[發明專利]一種樣本文件分析方法及裝置

有效

• 申請號: 201210174885.8
• 申請日: 2012-05-30
• 公開（公告）號: CN103455753A
• 公開（公告）日: 2013-12-18
• 發明（設計）人: 蘇海峰;徐鳴;張楠
• 申請（專利權）人: 北京金山安全軟件有限公司;可牛網絡技術（北京）有限公司;貝殼網際（北京）安全技術有限公司
• 主分類號: G06F21/50
• 分類號: G06F21/50;G06F17/30
• 代理公司: 北京銀龍知識產權代理有限公司 11243
• 代理人: 黃燦;安利霞

技術領域

本發明涉及計算機安全技術領域，特別是指一種樣本文件分析方法及裝置。

背景技術

在反病毒領域，每日樣本增量都是海量的，通過人工方式進行識別將浪費大量時間，因此，樣本文件的自動分析成了反病毒領域的一個核心問題。

目前已有的樣本文件自動分析技術可以分為兩類：

（1）靜態自動分析，即通過反匯編代碼分析、文件靜態內容比對以及一系列啟發式規則對比來給文件定性；這種做法的優點是：快速、吞吐量高，可以應對每日的海量文件，并給出分析結果；但缺點是：精準度一般，無法給出樣本的惡意行為，對加密處理過的樣本存在較多的誤報和漏報。

（2）動態自動分析，即通過動態執行樣本并記錄運行過程，進行動態行為分析，利用分析結果對樣本文件進行定性；這種做法的優點是：精準度非常高，可以明確指出樣本惡意行為并可以精確對其定性；但缺點是：低速，吞吐量低，若想應對海量的樣本文件，需要大量硬件資源投入。

發明內容

本發明要解決的技術問題是提供一種樣本文件分析方法及裝置，從二進制格式的樣本文件中提取可見字符串，作為判斷文件是否是病毒的依據，并加以對可見字符串的有效性過濾，有效減小樣本文件的分析結果集合，大大提升病毒查殺效率。

為解決上述技術問題，本發明的實施例提供一種樣本文件分析方法，包括：

獲得二進制格式的樣本文件；

將所述二進制格式的樣本文件映射到內存；

對映射到內存的所述二進制格式的樣本文件進行全文字符串過濾分析，得到過濾后的二進制格式的樣本文件；

輸出所述過濾后的二進制格式的樣本文件。

其中，所述對映射到內存的所述二進制格式的樣本文件進行全文字符串過濾分析，得到過濾后的二進制格式的樣本文件的步驟包括：

根據字符編碼集和病毒家族庫的特征串，對映射到內存的所述二進制格式的樣本文件進行全文字符串匹配，獲得匹配不成功的字符串；

過濾掉所述匹配不成功的字符串，得到過濾后的二進制格式的樣本文件。

其中，所述根據字符編碼集和病毒家族庫的特征串，對映射到內存的所述二進制格式的樣本文件進行全文字符串匹配的步驟包括：

對映射到內存的所述二進制格式的樣本文件與所述字符編碼集中的字符串相匹配，獲得匹配不成功的無意義的字符串以及匹配成功的字符串對應的樣本文件；

對所述匹配成功的字符串對應的樣本文件與所述病毒家族庫中的特征串進行匹配，獲得匹配不成功的待過濾串。

其中，對所述匹配成功的字符串組成的樣本文件與所述病毒家族庫中的特征串進行匹配，獲得匹配不成功的待過濾串的步驟包括：

計算所述匹配成功的字符串對應的樣本文件中的字符串的哈希值；

計算所述病毒家族庫中的特征串的哈希值；

將所述二進制格式的樣本文件中的字符串的哈希值與所述病毒家族庫中的特征串的哈希值進行比較，若不相等，認為相比較的兩個字符串匹配不成功，并獲得匹配不成功的待過濾串，否則認為匹配成功。

其中，將所述二進制格式的樣本文件中的字符串的哈希值與所述病毒家族庫中的特征串的哈希值進行比較的步驟包括：

采用一條處理器指令將所述二進制格式的樣本文件中的字符串的哈希值與所述病毒家族庫中的特征串的哈希值進行比較。

其中，所述過濾掉所述匹配不成功的字符串，得到過濾后的二進制格式的樣本文件的步驟包括：

過濾掉所述匹配不成功的無意義的字符串以及所述匹配不成功的待過濾串，得到過濾后的二進制格式的樣本文件。

其中，所述字符編碼集包括：UNICODE，UFT-8，GBK，GB2312和/或MBCS字符編碼。

本發明的實施例還提供一種樣本文件分析裝置，包括：

獲得模塊，用于獲得二進制格式的樣本文件；

映射模塊，用于將所述二進制格式的樣本文件映射到內存；

分析模塊，用于對映射到內存的所述二進制格式的樣本文件進行全文字符串過濾分析，得到過濾后的二進制格式的樣本文件；

輸出模塊，用于輸出所述過濾后的二進制格式的樣本文件。

其中，所述分析模塊包括：

第一分析子模塊，用于根據字符編碼集和病毒家族庫的特征串，對映射到內存的所述二進制格式的樣本文件進行全文字符串匹配，獲得匹配不成功的字符串；

第二分析子模塊，用于過濾掉所述匹配不成功的字符串，得到過濾后的二進制格式的樣本文件。

其中，所述第一分析子模塊包括：