[發明專利]一種病毒檢測方法、裝置和介質

有效

• 申請號: 202010463067.4
• 申請日: 2020-05-27
• 公開（公告）號: CN111371812B
• 公開（公告）日: 2020-09-01
• 發明（設計）人: 劉敏;齊文杰;魏向前;程虎;沈江波;彭寧;曹有理;譚昱
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N20/00
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 熊永強;賈允

1.一種病毒檢測方法，其特征在于，所述方法包括：

獲取包含父子文件的可疑文件，所述可疑文件中的父文件為白文件，所述可疑文件中的子文件的文件屬性為灰或者未知；

確定所述父文件的第一基礎靜態特征以及所述子文件的第二基礎靜態特征；

基于樣本文件集、所述第一基礎靜態特征和所述第二基礎靜態特征生成所述可疑文件對應的第一分布特征；

獲取所述樣本文件集中每個樣本文件對應的對象標識，得到對象標識集；

獲取所述可疑文件對應的目標對象標識，以及基于所述目標對象標識和所述對象標識集確定所述可疑文件對應的第二分布特征；

以所述第一基礎靜態特征、所述第二基礎靜態特征、所述第一分布特征和所述第二分布特征為輸入，利用白利用病毒的病毒檢測模型輸出所述可疑文件的病毒檢測結果；

其中，所述病毒檢測模型是基于所述樣本文件集中已標注的樣本文件對應的特征進行機器學習訓練確定的，所述樣本文件對應的特征包括所述樣本文件中父子文件的基礎靜態特征、所述樣本文件對應的第一分布特征和所述樣本文件對應的第二分布特征。

2.根據權利要求1所述的方法，其特征在于，所述病毒檢測模型的訓練過程包括如下步驟：

獲取所述樣本文件集，以及將所述樣本文件集劃分為正負樣本文件集和可疑樣本文件集，所述正負樣本文件集中的正樣本文件攜帶的病毒標注指示白利用病毒；

基于所述正負樣本文件集對應的特征，使用預設機器學習模型進行病毒檢測訓練，在訓練中調整所述預設機器學習模型的模型參數至所述預設機器學習模型輸出的病毒檢測結果與輸入的樣本文件所攜帶的病毒標注相匹配；

將調整后的模型參數所對應的預設機器學習模型作為候選模型；

以所述可疑樣本文件集對應的特征為輸入，利用所述候選模型輸出每個可疑樣本文件的病毒檢測結果；

基于所述可疑樣本文件的病毒檢測結果和預設判定規則，為所述可疑樣本文件添加病毒標注；

基于攜帶有病毒標注的可疑樣本文件，使用所述候選模型進行病毒檢測訓練，在訓練中調整所述候選模型的模型參數至所述候選模型輸出的病毒檢測結果與輸入的樣本文件所攜帶的病毒標注相匹配；

將調整后的模型參數所對應的候選模型作為所述病毒檢測模型。

3.根據權利要求2所述的方法，其特征在于，所述基于所述可疑樣本文件的病毒檢測結果和預設判定規則，為所述可疑樣本文件添加病毒標注，包括：

當所述可疑樣本文件的病毒檢測結果指示所述可疑樣本文件是白利用病毒時，基于所述預設判定規則獲取所述可疑樣本文件對應的分布特征；

當所述可疑樣本文件對應的分布特征符合預設要求時，為所述可疑樣本文件添加負樣本文件攜帶的病毒標注。

4.根據權利要求2所述的方法，其特征在于，所述基于所述可疑樣本文件的病毒檢測結果和預設判定規則，為所述可疑樣本文件添加病毒標注，包括：

當所述可疑樣本文件的病毒檢測結果指示所述可疑樣本文件是白利用病毒時，基于所述預設判定規則獲取所述可疑樣本文件中父文件的數字簽名和子文件的數字簽名；

當所述父文件的數字簽名和所述子文件的數字簽名相同時，為所述可疑樣本文件添加負樣本文件攜帶的病毒標注。

5.根據權利要求2所述的方法，其特征在于，所述基于所述可疑樣本文件的病毒檢測結果和預設判定規則，為所述可疑樣本文件添加病毒標注，包括：

當所述可疑樣本文件的病毒檢測結果指示所述可疑文件為白利用病毒時，將所述可疑樣本文件中的子文件加入可疑子文件集；

基于所述可疑子文件集中每個可疑子文件對應的靜態特征和動態特征，對所述可疑子文件集進行聚類處理得到至少一個可疑子文件子集；

分別從每個所述可疑子文件子集中選擇一個可疑子文件作為參考子文件；

基于所述預設判定規則確定所述參考子文件的病毒屬性，基于所述參考子文件的病毒屬性確定所述參考子文件對應的可疑樣本文件的參考病毒標注，以及將所述參考病毒標注作為所述參考子文件所在可疑子文件子集中每個可疑子文件對應的可疑樣本文件的病毒標注；

分別利用每個所述可疑子文件子集中參考子文件對應的參考病毒標注標注同一可疑子文件子集中每個可疑子文件對應的可疑樣本文件。