[發明專利]計算機病毒變種的分析方法、裝置和計算機設備

在審

• 申請號: 202010074842.7
• 申請日: 2020-01-22
• 公開（公告）號: CN111310179A
• 公開（公告）日: 2020-06-19
• 發明（設計）人: 譚昱;彭寧;沈江波;曹有理;齊文杰;劉敏;程虎
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 廣州華進聯合專利商標代理有限公司 44224
• 代理人: 王寧

1.一種計算機病毒變種的分析方法，包括：

獲取新增樣本，識別與所述新增樣本存在關聯關系的已知樣本；

對所述新增樣本的行為日志進行過濾，生成新增樣本專屬特征集合；所述新增樣本專屬特征集合包括行為類別；

獲取與所述已知樣本對應的變種樣本專屬特征集合；

根據所述行為類別將所述新增樣本專屬特征集合與所述變種樣本專屬特征集合進行匹配；

當匹配得到的相似度超過閾值時，將所述新增樣本標記為所述已知樣本的變種樣本。

2.根據權利要求1所述的方法，其特征在于，所述識別與所述新增樣本存在關聯關系的已知樣本包括：

獲取病毒家族中已知樣本的行為序列；

利用所述新增樣本的行為日志生成對應的行為序列；

通過將所述新增樣本的行為序列與所述病毒家族中已知樣本的行為序列進行比對，識別與所述新增樣本存在關聯關系的已知樣本。

3.根據權利要求1所述的方法，其特征在于，所述對所述新增樣本的行為日志進行過濾包括：

清洗所述新增樣本的行為日志中的公共行為信息與通用行為信息；

根據行為類別對清洗后的行為日志進行分類，生成新增行為特征集合；

利用白樣本集合對所述新增行為特征集合進行篩選，得到新增樣本專屬特征集合。

4.根據權利要求1所述的方法，其特征在于，所述方法還包括：

對病毒家族的已知樣本進行分類，得到對應的變種樣本集合；

獲取所述變種樣本集合中的變種樣本的行為日志；

根據所述變種樣本的行為日志生成變種樣本專屬特征集合；

利用變種樣本專屬特征集合創建變種特征庫。

5.根據權利要求1所述的方法，其特征在于，所述根據所述行為類別將所述新增樣本專屬特征集合與所述變種樣本專屬特征集合進行匹配包括：

利用所述行為類別對所述新增樣本的行為參數與所述變種樣本的行為參數進行相似度匹配；

根據與所述行為類別對應的相似度以及權重，計算所述新增樣本與所述變種樣本之間的相似度。

6.根據權利要求5所述的方法，其特征在于，所述利用所述新增樣本的行為參數與所述已知樣本的行為參數進行相似度匹配包括：

獲取所述行為類別對應的行為參數的數量；

根據所述行為參數的數量選擇與所述行為類型對應的相似度匹配方式；

通過所述相似度匹配方式對所述新增樣本的行為參數與所述已知樣本的行為參數進行相似度匹配。

7.根據權利要求1至6中任一項所述的方法，其特征在于，在所述將所述新增樣本標記為所述已知樣本的變種樣本之后，還包括：

根據匹配結果識別所述新增樣本與已有變種樣本之間的變更內容；

基于所述變更內容生成所述新增樣本對應的病毒變種的預警信息。

8.一種計算機病毒變種的分析裝置，其特征在于，所述裝置包括：

關聯識別模塊，用于獲取新增樣本，識別與所述新增樣本存在關聯關系的已知樣本；

過濾模塊，用于對所述新增樣本的行為日志進行過濾，生成新增樣本專屬特征集合；所述新增樣本專屬特征集合包括行為類別；

匹配模塊，用于獲取與所述已知樣本對應的變種樣本專屬特征集合；根據所述行為類別將所述新增樣本專屬特征集合與所述變種樣本專屬特征集合進行匹配；當匹配得到的相似度超過閾值時，將所述新增樣本標記為所述已知樣本的變種樣本。

9.根據權利要求8所述的裝置，其特征在于，所述裝置還包括：變種特征庫創建模塊，用于對病毒家族的已知樣本進行分類，得到對應的變種樣本集合；獲取所述變種樣本集合中的變種樣本的行為日志；根據所述變種樣本的行為日志生成變種樣本專屬特征集合；利用變種樣本專屬特征集合創建變種特征庫。