[發明專利]一種基于APK字符串特征的變種惡意軟件檢測方法

在審

• 申請號: 201710352331.5
• 申請日: 2017-05-18
• 公開（公告）號: CN107273746A
• 公開（公告）日: 2017-10-20
• 發明（設計）人: 凌捷;王文沖;楊育斌;柳毅;覃曉寧;謝銳
• 申請（專利權）人: 廣東工業大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 廣東廣信君達律師事務所44329
• 代理人: 楊曉松

1.一種基于APK字符串特征的變種惡意軟件檢測方法，其特征在于：

步驟1、對APK中所使用的字符串進行提取；

步驟2、將所述提取到的字符串轉化為特征向量，從而生成模糊哈希值；

步驟3、利用k-means算法對所述模糊哈希值進行聚類，并以哈密頓距離作為度量彼此之間的相似度，對病毒庫中樣本進行簡化，實現對變種惡意軟件的檢測。

2.根據權利要求1所述的基于APK字符串特征的變種惡意軟件檢測方法，其特征在于：在所述步驟2中，將提取出的字符串，利用哈希函數djb2()來計算各個字符串的哈希值，再將特征向量中該哈希值所對應的位置數值加1，從而得到該APK的字符串特征向量。

3.根據權利要求1所述的基于APK字符串特征的變種惡意軟件檢測方法，其特征在于：在所述步驟3中，首先計算病毒庫中樣本的模糊哈希值FH，利用k-means算法對模糊哈希值進行聚類，并將聚類后各類別的質點來代表該類別中其他所有點；當需要對未知的惡意軟件進行檢測時，只需計算該惡意軟件的模糊哈希值跟各類別的質點之間的距離，當距離小于某一閾值時，則說明該惡意軟件屬于某一列別病毒的變種；

利用模糊哈希值以及k-means算法來生成能用于檢測變種的病毒特征庫，算法如下：

輸入：變種家族數k，模糊哈希值集合{FH₁，FH₂，…，FH_N}，N為樣本數量；

輸出：病毒樣本特征庫V；

1)隨機選取k個聚類質點為μ₁，μ₂，…，μ_k；

2)重復以下過程直到收斂；

對每個樣本i，計算其所屬家族類；

c_i：＝argmin_jD(FH_i-μ_j)；

對每一個家族類j，重新計算質心；

μj:=Σi=1m1{ci=j}FHiΣi=1m1{ci=j};]]>

3)將所有質點μ添加到特征庫V中。

4.根據權利要求1所述的基于APK字符串特征的變種惡意軟件檢測方法，其特征在于：在所述步驟3中，對于每一個新樣本進行檢測時，只需計算其模糊哈希值與各變種家族的質心之間的距離，當距離小于該變種家族中的最大距離時，則表示其該新樣本屬于該家族；在添加新樣本后再重新計算該變種家族的質心μ；其算法實現如下：