[發明專利]基于文件字符串聚類的劃分同源家族和變種的方法及系統

有效

• 申請號: 201410762181.1
• 申請日: 2014-12-12
• 公開（公告）號: CN105512555B
• 公開（公告）日: 2018-05-25
• 發明（設計）人: 董建武;康學斌;肖新光
• 申請（專利權）人: 哈爾濱安天科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F17/30
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于文件字符串聚類的劃分同源家族和變種的方法，其特征在于，包括：

對目標文件進行動態分析及靜態分析，獲取目標文件中的dump文件及API調用記錄文件；

提取所述dump文件中的指定字符串，形成字符串向量文件；

計算所述字符串向量文件中向量的simhash值，并比較所述simhash值與家族特征向量庫中各已知惡意代碼家族中心值的距離，若距離小于預設值，則所述目標文件屬于距離小于預設值的對應惡意代碼家族，并進行下一步；否則所述目標文件為新的惡意代碼家族，并將所述目標文件及其向量信息作為新的惡意代碼家族添加到家族特征向量庫中；

提取所述目標文件的API調用記錄文件中的API及其參數信息，形成API向量文件；

計算所述API向量文件中API向量的simhash值，并比較所述simhash值與目標文件所屬對應惡意代碼家族中各已知家族變種中心值的距離，若距離小于預設值，則所述目標文件屬于距離小于預設值的對應家族變種；否則所述目標文件為當前惡意代碼家族的新家族變種，并將所述目標文件及其向量信息作為新家族變種，添加到家族特征向量庫中。

2.如權利要求1所述的方法，其特征在于，所述的將所述目標文件及其向量信息作為新的惡意代碼家族添加到家族特征向量庫中，還包括：將所述目標文件的字符串向量文件中向量的simhash值作為所述目標文件的中心值。

3.如權利要求1所述的方法，其特征在于，所述的將所述目標文件及其向量信息作為新家族變種，添加到家族特征向量庫中，還包括：將所述目標文件的API向量文件中API向量的simhash值作為所述目標文件家族變種的中心值。

4.一種基于文件字符串聚類的劃分同源家族和變種的系統，其特征在于，包括：

動靜態分析模塊，用于對目標文件進行動態分析及靜態分析，獲取目標文件中的dump文件及API調用記錄文件；

字符串向量提取模塊，用于提取所述dump文件中的指定字符串，形成字符串向量文件；

字符串向量比較模塊，用于計算所述字符串向量文件中向量的simhash值，并比較所述simhash值與家族特征向量庫中各已知惡意代碼家族中心值的距離，若距離小于預設值，則所述目標文件屬于距離小于預設值的對應惡意代碼家族，并進行下一步；否則所述目標文件為新的惡意代碼家族，并將所述目標文件及其向量信息作為新的惡意代碼家族添加到家族特征向量庫中；

API向量提取模塊，用于提取所述目標文件的API調用記錄文件中的API及其參數信息，形成API向量文件；

API向量比較模塊，用于計算所述API向量文件中API向量的simhash值，并比較所述simhash值與目標文件所屬對應惡意代碼家族中各已知家族變種中心值的距離，若距離小于預設值，則所述目標文件屬于距離小于預設值的對應家族變種；否則所述目標文件為當前惡意代碼家族的新家族變種，并將所述目標文件及其向量信息作為新家族變種，添加到家族特征向量庫中。

5.如權利要求4所述的系統，其特征在于，所述的將所述目標文件及其向量信息作為新的惡意代碼家族添加到家族特征向量庫中，還包括：將所述目標文件的字符串向量文件中向量的simhash值為所述目標文件的中心值。

6.如權利要求4所述的系統，其特征在于，所述的將所述目標文件及其向量信息作為新家族變種，添加到家族特征向量庫中，還包括：將所述目標文件的API向量文件中API向量的simhash值為所述目標文件家族變種的中心值。