[發明專利]一種惡意程序的檢測方法、裝置

有效

• 申請號: 201711037144.4
• 申請日: 2017-10-30
• 公開（公告）號: CN109726554B
• 公開（公告）日: 2021-05-18
• 發明（設計）人: 高坤;邰靖宇;劉宇豪;潘宣辰;馬志遠
• 申請（專利權）人: 武漢安天信息技術有限責任公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京匯澤知識產權代理有限公司 11228
• 代理人: 程殿軍;張瑾

1.一種惡意程序的檢測方法，其特征在于，包括：

獲取待檢測程序預設位置的至少一個字符串；

按預定義規則對所述字符串進行隨機性計算，生成待檢測程序的隨機值；所述按預定義規則對所述字符串進行隨機性計算的方法包括：N-Gram算法；其中，N-Gram算法包括下述步驟：

對所述字符串進行分詞，得到所述字符串對應的所有N個字符分詞；所述N為正整數；

在預設的特征數組中匹配字符串的所有N個字符分詞出現的頻次，得到字符串對應的頻次數組，所述頻次數組包括所述字符串的所有N個字符分詞分別對應的頻次；

計算所述頻次數組的平均值，使用所述頻次數組的平均值對常數e求指數，得到字符串對應的隨機值；

當待檢測程序的隨機值大于預設閾值時，判斷待檢測程序為惡意程序；

所述預設閾值的方法包括：預定義兩個字符串集合，包括非隨機字符串集合、惡意隨機字符串集合，按照預定義規則分別對所述兩個字符串集合中的所有字符串進行隨機性計算，其中，非隨機字符串集合中的最小隨機值為第一隨機值、惡意隨機字符串集合中的最大隨機值為第二隨機值；當第一隨機值小于第二隨機值時所述閾值為：第二隨機值；或者，第一隨機值與第二隨機值的平均值；預設閾值的方法還包括：還預定義一正常隨機字符串集合，按照所述預定義規則對該字符串集合中的所有字符串進行隨機性計算，其中最大隨機值為第三隨機值，當第三隨機值大于第一隨機值且小于第二隨機值時，所述閾值為第三隨機值；

當判斷待檢測程序為惡意程序時，將獲取的待檢測程序預設位置的至少一個字符串加入到惡意隨機字符串集合。

2.如權利要求1所述的方法，其特征在于，所述獲取待檢測程序預設位置的至少一個字符串的方法包括：在所述待檢測程序的包名、簽名、程序名稱、版本號、文件名稱、文件內容中的至少一種中提取字符串。

3.如權利要求1所述的方法，其特征在于，獲取待檢測程序預設位置的至少一個字符串的方法包括：以換行符為標識，一行字符為一個字符串。

4.如權利要求1所述的方法，其特征在于，所述字符為英文、數字、符號中的至少一種或者它們的混合。

5.一種惡意程序的檢測裝置，其特征在于，包括：獲取模塊，用于獲取待檢測程序預設位置的至少一個字符串；

隨機值計算模塊，用于按預定義規則對所述字符串進行隨機性計算，生成待檢測程序的隨機值；所述隨機值計算模塊和閾值計算模塊按預定義規則對所述字符串進行隨機性計算的方法包括：N-Gram算法；其中，N-Gram算法包括下述步驟：

對所述字符串進行分詞，得到所述字符串對應的所有N個字符分詞；所述N為正整數；

在預設的特征數組中匹配字符串的所有N個字符分詞出現的頻次，得到字符串對應的頻次數組，所述頻次數組包括所述字符串的所有N個字符分詞分別對應的頻次；

計算所述頻次數組的平均值，使用所述頻次數組的平均值對常數e求指數，得到字符串對應的隨機值；

比較判斷模塊，用于當待檢測程序的隨機值大于預設閾值時，判斷待檢測程序為惡意程序；

所述裝置還包括閾值計算模塊，用于預定義兩個字符串集合，包括非隨機字符串集合、惡意隨機字符串集合，按照預定義規則分別對所述兩個字符串集合中的所有字符串進行隨機性計算，其中，非隨機字符串集合中的最小隨機值為第一隨機值、惡意隨機字符串集合中的最大隨機值為第二隨機值；當第一隨機值小于第二隨機值時所述閾值為：第二隨機值；或者，第一隨機值與第二隨機值的平均值；所述閾值計算模塊，還用于預定義一正常隨機字符串集合，按照所述預定義規則對該字符串集合中的所有字符串進行隨機性計算，其中最大隨機值為第三隨機值；所述閾值為：第三隨機值；

當比較判斷模塊判斷待檢測程序為惡意程序時，將獲取模塊獲取的待檢測程序預設位置的至少一個字符串加入到閾值計算模塊的惡意隨機字符串集合。

6.如權利要求5所述的裝置，其特征在于，所述獲取模塊獲取待檢測程序預設位置的至少一個字符串的方法包括：在所述待檢測程序的包名、簽名、程序名稱、版本號、文件名稱、文件內容中的至少一種中提取字符串。