[發(fā)明專利]惡意代碼可視化及變種檢測方法、系統(tǒng)、設(shè)備及存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 202010600752.7
• 申請日: 2020-06-28
• 公開（公告）號: CN111797399A
• 公開（公告）日: 2020-10-20
• 發(fā)明（設(shè)計）人: 余健;馮健文;黃偉
• 申請（專利權(quán)）人: 韓山師范學(xué)院
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62;G06F17/14
• 代理公司: 深圳市世紀恒程知識產(chǎn)權(quán)代理事務(wù)所 44287
• 代理人: 晏波

1.一種惡意代碼可視化及變種檢測方法，其特征在于，所述惡意代碼可視化及變種檢測方法包括：

獲取待檢測的惡意代碼，并基于下采樣處理將所述惡意代碼轉(zhuǎn)換為一維時間序列信號；

對所述一維時間序列信號進行小波或小波包多層分解，以將所述一維時間序列信號分解成低頻分量集與高頻分量集；

根據(jù)所述低頻分量集與高頻分量集得到所述惡意代碼對應(yīng)的分解能量譜，并將所述惡意代碼對應(yīng)的分解能量譜進行可視化；

利用預(yù)設(shè)惡意代碼分類模型，根據(jù)所述惡意代碼對應(yīng)的分解能量譜對所述惡意代碼進行變種檢測，以確定所述惡意代碼的所屬信息。

2.如權(quán)利要求1所述的惡意代碼可視化及變種檢測方法，其特征在于，所述低頻分量集包括第一低頻分量集與第二低頻分量集，所述高頻分量集包括第一高頻分量集與第二高頻分量集，

所述對所述一維時間序列信號進行小波或小波包多層分解，以將所述一維時間序列信號分解成低頻分量集與高頻分量集的步驟包括：

判斷所述一維時間序列信號是否符合預(yù)設(shè)信號標準；

若是，則對所述一維時間序列信號進行三層小波包分解，以將所述一維時間序列信號分解成包含多個第一低頻分量的第一低頻分量集與包含多個第一高頻分量的第一高頻分量集；

若否，則對所述一維時間序列信號進行三層小波分解，以將所述一維時間序列信號分解成包含多個第二低頻分量的第二低頻分量集與包含單個第二高頻分量的第二高頻分量集。

3.如權(quán)利要求2所述的惡意代碼可視化及變種檢測方法，其特征在于，所述惡意代碼對應(yīng)的分解能量譜包括小波包分解能量譜，

所述若是，則對所述一維時間序列信號進行三層小波包分解，以將所述一維時間序列信號分解成包含多個第一低頻分量的第一低頻分量集與包含多個第一高頻分量的第一高頻分量集的步驟之后，還包括：

將多個所述第一低頻分量與多個所述第一高頻分量按照任意組合順序堆疊成所述惡意代碼對應(yīng)的小波包分解能量譜；

將所述惡意代碼對應(yīng)的小波包分解能量譜與所述惡意代碼進行關(guān)聯(lián)顯示。

4.如權(quán)利要求3所述的惡意代碼可視化及變種檢測方法，其特征在于，所述利用預(yù)設(shè)惡意代碼分類模型，根據(jù)所述惡意代碼對應(yīng)的分解能量譜對所述惡意代碼進行變種檢測，以確定所述惡意代碼的所屬信息的步驟包括：

將所述惡意代碼對應(yīng)的小波包分解能量譜，或從所述惡意代碼對應(yīng)的小波包分解能量譜中提取出的時間序列特征輸入所述惡意代碼分類模型；

使用所述惡意代碼分類模型判斷所述惡意代碼是否屬于已有惡意代碼的變種；

若是，則獲取并輸出所述已有惡意代碼的家族信息，以將所述已有惡意代碼的家族信息作為所述惡意代碼的所屬信息；

若否，則將所述惡意代碼列為新型惡意代碼家族，并將新型惡意代碼家族信息作為所述惡意代碼的所屬信息。

5.如權(quán)利要求1所述的惡意代碼可視化及變種檢測方法，其特征在于，所述獲取待檢測的惡意代碼，并基于下采樣處理將所述惡意代碼轉(zhuǎn)換為一維時間序列信號的步驟包括：

獲取所述惡意代碼的二進制可執(zhí)行文件，按照每預(yù)設(shè)二進制位數(shù)對應(yīng)一無符號整數(shù)的轉(zhuǎn)換規(guī)則，將所述二進制可執(zhí)行文件轉(zhuǎn)換為一維整數(shù)數(shù)組；

將所述一維整數(shù)數(shù)組按照預(yù)設(shè)采樣規(guī)則進行下采樣，得到并輸出所述一維時間序列信號。

6.如權(quán)利要求1-5中任一項所述的惡意代碼可視化及變種檢測方法，其特征在于，所述惡意代碼分類模型包括第一惡意代碼分類模型，

所述獲取待檢測的惡意代碼，并基于下采樣處理將所述惡意代碼轉(zhuǎn)換為一維時間序列信號的步驟之前，還包括：

獲取預(yù)設(shè)惡意代碼文件數(shù)據(jù)庫中的惡意代碼樣本，對所述惡意代碼樣本進行小波或小波包多層分解，以得到所述惡意代碼樣本對應(yīng)的樣本能量譜數(shù)據(jù)庫；

將所述樣本能量譜數(shù)據(jù)庫中的數(shù)據(jù)分為第一訓(xùn)練集與第一測試集，并基于預(yù)設(shè)第一分類算法，對所述第一訓(xùn)練集與第一測試集進行交叉驗證，以得到第一惡意代碼分類模型。