分析的結果，確定所述未知對象是惡意的或干凈的。

3.如權利要求1所述的方法，其中所述惡意軟件分析方法的有效性水平定義為已知惡意對象的所述成功惡意軟件檢測水平與已知干凈對象的所述誤報檢測水平的比率。

4.如權利要求1所述的方法，其中使用惡意軟件分析方法的已知惡意對象的所述成功檢測水平定義為使用所述方法檢測到的已知惡意對象的數量與已知惡意對象的總數量之間的比率。

5.如權利要求1所述的方法，其中使用惡意軟件分析方法的已知干凈對象的所述誤報檢測水平定義為使用所述方法識別為惡意的干凈對象的數量與已知干凈對象的總數量之間的比率。

6.如權利要求1所述的方法，其中所述惡意軟件分析方法包括以下各項中的一個或多個：分析所述對象的獨特的代碼行、分析所述對象的可操作區域、分析所述對象的執行路徑、分析所述對象的行為模式、分析程序流程圖以及分析所述對象的函數調用圖表。

7.根據權利要求1所述的方法，其中使用所述惡意軟件分析方法分析對象基因進一步包括以下各項中的一個或多個：

對所述對象基因的信息元素的模式與和已知惡意的或干凈的對象相關聯的信息元素的模式執行精確匹配分析；

對所述對象基因的所述信息元素與和已知惡意的或干凈的對象相關聯的信息元素的模式執行近似字符串匹配；

通過分別評估所述信息元素的各自邏輯塊的惡意性，對所述對象基因的所述信息元素執行安全評級分析。

8.一種用于檢測未知惡意軟件的系統，所述系統包括：

存儲器，其經配置以存儲多個已知惡意的和干凈的對象；

處理器，其耦合至所述存儲器，并經配置以：

為多個已知惡意的和干凈的對象的每一個生成至少一個對象基因，其中對象基因為包含從對象中檢索的或與對象相關聯的多個信息元素的數據結構；

使用一個或多個惡意軟件分析方法來分析每個對象基因；

基于通過所述方法對所述已知惡意對象的基因的分析來計算通過一個惡意軟件分析方法或者兩個或多個惡意軟件分析方法的組合對惡意對象的成功檢測水平；

基于通過所述方法對已知干凈對象的基因的分析來計算通過一個惡意軟件分析方法或者兩個或多個惡意軟件分析方法的組合對干凈對象的誤報檢測水平；

以所述已知惡意對象的所述成功檢測水平和所述已知干凈對象的所述誤報檢測水平的函數來衡量惡意分析方法的每一個或所述組合的有效性；以及

選擇最有效的惡意軟件分析方法的一個或組合來分析未知對象是否存在惡意軟件。