[發明專利]一種病毒檢測方法及裝置

有效

• 申請號: 201611257005.8
• 申請日: 2016-12-30
• 公開（公告）號: CN106709350B
• 公開（公告）日: 2020-01-14
• 發明（設計）人: 羅元海
• 申請（專利權）人: 騰訊科技(深圳)有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 44202 廣州三環專利商標代理有限公司
• 代理人: 郝傳鑫;熊永強

1.一種病毒檢測方法，其特征在于，包括：

對待檢測樣本進行反匯編，得到反匯編后的函數對應的控制流圖；所述控制流圖的節點由基本塊組成，節點之間的邊表示控制流向；不同控制流圖對應的標識不同；

將每個函數對應的控制流圖編碼為一個三元組，以生成每個控制流圖對應的標識；其中所述三元組包括控制流圖的基本塊數、控制流圖的邊數和控制流圖中的調用數；

集合所有控制流圖對應的標識，生成所述待檢測樣本的特征；

將所述待檢測樣本的特征與病毒特征庫中的特征進行匹配；

當所述待檢測樣本的特征與病毒特征庫中的特征匹配成功，則確定所述待檢測樣本為惡意樣本。

2.如權利要求1所述的方法，其特征在于，所述將所述待檢測樣本的特征與病毒特征庫中的特征進行匹配之前，還包括：

對已知惡意樣本進行反匯編，得到反匯編后的函數對應的控制流圖；

分別對每個控制流圖進行編碼，生成每個控制流圖對應的標識；

集合所有控制流圖對應的標識，生成所述已知惡意樣本的特征，并將所述已知惡意樣本的特征存儲在病毒特征庫中。

3.如權利要求1所述的方法，其特征在于，所述將所述待檢測樣本的特征與病毒特征庫中的特征進行匹配之后，還包括：

當所述待檢測樣本的特征與所述病毒特征庫中的所有特征都匹配失敗，則確定所述待檢測樣本為正常樣本。

4.如權利要求1-3任一項所述的方法，其特征在于，所述將所述待檢測樣本的特征與病毒特征庫中的特征進行匹配，包括：

計算所述待檢測樣本的特征與病毒特征庫中的其中一個特征的公共編碼集合；

根據所述待檢測樣本的特征和所述公共編碼集合，計算所述待檢測樣本的特征與病毒特征庫中的所述特征的相似度；

判斷所述相似度是否大于預設閾值；

當所述相似度大于預設閾值時，所述待檢測樣本的特征與病毒特征庫中的所述特征匹配成功。

5.如權利要求4所述的方法，其特征在于，所述根據所述待檢測樣本的特征和所述公共編碼集合，計算所述待檢測樣本的特征與病毒特征庫中的所述特征的相似度，包括：

將所述公共編碼集合中的標識數量除以所述待檢測樣本的特征對應的集合中的標識數量，得到相似度；或者

將所述公共編碼集合中的標識數量除以目標標識數量，得到相似度；所述目標標識數量包括所述待檢測樣本的特征對應的集合中的標識數量與所述病毒特征庫中的所述特征對應的集合中的標識數量之和。

6.一種病毒檢測裝置，其特征在于，包括：

第一反匯編模塊，用于對待檢測樣本進行反匯編，得到反匯編后的函數對應的控制流圖；所述控制流圖的節點由基本塊組成，節點之間的邊表示控制流向；不同控制流圖對應的標識不同；

第一編碼模塊，用于將每個函數對應的控制流圖編碼為一個三元組，以生成每個控制流圖對應的標識；其中所述三元組包括控制流圖的基本塊數、控制流圖的邊數和控制流圖中的調用數；

集合模塊，用于集合所有控制流圖對應的標識，生成所述待檢測樣本的特征；

特征匹配模塊，用于將所述待檢測樣本的特征與病毒特征庫中的特征進行匹配；

第一確定模塊，用于當所述待檢測樣本的特征與病毒特征庫中的特征匹配成功，則確定所述待檢測樣本為惡意樣本。

7.如權利要求6所述的裝置，其特征在于，還包括：

第二反匯編模塊，用于在所述特征匹配模塊將所述待檢測樣本的特征與病毒特征庫中的特征進行匹配之前，對已知惡意樣本進行反匯編，得到反匯編后的函數對應的控制流圖；

第二編碼模塊，用于分別對每個控制流圖進行編碼，生成每個控制流圖對應的標識；

存儲模塊，用于集合所有控制流圖對應的標識，生成所述已知惡意樣本的特征，并將所述已知惡意樣本的特征存儲在病毒特征庫中。