[發明專利]一種基于動態語義特征的惡意代碼分析檢測方法

有效

• 申請號: 201310682922.0
• 申請日: 2013-12-12
• 公開（公告）號: CN103679030B
• 公開（公告）日: 2017-01-11
• 發明（設計）人: 賈曉啟;李盟;王蕊
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京君尚知識產權代理事務所(普通合伙)11200
• 代理人: 余長江

1.一種基于動態語義特征的惡意代碼分析檢測方法，其步驟包括：

1）將惡意樣本庫中任意一個待檢測代碼動態運行于虛擬環境之中，同時監測其運行過程，并提取出原始特征；

2）根據提取出的原始特征篩選出能代表該待檢測代碼語義特征的API名稱信息；

3）根據篩選出的API名稱信息建立代表該待檢測代碼語義特征的數學模型，得到API序列語義特征集合；

4）從所有待檢測代碼的API序列語義特征集合中選取具有代表性的語義特征建立語義特征庫；

5）將待檢測代碼的語義特征集合與所述語義特征庫進行相似性檢測，從而得出檢測結果，即待檢測代碼是良性代碼或惡意代碼。

2.如權利要求1所述的方法，其特征在于，對原始特征進行篩選包括去除如下信息：線程號、返回值、API調用參數值，篩選后得到該代碼執行過程中調用的所有API的名稱序列。

3.如權利要求1所述的方法，其特征在于：每一個代碼的API序列語義特征集合，其構成元素為多個依次相鄰的API名稱。

4.如權利要求3所述的方法，其特征在于，所述API序列語義特征集合的構造方法是：對監測代碼動態運行所得的原始特征進行初步處理，得到API調用名稱序列，該序列中任意的k個相鄰的API都被當做一個元素，k的取值為正整數，所有這樣的元素構成該代碼的API序列語義特征集合。

5.如權利要求1所述的方法，其特征在于：所述具有代表性的語義特征，其代表性體現在集合元素在該集合中出現的頻次，即該元素在集合中出現得越多，則越具有代表性。

6.如權利要求5所述的方法，其特征在于，所述的語義特征庫的構造方法是：從已有的API序列語義特征集合中選取出現得較多的元素，所有這些元素共同構成語義特征庫，語義特征庫中組成每一個元素的API名稱個數為固定值。

7.如權利要求1所述的方法，其特征在于：根據某一語義特征庫檢測待測樣本時，待測樣本的語義特征集合中的元素若存在于該語義特征庫內，則檢測中該元素起到區分作用，否則該元素不起作用。

8.如權利要求1所述的方法，其特征在于，所述待檢測代碼的語義特征集合的構造方法是：當選定語義特征庫時，待測樣本的語義特征集合中僅包含既出現在語義特征庫中又出現在該樣本代碼的API名稱序列中的元素。

9.如權利要求1所述的方法，其特征在于：采用虛擬機技術構建所述虛擬環境，使用第三方監測工具對虛擬環境中動態運行的代碼進行實時監測，從而提取出原始特征。

10.如權利要求1所述的方法，其特征在于，使用機器學習方法進行所述相似性檢測，采用的分類器為下列中的一種：決策樹、K近鄰、樸素貝葉斯及貝葉斯網絡、支持向量機。