[發明專利]一種基于深度學習的惡意代碼同源判定系統及其判定方法

在審

• 申請號: 201810564657.9
• 申請日: 2018-06-04
• 公開（公告）號: CN109002711A
• 公開（公告）日: 2018-12-14
• 發明（設計）人: 吳越;蔣永康;鄒福泰
• 申請（專利權）人: 上海交通大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06N3/04
• 代理公司: 上海旭誠知識產權代理有限公司 31220
• 代理人: 鄭立

1.一種基于深度學習的惡意代碼同源判定系統，其特征在于，包括服務器端和瀏覽器端，所述服務器端包括同源數據庫模塊、自動化脫殼模塊、可視化模塊、深度學習模塊和報告生成模塊；

所述同源數據庫模塊包括同源數據庫，被配置成自動從網絡空間收集惡意代碼，進行分析，提取惡意代碼同源信息，保存所述自動化脫殼模塊、所述可視化模塊、所述深度學習模塊的分析結果；

所述自動化脫殼模塊包括查殼子模塊和脫殼子模塊，所述自動化脫殼模塊被配置成對加殼的惡意代碼樣本進行自動化脫殼，重構可執行的無殼樣本，并更新所述同源數據庫；

所述可視化模塊被配置成對無殼惡意代碼樣本進行可視化處理，生成表征惡意代碼全局特征的灰度圖序列，并更新所述同源數據庫；

所述深度學習模塊包括提取抽象特征的卷積神經網絡和進行序列學習的門循環單元神經網絡，通過同源數據中的有監督值惡意代碼樣本進行訓練學習，得到成熟模型，將惡意代碼灰度圖序列輸入到所述成熟模型，得到惡意代碼的同源判定結果；

所述報告生成模塊被配置成結合所述同源數據庫中的信息和所述深度學習模塊的同源判定結果生成同源判定報告；

所述瀏覽器端被配置為面向用戶上傳惡意代碼可執行文件和呈現生成的所述同源判定報告。

2.一種基于深度學習的惡意代碼同源判定方法，其特征在于，應用于如權利要求1所述的基于深度學習的惡意代碼同源判定系統，包括以下步驟：

步驟S1：惡意代碼樣本進行所述自動化脫殼模塊得到無殼惡意代碼樣本；

步驟S2：所述無殼惡意代碼樣本進行所述同源數據庫模塊查詢、分析和存檔；

步驟S3：所述無殼惡意代碼樣本通過所述可視化模塊，得到表征惡意代碼全局特征的灰度圖序列；

步驟S4：使用有監督值的惡意代碼灰度圖序列訓練深度學習網絡；

步驟S5：輸入惡意代碼的灰度圖序列，使用訓練成熟的深度學習網絡進行同源判定；

步驟S6：根據判定結果生成同源判定報告。

3.如權利要求2所述的基于深度學習的惡意代碼同源判定方法，其特征在于，所述步驟S1包括以下步驟：

步驟S1-1：查殼，檢測惡意代碼樣本是否有加殼保護，通過什么類型的殼技術進行保護；

步驟S1-2：脫殼，加殼惡意代碼樣本進行自動化脫殼，重構出可執行的無殼惡意代碼樣本。

4.如權利要求2所述的基于深度學習的惡意代碼同源判定方法，其特征在于，所述步驟S2包括以下步驟：

步驟S2-1：無殼惡意代碼樣本計算md5散列值，作為全局基因信息，在同源數據庫中進行匹配；

步驟S2-2：若不存在，則進行同源信息提取，更新數據庫。

5.如權利要求2所述的基于深度學習的惡意代碼同源判定方法，其特征在于，所述步驟S3包括以下步驟：

步驟S3-1：若為不可執行文件，則將其utf-8編碼，然后按字節分割，轉化為對應灰度值，最后組合成大小為256*256的灰度圖序列；

步驟S3-2：若為可執行文件，則將其section各字段按字節分割，轉化為對應灰度值，最后組合成大小為256*256的灰度圖序列。

6.如權利要求2所述的基于深度學習的惡意代碼同源判定方法，其特征在于，所述步驟S4包括以下步驟：

步驟S4-1：所述同源數據庫模塊通過自動收集惡意代碼樣本，提取同源信息，采集大量的帶有同源標簽的惡意代碼樣本；

步驟S4-2：將所述同源數據庫中帶有監督值的惡意代碼進行可視化，對深度學習網絡進行周期性的更新訓練，得到成熟的深度學習網絡。