[發(fā)明專利]惡意樣本的識(shí)別方法、裝置、計(jì)算設(shè)備以及介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202011199620.4
• 申請(qǐng)日: 2020-10-30
• 公開（公告）號(hào): CN112231696A
• 公開（公告）日: 2021-01-15
• 發(fā)明（設(shè)計(jì)）人: 白敏;劉爽;白皓文;白子潘;汪列軍
• 申請(qǐng)（專利權(quán)）人: 奇安信科技集團(tuán)股份有限公司;網(wǎng)神信息技術(shù)（北京）股份有限公司
• 主分類號(hào): G06F21/53
• 分類號(hào): G06F21/53;G06F21/56;G06K9/62
• 代理公司: 中科專利商標(biāo)代理有限責(zé)任公司 11021
• 代理人: 王江選

1.一種惡意樣本的識(shí)別方法，包括：

獲取惡意文件；

運(yùn)行所述惡意文件，得到運(yùn)行結(jié)果；

對(duì)所述惡意文件進(jìn)行解析處理，得到所述惡意文件的屬性信息；

基于所述運(yùn)行結(jié)果和所述屬性信息，確定所述惡意樣本的特征數(shù)據(jù)；以及

基于所述特征數(shù)據(jù)，識(shí)別所述惡意樣本所屬的風(fēng)險(xiǎn)類別。

2.根據(jù)權(quán)利要求1所述的方法，其中，所述基于所述運(yùn)行結(jié)果和所述屬性信息，確定所述惡意樣本的特征數(shù)據(jù)包括：

對(duì)所述運(yùn)行結(jié)果和所述屬性信息中的至少一個(gè)進(jìn)行預(yù)處理，以得到處理后的運(yùn)行結(jié)果和處理后的屬性信息中的至少一個(gè)；

對(duì)處理后的運(yùn)行結(jié)果和處理后的屬性信息中的至少一個(gè)進(jìn)行詞頻和詞長統(tǒng)計(jì)處理，得到數(shù)值特征；

對(duì)處理后的運(yùn)行結(jié)果和處理后的屬性信息中的至少一個(gè)進(jìn)行關(guān)鍵信息提取，得到關(guān)鍵特征；以及

基于所述數(shù)值特征和所述關(guān)鍵特征，得到所述惡意樣本的特征數(shù)據(jù)。

3.根據(jù)權(quán)利要求1所述的方法，其中：

所述運(yùn)行所述惡意文件，得到運(yùn)行結(jié)果包括：利用動(dòng)態(tài)沙箱技術(shù)運(yùn)行所述惡意文件，得到運(yùn)行結(jié)果；和/或，

所述對(duì)所述惡意文件進(jìn)行解析處理，得到所述惡意文件的屬性信息包括：利用靜態(tài)文件格式解析技術(shù)對(duì)所述惡意文件進(jìn)行解析處理，得到所述惡意文件的屬性信息。

4.根據(jù)權(quán)利要求2所述的方法，其中，所述屬性信息包括至少一個(gè)子屬性信息，所述運(yùn)行結(jié)果包括至少一個(gè)子結(jié)果；所述對(duì)所述運(yùn)行結(jié)果和所述屬性信息中的至少一個(gè)進(jìn)行預(yù)處理包括以下至少一項(xiàng)：

刪除所述至少一個(gè)子屬性信息中區(qū)分度低于第一預(yù)設(shè)區(qū)分度的子屬性信息，其中，所述子屬性信息的區(qū)分度用于表征惡意樣本所屬的風(fēng)險(xiǎn)類別；

刪除所述至少一個(gè)子結(jié)果中區(qū)分度低于第二預(yù)設(shè)區(qū)分度的子結(jié)果，其中，所述子結(jié)果的區(qū)分度用于表征惡意樣本所屬的風(fēng)險(xiǎn)類別；以及

對(duì)數(shù)據(jù)長度超過預(yù)設(shè)數(shù)據(jù)長度的子結(jié)果或子屬性信息進(jìn)行切割處理。

5.根據(jù)權(quán)利要求1或3所述的方法，其中，所述運(yùn)行結(jié)果包括以下至少一項(xiàng)：

沙箱API序列信息、沙箱API調(diào)用次數(shù)信息、沙箱網(wǎng)絡(luò)行為信息、沙箱釋放文件信息、沙箱注冊(cè)表操作信息。

6.根據(jù)權(quán)利要求1或3所述的方法，其中，所述屬性信息包括以下至少一項(xiàng)：

PE文件節(jié)表信息、PE文件資源信息、PE文件導(dǎo)入導(dǎo)出表信息、PE文件PDB信息、Office文件VB宏代碼信息、Office文件Sheet宏代碼信息、Office文件版本信息、PDF文件版本信息、PDF文件腳本信息、郵件正文內(nèi)容信息、郵件附件信息。

7.根據(jù)權(quán)利要求2所述的方法，其中：

所述數(shù)值特征包括數(shù)組大小、字典元素個(gè)數(shù)、字符串長度中的至少一個(gè)；和/或，

所述關(guān)鍵特征包括文件子流最大值、文件子流最小值、PE子流數(shù)量、PDF子流數(shù)量、PNG圖片數(shù)量、JPG圖片數(shù)量、OLE對(duì)象數(shù)量、API調(diào)用次數(shù)、注冊(cè)表操作次數(shù)、釋放文件數(shù)量中的至少一個(gè)。

8.一種惡意樣本的識(shí)別裝置，包括：

獲取模塊，用于獲取惡意文件；

運(yùn)行模塊，用于運(yùn)行所述惡意文件，得到運(yùn)行結(jié)果；

解析模塊，用于對(duì)所述惡意文件進(jìn)行解析處理，得到所述惡意文件的屬性信息；

確定模塊，用于基于所述運(yùn)行結(jié)果和所述屬性信息，確定所述惡意樣本的特征數(shù)據(jù)；以及

識(shí)別模塊，用于基于所述特征數(shù)據(jù)，識(shí)別所述惡意樣本所屬的風(fēng)險(xiǎn)類別。

9.一種計(jì)算設(shè)備，包括：

一個(gè)或多個(gè)處理器；

存儲(chǔ)裝置，用于存儲(chǔ)一個(gè)或多個(gè)程序，

其中，當(dāng)所述一個(gè)或多個(gè)程序被所述一個(gè)或多個(gè)處理器執(zhí)行時(shí)，使得所述一個(gè)或多個(gè)處理器執(zhí)行根據(jù)權(quán)利要求1～7中任一項(xiàng)所述的方法。

10.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，其上存儲(chǔ)有可執(zhí)行指令，該指令被處理器執(zhí)行時(shí)使處理器執(zhí)行根據(jù)權(quán)利要求1～7中任一項(xiàng)所述的方法。

11.一種計(jì)算機(jī)程序產(chǎn)品，所述計(jì)算機(jī)程序產(chǎn)品包括計(jì)算機(jī)可執(zhí)行指令，所述指令在被執(zhí)行時(shí)用于實(shí)現(xiàn)根據(jù)權(quán)利要求1～7中任一項(xiàng)所述的方法。