[發明專利]一種惡意代碼樣本自動處理的方法及裝置

有效

• 申請號: 201410032004.8
• 申請日: 2014-01-23
• 公開（公告）號: CN103761481A
• 公開（公告）日: 2014-04-30
• 發明（設計）人: 邊亮;于春功
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市中倫律師事務所 11410
• 代理人: 張思悅

1.一種惡意代碼樣本自動處理的方法，包括

獲取惡意代碼樣本；

從獲取的所述惡意代碼樣本中提取靜態特征；

將所述惡意代碼樣本的靜態特征與靜態特征庫中的已知靜態特征進行匹配；

如果根據所述靜態特征庫無法判斷獲取的惡意代碼樣本是惡意代碼，則繼續從所述惡意代碼樣本中提取動態行為特征；

將所述惡意代碼樣本的動態行為特征與動態行為特征庫中的已知動態行為特征進行匹配；

如果根據所述動態行為特征庫判斷出獲取的惡意代碼樣本不是惡意代碼，進行誤報反饋，以提示所述惡意代碼樣本為非惡意代碼。

2.根據權利要求1所述的方法，所述方法還包括：

如果根據所述動態行為特征庫判斷出獲取的惡意代碼樣本是惡意代碼，則將所述惡意代碼樣本標識為惡意代碼。

3.根據權利要求2所述的方法，其中，在將所述惡意代碼樣本標識為惡意代碼之后，所述方法還包括：

計算標識為惡意代碼的所述惡意代碼樣本的校驗值；

將獲取的所述惡意代碼樣本的校驗值發送至云端服務器，由所述云端服務器對所述惡意代碼樣本的校驗值進行分類存儲。

4.根據權利要求1所述的方法，其中，所述靜態特征至少包括以下中的任意一種：所述惡意代碼樣本的二進制文件、所述惡意代碼樣本的函數結構、所述惡意代碼樣本的至少部分字符串以及所述惡意代碼樣本對應的圖標；

所述將所述惡意代碼樣本的靜態特征與靜態特征庫中的已知靜態特征進行匹配的步驟包括：

將所述惡意代碼樣本的二進制文件與靜態特征庫中的已知惡意代碼二進制文件進行匹配；或者

將所述惡意代碼樣本的函數結構與靜態特征庫中的已知惡意代碼函數結構進行匹配；或者

將所述惡意代碼樣本的至少部分字符串與靜態特征庫中的已知惡意代碼字符串進行匹配；或者

將所述惡意代碼樣本對應的圖標與靜態特征庫中的已知惡意代碼圖標進行匹配。

5.根據權利要求4所述的方法，其中，所述惡意代碼樣本的動態行為特征至少包括以下中的任意一種：所述惡意代碼樣本的虛擬行為啟發時的行為特征、所述惡意代碼樣本的網絡行為特征和所述惡意代碼樣本的在沙箱中運行時的行為特征；

所述將所述惡意代碼樣本的動態行為特征與動態行為特征庫中的已知動態行為特征進行匹配的步驟包括：

將所述惡意代碼樣本的虛擬行為啟發時的行為特征與動態行為特征庫中的已知動態行為特征進行匹配；或者

將所述惡意代碼樣本的網絡行為特征與動態行為特征庫中的已知動態行為特征進行匹配；或者

將所述惡意代碼樣本的在沙箱中運行時的行為特征與動態行為特征庫中的已知動態行為特征進行匹配。

6.一種惡意代碼樣本自動處理的裝置，包括：

獲取模塊，用于獲取惡意代碼樣本；

靜態特征提取模塊，用于從獲取的所述惡意代碼樣本中提取靜態特征；

靜態特征匹配模塊，用于將所述惡意代碼樣本的靜態特征與靜態特征庫中的已知靜態特征進行匹配；

動態行為特征提取模塊，用于如果根據所述靜態特征庫無法判斷獲取的惡意代碼樣本是惡意代碼，則繼續從所述惡意代碼樣本中提取動態行為特征；

動態行為特征匹配模塊，用于將所述惡意代碼樣本的動態行為特征與動態行為特征庫中的已知動態行為特征進行匹配；

誤報反饋模塊，用于如果根據所述動態行為特征庫判斷出獲取的惡意代碼樣本不是惡意代碼，進行誤報反饋，以提示所述惡意代碼樣本為非惡意代碼。

7.根據權利要求6所述的裝置，所述裝置還包括：

惡意代碼標識模塊，用于如果根據所述動態行為特征庫判斷出獲取的惡意代碼樣本是惡意代碼，則將所述惡意代碼樣本標識為惡意代碼。

8.根據權利要求7所述的裝置，所述裝置還包括：

校驗值計算模塊，用于計算標識為惡意代碼的所述惡意代碼樣本的校驗值；

發送模塊，用于將獲取的所述惡意代碼樣本的校驗值發送至云端服務器，由所述云端服務器對所述惡意代碼樣本的校驗值進行分類存儲。