[發明專利]一種惡意程序檢測方法、裝置、電子設備及存儲介質

在審

• 申請號: 202011096025.8
• 申請日: 2020-10-14
• 公開（公告）號: CN114372265A
• 公開（公告）日: 2022-04-19
• 發明（設計）人: 張坤;趙述芳;陳磊
• 申請（專利權）人: 北京中科網威信息技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06N3/04;G06N3/08
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 程琛

1.一種惡意程序檢測方法，其特征在于，包括：

獲取檢測文件，對檢測文件類型進行識別；

在所述檢測文件為源代碼文件時，將所述檢測文件轉換為詞法單元序列；

將所述詞法單元序列輸入第一預設惡意程序檢測模型進行分類檢測，得到所述詞法單元序列的檢測結果；

其中，所述第一預設惡意程序檢測模型是根據帶程序類別標簽的樣本詞法單元序列訓練得到的。

2.根據權利要求1所述惡意程序檢測方法，其特征在于，在所述獲取檢測文件，對檢測文件類型進行識別的步驟之后，所述方法還包括：

在所述檢測文件為可執行文件時，將所述檢測文件轉換為像素矩陣；

將所述像素矩陣輸入第二預設惡意程序檢測模型進行分類檢測，得到所述像素矩陣的檢測結果；

其中，所述第二預設惡意程序檢測模型是根據帶程序類別標簽的樣本像素矩陣訓練得到的。

3.根據權利要求1所述惡意程序檢測方法，其特征在于，在所述檢測文件為源代碼文件時，將所述檢測文件轉換為詞法單元序列的步驟，具體包括：

根據預設詞法分析規則對所述源代碼文件進行詞法分析，得到源代碼詞法單元序號集；

對所述源代碼詞法單元序號集進行長度規格化處理，得到詞法單元序列。

4.根據權利要求3所述惡意程序檢測方法，其特征在于，對所述源代碼詞法單元序號集進行長度規格化處理，得到詞法單元序列的步驟，具體為：

分析所述源代碼詞法單元序號集的長度；

在所述源代碼詞法單元序號集超過預設長度時，在所述源代碼詞法單元序號集截取出預設長度的詞法單元序號，以實現規格化處理；

在所述源代碼詞法單元序號集短于預設長度時，以詞法單元結束符進行補充，以實現規格化處理。

5.根據權利要求2所述惡意程序檢測方法，其特征在于，在所述檢測文件為可執行文件時，將所述檢測文件轉換為像素矩陣的步驟，具體包括：

根據所述檢測文件內存信息確定矩陣尺寸信息；

將所述檢測文件的字節的歸一化浮點值，按照所述矩陣尺寸信息生成字節矩陣；

通過全浮點雙線性插值算法將所述字節矩陣縮放為預設尺寸，得到像素矩陣；

其中，所述像素矩陣的每個像素點為取值[0.0,1.0)的單精度浮點數。

6.根據權利要求1所述惡意程序檢測方法，其特征在于，所述第一預設惡意程序檢測模型為：LSTM模型或Google Transformer模型。

7.根據權利要求2所述惡意程序檢測方法，其特征在于，所述第二預設惡意程序檢測模型為：ResNet模型或MobileNet模型。

8.一種惡意程序檢測裝置，其特征在于，包括：

獲取模塊，用于獲取檢測文件，對檢測文件類型進行識別；

預處理模塊，用于在所述檢測文件為源代碼文件時，將所述檢測文件轉換為詞法單元序列；

檢測模塊，用于將所述詞法單元序列輸入第一預設惡意程序檢測模型進行分類檢測，得到所述詞法單元序列的檢測結果；

其中，所述第一預設惡意程序檢測模型是根據帶程序類別標簽的樣本詞法單元序列訓練得到的。

9.一種電子設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述程序時實現如權利要求1至7任一項所述惡意程序檢測方法的步驟。

10.一種非暫態計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，該計算機程序被處理器執行時實現如權利要求1至7任一項所述惡意程序檢測方法的步驟。