[發明專利]一種惡意軟件檢測方法及裝置

有效

• 申請號: 202011089772.9
• 申請日: 2020-10-13
• 公開（公告）號: CN112347478B
• 公開（公告）日: 2021-08-24
• 發明（設計）人: 李海燕;龐瑞
• 申請（專利權）人: 北京天融信網絡安全技術有限公司;北京天融信科技有限公司;北京天融信軟件有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06T7/10
• 代理公司: 北京開陽星知識產權代理有限公司 11710
• 代理人: 安偉

1.一種惡意軟件檢測方法，其特征在于，包括：

將待檢測軟件轉換為第一圖像和第二圖像，所述第一圖像為行寬度和列寬度均為N的灰度圖像，所述第二圖像為行寬度和列寬度均M的灰度圖像，N＝a*M，N、M、a均為正整數；

將所述第一圖像分割平均為L個第三圖像，L＝a²；

基于深度學習預測模型分別預測待預測圖像集中各圖像為各個軟件類別的概率，所述待預測圖像集為所述第二圖像和所述L個第三圖像組成的集合；

判斷命中數量是否大于X，所述命中數量為所述待預測圖像集中命中目標軟件類別的圖像的數量，所述待預測圖像集中任一圖像命中的軟件類別為該待預測圖像集中任一圖像的概率中的最大值對應的軟件類別，所述目標軟件類別為被所述待預測圖像集中的圖像命中次數最多的軟件類別，X＝ceil{(L+1)/2},ceil{}為非整數時向上取整函數；

若否，則輸出第一指示信息，所述第一指示信息用于指示所述待檢測軟件為非惡意軟件；

在所述命中數量大于X的情況下，所述方法還包括：

獲取所述命中數量對應的第一閾值和第二閾值；

判斷命中圖像的命中概率是否滿足預設條件，所述命中圖像為所述待預測圖像集中命中所述目標軟件類別的圖像，所述命中概率為所述命中圖像的軟件類別為所述目標軟件類別的概率值，所述預設條件為所述命中圖像中的一個圖像的命中概率大于所述第二閾值且小于所述第一閾值，且所述命中圖像中其它圖像的命中概率均大于所述第一閾值，或者所述命中圖像的命中概率均大于所述第一閾值；

若否，則輸出所述第一指示信息；

在所述命中圖像的命中概率滿足所述預設條件的情況下，所述方法還包括：

獲取第一直方圖和第二直方圖，所述第一直方圖為所述第一圖像的直方圖，所述第二直方圖為所述目標軟件類別的樣本圖像的直方圖；

獲取所述第一直方圖和所述第二直方圖的相似度；

判斷所述相似度是否大于或等于相似度閾值；

若否，則輸出所述第一指示信息；

若是，則輸出第二指示信息和類別信息，所述第二指示信息用于指示所述待檢測軟件為惡意軟件，所述類別信息用于指示所述待檢測軟件的軟件類別為所述目標軟件類別。

2.根據權利要求1所述的方法，其特征在于，所述獲取所述命中數量對應的第一閾值和第二閾值包括：

對閾值獲取樣本集中的各軟件樣本進行圖像轉換，獲取第一圖像集合和第二圖像集合，所述第一圖像集合為所述閾值獲取樣本集中的各軟件樣本轉換得到的行寬度和列寬度均為N的灰度圖像組成的集合；所述第二圖像集合為所述閾值獲取樣本集中的各軟件樣本轉換得到的行寬度和列寬度均為M的灰度圖像組成的集合；

將所述第一圖像集合中的每一個圖像分割平均為L個圖像，獲取第三圖像集合；

基于所述深度學習預測模型預測閾值獲取圖像集中各圖像為各個軟件類別的概率，所述閾值獲取圖像集為所述第二圖像集合中的圖像和所述第三圖像集合中的圖像組成的集合；

根據預設誤報率，以預設值為間隔依次遍歷所述閾值獲取圖像集中各圖像為各個軟件類別的概率，獲取所述第一閾值和所述第二閾值。

3.根據權利要求1所述的方法，其特征在于，所述獲取所述第一直方圖和所述第二直方圖的相似度，包括：

對所述第一直方圖和所述第二直方圖進行歸一化處理；

根據所述第一直方圖和所述第二直方圖的歸一化結果以及如下公式獲取所述第一直方圖和所述第二直方圖的相似度：

其中，d為所述第一直方圖和所述第二直方圖的相似度。

4.根據權利要求1所述的方法，其特征在于，所述將待檢測軟件轉換為第一圖像和第二圖像，包括：

將所述待檢測軟件轉換為第四圖像，所述第四圖像為行寬度為N的灰度圖像；

將所述第四圖像轉換為所述第一圖像和所述第二圖像。