[發明專利]一種惡意程序識別方法、裝置和存儲介質

在審

• 申請號: 201810730064.5
• 申請日: 2018-07-05
• 公開（公告）號: CN108985052A
• 公開（公告）日: 2018-12-11
• 發明（設計）人: 崔寶江;張索星;楊俊;劉博寒
• 申請（專利權）人: 北京郵電大學
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56
• 代理公司: 北京超凡志成知識產權代理事務所(普通合伙) 11371
• 代理人: 梁斌

1.一種惡意程序識別方法，其特征在于，所述方法包括：

記錄待測程序在非沙箱環境中運行過程所產生的匯編指令流，以生成匯編指令流記錄結果；

監控所述待測程序在沙箱環境中的行為，以獲取監控結果；

對所述匯編指令流記錄結果以及所述監控結果進行多維特征提取；所述多維特征提取至少包括以下兩種特征：提取所述監控結果中的系統調用功能特征、所述匯編指令流記錄結果中的操作數常量特征和操作碼頻度特征；

根據提取的多維特征，識別所述待測程序是否為惡意程序。

2.根據權利要求1所述的惡意程序識別方法，其特征在于，記錄待測程序在非沙箱環境中運行過程所產生的匯編指令流，以生成匯編指令流記錄結果，包括：

將所述待測程序的匯編指令流轉換為基本塊索引庫，其中，所述基本塊索引庫中包括帶有索引號的基本塊；

按照所述基本塊執行的先后次序，依次記錄所述基本塊的索引號，形成程序流程日志。

3.根據權利要求2所述的惡意程序識別方法，其特征在于，所述將所述待測程序的匯編指令流轉換為基本塊索引庫，包括：

根據所述待測程序的匯編指令流中的跳轉指令將所述待測程序的匯編指令流拆分成不同的基本塊；

所述基本塊中包括所述待測程序匯編指令流所屬的模塊、函數和匯編指令序列。

4.根據權利要求1所述的惡意程序識別方法，其特征在于，監控所述待測程序在沙箱環境中的行為，以獲取監控結果，包括：

監控所述待測程序的文件行為、網絡行為、進程線程行為和注冊表行為的一種或者多種。

5.根據權利要求4所述的惡意程序識別方法，其特征在于，監控所述待測程序的文件行為，包括：文件行為重定向；

監控所述待測程序的注冊表行為，包括：注冊表操作回滾。

6.根據權利要求1所述的惡意程序識別方法，其特征在于，對所述匯編指令流記錄結果以及所述監控結果進行多維特征提取，包括：

提取所述監控結果中的系統調用功能特征、所述匯編指令流記錄結果中的操作數常量特征和操作碼頻度特征。

7.根據權利要求6所述的惡意程序識別方法，其特征在于，根據提取的多維特征，識別所述待測程序是否為惡意程序，包括：

利用所述系統調用功能特征構建系統調用功能特征詞分類器；

利用所述操作數常量特征構建操作數常量特征詞分類器；

利用所述操作碼頻度特征構建操作碼頻度特征詞分類器；

根據構建的所述系統調用功能特征詞分類器、所述操作數常量特征詞分類器和所述操作碼頻度特征詞分類器，以及所述提取的多維特征，識別所述待測程序是否為惡意程序。

8.根據權利要求7所述的惡意程序識別方法，其特征在于，識別所述待測程序是否為惡意程序進一步包括：

將所述提取的多維特征分別輸入所述系統調用功能特征詞分類器、所述操作數常量特征詞分類器和所述操作碼頻度特征詞分類器，得到各個分類器的處理結果；

將所述各個分類器的處理結果輸入多模型融合分類器進行線性加權運算，得到惡意程序識別結果。

9.一種惡意程序識別裝置，其特征在于，所述裝置包括：

第一處理模塊，用于記錄待測程序在非沙箱環境中運行過程所產生的匯編指令流，以生成匯編指令流記錄結果；

第二處理模塊，用于監控所述待測程序在沙箱環境中的行為，以獲取監控結果；

多維特征提取模塊，用于對所述匯編指令流記錄結果以及所述監控結果進行多維特征提取；所述多維特征提取至少包括以下兩種特征：提取所述監控結果中的系統調用功能特征、所述匯編指令流記錄結果中的操作數常量特征和操作碼頻度特征；

惡意程序識別模塊，用于根據所述多維特征提取模塊提取的多維特征，識別所述待測程序是否為惡意程序。

10.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質中存儲有計算機可執行指令，所述計算機可執行指令上存儲有計算機程序，該計算機程序被處理器運行時執行如權利要求1-8任一所述的方法。