[發明專利]一種基于深度神經網絡的可視化惡意軟件檢測裝置及方法

有效

• 申請號: 202011626582.6
• 申請日: 2020-12-31
• 公開（公告）號: CN112329016B
• 公開（公告）日: 2021-03-23
• 發明（設計）人: 王海舟;翦逸飛;鄺鴻波;任成龍;馬梓城
• 申請（專利權）人: 四川大學
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F8/41;G06K9/62;G06N3/04;G06N3/08;G06T3/40;G06T5/40
• 代理公司: 成都禾創知家知識產權代理有限公司 51284
• 代理人: 劉凱

1.一種基于深度神經網絡的可視化惡意軟件檢測方法，其特征在于，包括以下步驟：

S1：數據收集與標記：收集可執行文件并對其檢測，標記出正常軟件，并將其整理為正常軟件數據集；

S2：可視化處理：將正常軟件數據集的可執行文件進行反匯編處理；將反匯編處理生成的對應的bytes文件根據數據分割閾值進行截取或填充，再將bytes文件中的每一個16進制字節數據轉化成10進制整數的形式，生成二進制文件矩陣；刪除bytes文件中的無意義字節，計算剩余樣本中各種字節的詞向量，生成字節詞向量矩陣；將反匯編處理生成的對應的asm文件按函數和跳轉指令進行分割，移除其中的固定參數，得到的匯編指令序列，計算中每個匯編指令的詞向量，生成匯編指令詞向量矩陣；將每個樣本對應的二進制文件矩陣、字節詞向量矩陣和匯編指令詞向量矩陣分別作為可視化的三個通道，拼接生成可視化RGB三通道彩色圖片樣本；

S3：對所有彩色圖片樣本進行自適應直方圖均衡化處理，然后進行深度神經網絡模型訓練，訓練過程中對輸出的模型性能評價指標結果進行超參數調優，訓練出正常軟件惡意軟件二分類的檢測模型，及惡意軟件家族九分類的檢測模型，實現惡意軟件的檢測及分類。

2.根據權利要求1所述的基于深度神經網絡的可視化惡意軟件檢測方法，其特征在于，所述步驟S1的具體過程如下：

S11：人工下載多個選定的應用程序安裝包，安裝后獲取其中包含的所有可執行文件，將其作為正常軟件數據集的候選；

S12：用在線查毒網站VirusTotal對所有可執行文件進行檢測，若超過90%的殺毒引擎判定某一個可執行文件是良性的，則標記該樣本為正常軟件；

S13：保存所有最終得到的正常軟件，將其整理為正常軟件數據集，將其他可執行文件認定為惡意軟件并進行移除。

3.根據權利要求1所述的基于深度神經網絡的可視化惡意軟件檢測方法，其特征在于，所述步驟S2的具體過程如下：

S21：使用IDAPro工具對正常軟件數據集內的可執行文件進行反匯編分析，分析完成后執行預先編寫好的IDAPython腳本，生成對應的asm文件與bytes文件；

S22：將每個軟件樣本均可視為一串的字節序列，設置數據分割閾值為具體數值mKB；

S23：對于大于等于數據分割閾值mKB的bytes文件，截取前mKB數據，對于小于數據分割閾值mKB的bytes文件，采取填充0x00的方法使得其大小變為mKB；將每個16進制字節數據轉化成10進制整數的形式，其值域為[0, 255]，再將其重塑成256×256的二維矩陣，得到二進制文件矩陣；

S24：刪除每個bytes文件中連續5個及以上重復的用于填充或分隔的無意義字節；計算樣本中256種字節的詞向量，將詞向量的維度設為256，并從0x00到0xFF按升序進行排列；若某種字節不存在則填充一個256維的0向量，使得每個樣本轉換為256×256的矩陣；進行矩陣的標準化，進而將矩陣的元素轉化為[0, 255]之間的整數，得到字節詞向量矩陣；

S25：依照自然語言處理技術中文字分割的方式，將每個asm文件按函數分割為多個“句子”，再將每個函數按跳轉指令分割為多個“短語”，把匯編指令的固定參數移除，僅保留匯編指令序列，將每個匯編指令視為一個“單詞”，統計匯編指令的種類，計算每個匯編指令的256維詞向量；若某種指令不存在則填充一個256維的0向量，再在尾部追加22個256維的0向量，使得每個樣本轉換為256×256的矩陣；進行矩陣的標準化，進而將矩陣的元素轉化為[0, 255]之間的整數，得到匯編指令詞向量矩陣；

S26：將每個樣本對應的二進制文件矩陣作為可視化第一通道，字節詞向量矩陣作為可視化第二通道，匯編指令詞向量矩陣作為可視化第三通道，拼接為256×256×3的可視化RGB三通道彩色圖片樣本。