[發明專利]基于軟件基因的惡意代碼檢測與識別方法及裝置

有效

• 申請號: 201711434692.0
• 申請日: 2017-12-26
• 公開（公告）號: CN108171059B
• 公開（公告）日: 2020-09-04
• 發明（設計）人: 單征;龐建民;劉福東;趙炳麟;梁光輝;陳奕杭;趙榮彩;張嘯川;桂海仁;韓金;孟曦;孫文杰;師煒;周鑫;李男;王婧
• 申請（專利權）人: 中國人民解放軍戰略支援部隊信息工程大學
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 鄭州大通專利商標代理有限公司 41111
• 代理人: 陳勇

1.基于軟件基因的惡意代碼檢測與識別方法，其特征在于，包括以下步驟：

步驟1：構建惡意代碼軟件基因庫；包括：

步驟1.1：對惡意代碼進行靜態分析，掃描惡意代碼二進制文件，獲取二進制文件的靜態信息，將目標代碼脫殼，并進行混淆分析；

步驟1.2：將惡意代碼二進制文件進行反匯編得到對應的匯編代碼，匯編代碼以基本塊作為基本單位；

步驟1.3：將基本塊的二元調用關系作為惡意代碼的軟件基因表示，惡意代碼的所有軟件基因表示構成惡意代碼的軟件基因組；

所述步驟1.3包括：

步驟1.3.1：掃描目標代碼的匯編代碼，按照基本塊劃分匯編代碼；

步驟1.3.2：對相同的基本塊進行合并，提取所有基本塊的二元調用關系；

步驟1.3.3：提取惡意代碼的所有軟件基因，利用散列函數對軟件基因進行編碼，將同一惡意代碼的所有軟件基因構成的集合作為惡意代碼軟件基因組；

步驟1.4：將軟件基因在惡意代碼中的調用關系作為軟件基因序列，利用軟件基因的調用關系在惡意代碼中所構成的調用圖構造惡意代碼的基因模式，經過模式提取得到軟件基因組和基因模式的映射，將惡意代碼的軟件基因轉換成基因模式的集合；

所述步驟1.4包括：

步驟1.4.1：提取惡意代碼的軟件基因，構成惡意代碼的軟件基因組；

步驟1.4.2：針對不同惡意代碼的軟件基因組，得出軟件基因組中軟件基因出現的規律；

步驟1.4.3：根據軟件基因出現的規律提取對應惡意代碼的基因模式：根據軟件基因的調用關系，通過編碼所表示的軟件基因還原惡意代碼的物理結構，所述物理結構由軟件基因表示的調用關系圖組成，圖中的節點為軟件基因組中經過編碼表示的惡意代碼的軟件基因，圖結構即為惡意代碼的基因模式；

步驟1.5：將基因模式的集合存入惡意代碼軟件基因庫；

步驟2：通過惡意代碼軟件基因庫對惡意代碼進行檢測與識別；

所述步驟2包括：

步驟2.1：提取待測目標代碼的軟件基因；

步驟2.2：根據提取的軟件基因，得出待測目標代碼的基因模式，與惡意代碼軟件基因庫中的基因模式進行匹配；

步驟2.3：根據匹配的結果，計算目標代碼的匹配率，對惡意性進行判定：設置一個閾值，當目標代碼的基因模式與惡意代碼軟件基因庫中基因模式的匹配率達到該閾值，則認為目標代碼存在惡意性。

2.基于權利要求1所述的基于軟件基因的惡意代碼檢測與識別方法的基于軟件基因的惡意代碼檢測與識別裝置，其特征在于，包括：

基因庫模塊，用于構建惡意代碼軟件基因庫；

所述基因庫模塊包括：

靜態分析模塊，用于對惡意代碼進行靜態分析，掃描惡意代碼二進制文件，獲取二進制文件的靜態信息，將目標代碼脫殼，并進行混淆分析；

反匯編模塊，用于將惡意代碼二進制文件進行反匯編得到對應的匯編代碼，匯編代碼以基本塊作為基本單位；

基因抽取模塊，用于將基本塊的二元調用關系作為惡意代碼的軟件基因表示，惡意代碼的所有軟件基因表示構成惡意代碼的軟件基因組；

模式提取模塊，用于將軟件基因在惡意代碼中的調用關系作為軟件基因序列，利用軟件基因的調用關系在惡意代碼中所構成的調用圖構造惡意代碼的基因模式，經過模式提取得到軟件基因組和基因模式的映射，將惡意代碼的軟件基因轉換成基因模式的集合；

基因庫構建模塊，用于將基因模式的集合存入惡意代碼軟件基因庫；

所述基因抽取模塊包括：

劃分模塊，用于掃描目標代碼的匯編代碼，按照基本塊劃分匯編代碼；

基因抽取子模塊，用于對相同的基本塊進行合并，提取所有基本塊的二元調用關系；

基因組模塊，用于提取惡意代碼的所有軟件基因，利用散列函數對軟件基因進行編碼，將同一惡意代碼的所有軟件基因構成的集合作為惡意代碼軟件基因組；

所述模式提取模塊包括：

第二基因提取模塊，用于提取惡意代碼的軟件基因，構成惡意代碼的軟件基因組；

分析模塊，用于針對不同惡意代碼的軟件基因組，得出軟件基因組中軟件基因出現的規律；

模式提取子模塊，用于根據軟件基因出現的規律提取對應惡意代碼的基因模式：根據軟件基因的調用關系，通過編碼所表示的軟件基因還原惡意代碼的物理結構，所述物理結構由軟件基因表示的調用關系圖組成，圖中的節點為軟件基因組中經過編碼表示的惡意代碼的軟件基因，圖結構即為惡意代碼的基因模式；

檢測識別模塊，用于通過惡意代碼軟件基因庫對惡意代碼進行檢測與識別；

所述檢測識別模塊包括：

第一基因提取模塊，用于提取待測目標代碼的軟件基因；

基因匹配模塊，用于根據提取的軟件基因，得出待測目標代碼的基因模式，與惡意代碼軟件基因庫中的基因模式進行匹配；

惡意性判定模塊，用于根據匹配的結果，計算目標代碼的匹配率，對惡意性進行判定：設置一個閾值，當目標代碼的基因模式與惡意代碼軟件基因庫中基因模式的匹配率達到該閾值，則認為目標代碼存在惡意性。