[發明專利]一種抗干擾的環境敏感型惡意軟件行為相似性評測方法和裝置

有效

• 申請號: 201711420183.2
• 申請日: 2017-12-25
• 公開（公告）號: CN108197473B
• 公開（公告）日: 2021-12-28
• 發明（設計）人: 賈曉啟;黃慶佳;臺建瑋;周廣哲;杜海超;唐靜;周夢婷;解亞敏
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 邱曉鋒

1.一種抗干擾的環境敏感型惡意軟件行為相似性評測方法，其特征在于，包括以下步驟：

1)將可疑軟件放置于多種不同的執行環境中，記錄可疑軟件的行為序列；

2)對可疑軟件的行為序列進行規范化處理；

3)對可疑軟件的行為序列進行去干擾處理；

4)計算并比較去干擾處理后的行為序列的相似性；

5)基于行為序列的相似性，判斷可疑軟件是否為環境敏感型惡意軟件；

其中，步驟4)基于余弦算法實現多行為序列相似性算法，利用所述多行為序列相似性算法計算并比較消除干擾行為后的行為序列相似性；

其中，步驟5)基于行為序列的相似性分析定義相似分數，若相似分數大于閾值，則認為可疑軟件不是環境敏感型惡意軟件；若相似分數小于閾值，則判斷可疑軟件是環境敏感型惡意軟件；

令X＝{x1,x2,x3,…xn}，Y＝{y1,y2,y3,…ym}，其中x1～xn，y1～ym每一項都代表一個行為序列，令L(X)表示集合X的元素個數，L(Y)表示集合Y的元素個數，S＝X∩Y表示集合X和集合Y的交集，則所述相似分數的計算公式為：

其中，

其中，β是一個可配置的參數；x是集合X中的一個元素，y是集合Y中的一個元素；A是一個由集合X轉換而來的向量集合，并且Ai∈A，同理B是一個由集合Y轉換而來的向量集合，并且Bi∈B。

2.如權利要求1所述的方法，其特征在于，所述多種不同的執行環境包括沙盒環境、虛擬機環境、Hypervisor環境和調試環境，可疑軟件在不同的執行環境中執行，記錄其行為序列。

3.如權利要求1所述的方法，其特征在于，通過建立行為序列模型進行所述規范化處理，所述行為序列模型將行為序列作為一個四元組，所述四元組包括對象的類型、對象的名稱、操作的名稱以及相應的屬性。

4.如權利要求3所述的方法，其特征在于，所述規范化處理包括：將BP統一的轉換為小寫形式或統一轉換為大寫形式；將SID設置為一個固定的值；執行去重操作。

5.如權利要求3所述的方法，其特征在于，通過所述去干擾處理消除干擾行為，包括：首先從頭開始掃描行為序列中的每一條行為或操作，如果對于定義的四元組每一項都相同，那么記錄此時的位置；然后繼續執行掃描工作直到所有共同的行為序列都被找到為止；最后，根據記錄的位置刪除這些相同的行為序列。

6.一種采用權利要求1至5中任一權利要求所述方法的抗干擾的環境敏感型惡意軟件行為相似性評測裝置，其特征在于，包括：

行為序列記錄模塊，用于在多種不同的執行環境中執行可疑軟件，并記錄可疑軟件的行為序列；

規范化處理模塊，用于對可疑軟件的行為序列進行規范化處理；

去干擾處理模塊，用于對可疑軟件的行為序列進行去干擾處理；

相似性計算模塊，用于計算并比較去干擾處理后的行為序列的相似性；

惡意軟件判定模塊，用于基于行為序列的相似性，判斷可疑軟件是否為環境敏感型惡意軟件。

7.一種服務器，其特征在于，包括存儲器和處理器，所述存儲器存儲計算機程序，所述計算機程序被配置為由所述處理器執行，所述計算機程序包括用于執行權利要求1至5中任一權利要求所述方法中各步驟的指令。