[發明專利]一種同源惡意代碼的細粒度分類識別方法

有效

• 申請號: 202010440355.8
• 申請日: 2020-05-22
• 公開（公告）號: CN111444506B
• 公開（公告）日: 2023-08-18
• 發明（設計）人: 曾慶凱;李佳杰
• 申請（專利權）人: 南京大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F8/41
• 代理公司: 南京鐘山專利代理有限公司 32252
• 代理人: 陳月菊

1.一種同源惡意代碼的細粒度分類識別方法，其特征在于，所述細粒度分類識別方法包括以下步驟：

S1，獲取系統調用序列以及指令序列；

S2，對系統調用序列以及指令序列進行分析，得到數據流系統調用序列，包括：

篩選出系統調用序列中每一個系統調用的系統調用名稱以及關鍵參數，以關鍵參數為源頭對指令序列進行反向依賴分析，獲取關鍵參數的數據賦值指令；再利用賦值關系分析，將關鍵參數的數據賦值指令轉化為賦值表達式；最后將系統調用名稱以及系統調用關鍵參數賦值表達式組合得到數據流系統調用，進一步得到數據流系統調用序列；

S3，通過提取語義特征序列操作提取已有同源惡意代碼庫的惡意語義特征，所述提取語義特征序列操作包括：

對數據流系統調用序列進行排序預處理，將不存在依賴關系的數據流系統調用按照系統調用名稱的字典序進行排序，再利用數據流系統調用序列對齊算法求解得到兩個數據流系統調用序列的最大公共子序列；

S4，將獲得的惡意語義特征組織成惡意語義特征庫；

S5，獲得待測代碼的數據流系統調用序列，利用數據流系統調用序列對齊算法將之與惡意語義特征庫中的惡意語義特征進行對比，對待測代碼進行細粒度分類識別并且得出最終識別結果：是否為同源惡意代碼和具體的惡意代碼類別；

步驟S5中，所述對待測代碼進行細粒度分類識別并且得出最終識別結果的過程包括以下步驟：

S111，獲取待測代碼的系統調用序列以及指令序列；

S112，獲取待測代碼的數據流系統調用序列；

S113，獲取惡意語義特征庫內第一個特征，并且將其賦值給臨時特征節點tempFeature；

S114，判斷tempFeature是否為Null，若是，則輸出分類識別結果：待測代碼為良性代碼，結束流程，否則轉到步驟S115；

S115，將待測代碼的數據流系統調用序列與tempFeature作為同源惡意代碼的細粒度分類識別方法參數傳給提取語義特征序列操作，得到待測代碼的數據流系統調用序列與tempFeature的最大公共子序列；

S116，最大公共子序列的長度除以tempFeature的長度，得到相似比例；

S117，將相似比例與閾值進行對比；

S118，根據對比結果判斷分類識別的結果是否為惡意，若是，輸出分類結果：待測代碼為某一類惡意代碼，惡意代碼類別為tempFeature.MalwareFamilyId，結束流程，否則轉入步驟S119；

S119，讀取惡意語義特征庫內下一個特征，賦值給臨時特征節點tempFeature，轉到步驟S114。

2.根據權利要求1所述的同源惡意代碼的細粒度分類識別方法，其特征在于，步驟S1中，所述獲取系統調用序列以及指令序列是指，利用Intel的動態插樁工具Pin來動態執行待分析的代碼，執行過程中記錄下代碼的系統調用序列以及對應的指令序列，包括以下步驟：

S21，設置并且編譯Pin動態執行器；

S22，設置Pin動態執行時的命令行；

S23，動態執行代碼；

S24，記錄代碼的系統調用序列以及指令序列。

3.根據權利要求2所述的同源惡意代碼的細粒度分類識別方法，其特征在于，步驟S24中，所述記錄代碼的系統調用序列以及指令序列的過程包括以下步驟：

S31，判斷代碼的動態執行過程是否結束，若已經結束轉步驟S36，否則，轉入步驟S32；

S32，獲取當前執行的指令；

S33，判斷當前指令是否為系統調用指令，若是轉入步驟S34，否則，轉入步驟S35；

S34，記錄系統調用名稱、系統調用參數列表以及“代碼名稱-執行指令.txt”文件所記錄的指令序列，轉入步驟S31；

S35，將當前指令記錄到“代碼名稱-執行指令.txt”文件中，轉入步驟S31；

S36，結束流程。