[發明專利]一種惡意程序識別系統

在審

• 申請號: 201611169725.9
• 申請日: 2016-12-16
• 公開（公告）號: CN106845224A
• 公開（公告）日: 2017-06-13
• 發明（設計）人: 熊家文;史建琦;黃滟鴻;李昂;方徽星;何積豐
• 申請（專利權）人: 華東師范大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京辰權知識產權代理有限公司11619
• 代理人: 郎志濤

1.一種惡意程序識別系統，其特征在于：

所述系統包括以下模塊：

訓練模塊：用于根據樣本程序構建惡意程序性質數據庫；

識別模塊：用于采用模型檢測方法對待識別程序進行性質驗證，判斷是否為惡意程序。

2.如權利要求1所述的一種惡意程序識別系統，其特征在于：

所述訓練模塊通過對所述樣本程序進行時態性質挖掘，并通過對比正常程序樣本與惡意程序樣本的性質，篩選出惡意程序所特有的部分，從而建立所述惡意程序性質數據庫。

3.如權利要求1所述的一種惡意程序識別系統，其特征在于：

所述識別模塊在所述惡意程序性質數據庫的基礎上，對待識別的目標程序進行性質驗證，根據目標程序是否具備惡意程序性質來判斷目標程序是否為惡意程序。

4.如權利要求1所述的一種惡意程序識別系統，其特征在于：

所述系統具備以下兩個數據庫：正常程序時態性質數據庫，存儲正常程序樣本挖掘所得的性質；惡意程序時態性質數據庫，存儲惡意程序樣本挖掘所得的性質。

5.如權利要求1-4任意一項所述的一種惡意程序識別系統，其特征在于：

所述惡意程序識別系統具備自進化能力，在使用過程中，根據判斷結果將已測試樣本程序進行標注，放入訓練模塊中處理，以進行時態性質數據庫的擴充。

6.如權利要求1-4任意一項所述的一種惡意程序識別系統，其特征在于：

所述訓練模塊包括如下組成單元：

控制流圖生成單元，用于從樣本程序庫中讀取一個已知惡意與否的樣本程序，采用IDA Pro使用遞歸下降法對該樣本程序的目標代碼進行反匯編、庫函數調用識別，相應控制流圖的生成；

轉換單元，用于將樣本程序的控制流圖轉換為遷移系統模型；

時態性質挖掘單元，用于在遷移系統模型上運行時態性質挖掘算法，以常見時態性質為模板，挖掘指令路徑中存在的時態性質；

時態性質存儲單元，用于根據所述樣本程序是否為惡意程序，將挖掘到的時態性質分別存入正常程序時態性質數據庫或惡意程序時態性質數據庫；

判斷單元，用于判斷樣本程序庫中是否還有程序樣本；

篩選及更新單元，用于對比正常程序性質數據庫與惡意程序性質數據庫中的性質，篩選出僅屬于惡意程序數據的性質，更新惡意程序性質數據庫。

7.如權利要求6所述的一種惡意程序識別系統，其特征在于：

所述控制流圖生成單元、轉換單元、時態性質挖掘單元、時態性質存儲單元、判斷單元依次連接，所述判斷單元還連接控制流圖生成單元和篩選及更新單元。

8.如權利要求1-4任意一項所述的一種惡意程序識別系統，其特征在于：

所述識別模塊中包括以下組成單元：

流圖構建單元,用于讀取待識別程序，對待識別程序的目標代碼進行反匯編、庫函數識別以及控制流圖的生成；

流圖轉換單元，用于將待識別程序的控制流圖轉換為遷移系統模型；

檢測單元，用于使用時態邏輯模型檢查器檢查遷移系統模型中是否具有惡意程序性質數據庫中的時態性質；

判定單元，用于判斷遷移系統模型是否具備某項惡意程序性質；如果遷移系統模型具備某項惡意程序性質，就輸出結果表示其具備惡意特征，否則，則認定為正常程序。

9.如權利要求8所述的一種惡意程序識別系統，其特征在于：

所述流圖構建單元、流圖轉換單元、檢測單元、判定單元依次連接。