[發明專利]基于家族基因碼的惡意代碼快速歸類方法

有效

• 申請號: 201410571621.5
• 申請日: 2014-10-23
• 公開（公告）號: CN104331436A
• 公開（公告）日: 2015-02-04
• 發明（設計）人: 沈超;程顥;張澤華;管曉宏
• 申請（專利權）人: 西安交通大學
• 主分類號: G06F17/30
• 分類號: G06F17/30;G06F21/56
• 代理公司: 西安通大專利代理有限責任公司 61200
• 代理人: 陸萬壽

1.一種基于家族基因碼的惡意代碼快速歸類方法，其特征在于，包括下述兩大步驟：

第一步，惡意代碼家族基因碼的生成，包括下述分步驟：

(1)獲取由M個惡意代碼樣本構成的惡意代碼樣本集，其中，M至少為1000萬；

(2)從惡意代碼樣本中提取行為信息；

(3)對所有惡意代碼樣本的各種行為出現的頻數進行統計排序，選擇頻數總和不小于3的行為作為刻畫惡意代碼樣本的行為向量；

(4)使用行為向量的每個元素在惡意代碼行為信息中出現的頻數構成該惡意代碼樣本的特征向量；

(5)采用曼哈頓距離算法計算惡意代碼樣本特征向量之間的距離，形成惡意代碼樣本集的距離矩陣D＝{d_ij}_M×M，其中,d_ij表示惡意代碼樣本i到惡意代碼樣本j的距離，矩陣D關于對角線對稱；

(6)基于惡意代碼樣本集的距離矩陣D，從惡意代碼樣本集中提取出惡意代碼家族基因碼，以方便生成惡意代碼家族；

第二步，惡意代碼快速歸類，包括下述分步驟：

(1)針對新增的惡意代碼樣本，提取其行為信息，與在惡意代碼樣本集中得到的行為向量進行比對，將行為向量中每個元素在新增惡意代碼樣本的行為信息中出現的頻數作為該樣本的特征向量；

(2)將新增惡意代碼樣本的特征向量與惡意代碼家族基因碼進行匹配，對新增惡意代碼所屬的類別進行判定。

2.根據權利要求1所述的基于家族基因碼的惡意代碼快速歸類方法，其特征在于，第一步(2)中所述惡意代碼的行為信息是指惡意代碼在執行過程中對計算機資源的訪問行為，包括API導入表的訪問行為、文件操作行為、進程操作行為、注冊表操作行為、動態鏈接庫調用行為、鉤子函數調用行為。

3.根據權利要求1所述的基于家族基因碼的惡意代碼快速歸類方法，其特征在于，第一步(3)中所述選擇頻數總和不小于3的行為作為刻畫惡意代碼樣本的行為向量，其具體步驟為：

(1)對惡意代碼樣本集中每個樣本的行為信息進行統計分析，利用出現過的所有行為構成初始特征集；

(2)計算初始特征集中每個元素在所有樣本的行為信息中出現頻數的總和，排序并去除出現頻數總和為1和2的元素，使用剩余的元素作為刻畫惡意代碼樣本的特征。