[發明專利]病毒檢測方法、裝置、計算機可讀存儲介質和計算機設備

有效

• 申請號: 201810186009.4
• 申請日: 2018-03-07
• 公開（公告）號: CN108334781B
• 公開（公告）日: 2020-04-14
• 發明（設計）人: 羅元海
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 廣州華進聯合專利商標代理有限公司 44224
• 代理人: 何平;鄧云鵬

1.一種病毒檢測方法，包括：

獲取待檢測應用包；

提取所述待檢測應用包的靜態特征，所述靜態特征是根據所述待檢測應用包的代碼文件得到的操作碼序列；包括：對待檢測應用包進行反匯編得到匯編文件后，按照順序從所述匯編文件中提取出操作碼，得到由多個操作碼組成的操作碼序列，所述操作碼為所述匯編文件中的代碼；

提取所述待檢測應用包的動態特征，所述動態特征是在所述待檢測應用包上模擬用戶行為產生的行為特征；

將所述靜態特征與所述動態特征輸入到訓練好的病毒檢測模型中，輸出所述待檢測應用包的病毒標簽，所述病毒標簽包括所述待檢測應用包所攜帶的病毒種類。

2.根據權利要求1所述的方法，其特征在于，所述提取所述待檢測應用包的動態特征，包括：

獲取所述待檢測應用包在模擬器中運行產生的行為日志，所述行為日志中包含有運行過程中調用的應用程序編程接口API標識；

從每條所述行為日志中提取API標識，形成行為日志序列；

將所述行為日志序列轉換成行為向量，作為所述動態特征。

3.根據權利要求2所述的方法，其特征在于，所述行為日志中還包含與所述API標識對應的API調用時間；所述將所述行為日志序列轉換成行為向量，包括：

按照所述API調用時間的先后順序對所述行為日志序列中的API標識進行排序后轉換為所述行為向量。

4.根據權利要求2所述的方法，其特征在于，獲取每個API標識對應的行為日志的數量為API調用次數；所述將所述行為日志序列轉換成行為向量，包括：

按照所述API調用次數對所述行為日志序列中的API標識進行排序后轉換為所述行為向量。

5.根據權利要求1所述的方法，其特征在于，所述訓練好的病毒檢測模型包括訓練好的第一神經網絡和訓練好的第二神經網絡；

所述將所述靜態特征與所述動態特征輸入到訓練好的病毒檢測模型中，輸出所述待檢測應用包的病毒標簽，包括：

將所述靜態特征輸入所述訓練好的第一神經網絡，得到所述訓練好的第一神經網絡對所述靜態特征進行提取得到的靜態向量；

將所述動態特征輸入所述訓練好的第二神經網絡，得到所述訓練好的第二神經網絡對所述動態特征進行提取得到的動態向量；

將所述靜態向量與所述動態向量進行拼接后輸入到全連接層進行分類，輸出所述待檢測應用包的病毒標簽。

6.根據權利要求5所述的方法，其特征在于，所述第一神經網絡為卷積神經網絡，所述第二神經網絡為遞歸神經網絡。

7.根據權利要求1所述的方法，其特征在于，所述病毒檢測模型的生成方式包括：

獲取多個帶病毒標簽的應用包樣本；

逐個提取所述多個應用包樣本的靜態特征和動態特征；

將每個所述應用包樣本對應的靜態特征樣本與動態特征樣本輸入到病毒檢測模型中進行訓練，得到所述訓練好的病毒檢測模型。

8.根據權利要求7所述的方法，其特征在于，所述將每個所述應用包樣本對應的靜態特征樣本與動態特征樣本輸入到病毒檢測模型中進行訓練，得到所述訓練好的病毒檢測模型，包括：

獲取所述病毒檢測模型輸出的對每個所述應用包樣本的病毒預測標簽；

根據所述病毒預測標簽得到所述病毒檢測模型的預測準確率；

當所述病毒檢測模型的預測準確率達到預設閾值時，則得到訓練好的病毒檢測模型；

當所述病毒檢測模型的預測準確率未達到預設閾值時，則返回所述獲取多個帶病毒標簽的應用包樣本的步驟。