[發明專利]一種基于圖像特征描述子的惡意樣本同源檢測方法

在審

• 申請號: 201710835366.4
• 申請日: 2017-09-15
• 公開（公告）號: CN107657175A
• 公開（公告）日: 2018-02-02
• 發明（設計）人: 趙小林;薛靜鋒;李旭輝;王勇;張漪墁
• 申請（專利權）人: 北京理工大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/46;G06K9/62
• 代理公司: 北京理工大學專利中心11120
• 代理人: 代麗,仇蕾安

1.一種基于圖像特征描述子的惡意樣本同源檢測方法，其特征在于，包括以下步驟：

步驟1，采用B2M算法將樣本集中的各二進制的惡意文件轉換為矩陣；

步驟2，將各矩陣分別看做是一幅圖片，采用圖像特征提取方法定位各圖片的所有特征點；

步驟3，在特征點的鄰域中進行特征描述子提取；

步驟4，將樣本集中屬于同一個家族的惡意文件的特征描述子的集合作為該家族的特征描述庫；

步驟5，采用步驟1～步驟3的方式提取待檢測惡意文件的特征描述子，將待檢測惡意文件的特征描述子分別與各家族特征描述庫中的所有特征描述子進行相似度計算，計算得到的相似度大于或等于設定閾值的，認為待檢測惡意文件的特征描述子與該特征描述子匹配；各家族特征描述庫中，與待檢測惡意文件的特征描述子匹配數最多的家族即為待檢測惡意文件的所屬家族，完成惡意樣本同源性檢測。

2.如權利要求1所述的基于圖像特征描述子的惡意樣本同源檢測方法，其特征在于，所述步驟1中，矩陣的列總數為惡意文件中PE文件段的長度。

3.如權利要求1所述的基于圖像特征描述子的惡意樣本同源檢測方法，其特征在于，所述步驟2中，采用SIFT算法、SURF算法或FAST算法實現圖片特征點的定位。

4.如權利要求1所述的基于圖像特征描述子的惡意樣本同源檢測方法，其特征在于，所述步驟2中，對SIFT算法進行改進，采用改進后的SIFT算法實現圖片特征點的定位，具體定位方法包括如下子步驟：

步驟2.1，針對各圖片，使用SIFT算法中的構建算法，構建每組6層共3組高斯金字塔；

步驟2.2，針對步驟2.1中的高斯金字塔，使用SIFT算法中的構建算法，構建每組5層共3組高斯差分金字塔；

步驟2.3，針對步驟2.2中的高斯差分金字塔，掃描高斯差分金字塔中的每個點，保留以該點為中心，3×3×3鄰域內的極大值或極小值點，組成極值點集合；

步驟2.4，針對步驟2.3中的極值點集合，保留集合中灰度值與3×3×3鄰域內點灰度值差大于閾值T的點，完成特征點的定位，其中T≥0。

5.如權利要求1所述的基于圖像特征描述子的惡意樣本同源檢測方法，其特征在于，所述步驟3中的特征點的鄰域為以該特征點為中心的N×N區域，其中，N＝5～15；采用如下子步驟進行特征描述子提取：

步驟3.1，針對步驟2中定位得出的各特征點，按固定順序采集以該特征點為中心的N×N鄰域范圍內的像素點灰度值，組成該特征點的鄰域灰度值有序集合(G₁，G₂，G₃，……)；

步驟3.2，針對步驟3.1得到的的每個特征點的鄰域灰度值有序集合，將集合中的灰度值G₁與灰度值G₂比較，若灰度值G₁大于灰度值G₂，則C₁＝1，否則C₁＝0；將集合中的灰度值G₁與灰度值G₃比較，若灰度值G₁大于灰度值G₃，則C₂＝1，否則C₂＝0，依次類推，直到鄰域灰度值有序集合中的所有灰度值兩兩比較完畢，獲得長度為的二進制序列，該二進制序列即為該特征點的特征描述子。

6.如權利要求5所述的基于圖像特征描述子的惡意樣本同源檢測方法，其特征在于，所述步驟3.1中，對特征點的N×N鄰域進行0/1采樣權重分配，即：

特征點所在行L_n中，以特征點為中心的連續N個點的采樣權重值為1；

特征點所在行的上一行L_n-1與下一行L_n+1，以特征點所在列為中心的連續N-2個點的采樣權重值為1；

特征點所在行的上兩行L_n-2與下兩行L_n+2，以特征點所在列為中心的連續N-4個點的采樣權重值為1；

其余點的采樣權重值為0；

按固定順序采集N×N鄰域范圍內采樣權重值為1的像素點灰度值，組成該特征點的鄰域灰度值有序集合。