[發明專利]惡意程序分類方法和裝置

在審

• 申請號: 202211003558.6
• 申請日: 2022-08-19
• 公開（公告）號: CN115329333A
• 公開（公告）日: 2022-11-11
• 發明（設計）人: 黎星宇
• 申請（專利權）人: 中國工商銀行股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62;G06N3/04
• 代理公司: 北京三友知識產權代理有限公司 11127
• 代理人: 田勇;任默聞

1.一種惡意程序分類方法，其特征在于，所述分類方法包括：

將惡意程序樣本集中的各個惡意程序樣本轉換為API函數調用序列文檔；

并將所述API函數調用序列文檔轉換成第一數量個空間稠密實量；

將所述第一數量個空間稠密實量輸入至循環神經網絡模型中提取雙向動態行為特征向量；

將所述雙向動態行為特征輸入至卷積神經網絡模型中進行分類，得到所述惡意程序樣本的分類結果。

2.根據權利要求1所述的方法，其特征在于，將惡意程序樣本集中的各個惡意程序樣本轉換為API函數調用序列文檔的步驟包括：

將所述各個惡意程序樣本分別通過沙箱環境進行運行分析，針對所述各個惡意程序樣本生成對應的樣本報告，對樣本報告分別解析，以得到所述API函數調用序列文檔。

3.根據權利要求2所述的方法，其特征在于，所述樣本報告包括：不同時刻調用的API函數類型和API函數名稱。

4.根據權利要求1所述的方法，其特征在于，所述第一數量與所述惡意程序樣本集對應的API函數調用序列文檔中調用的API函數的數量相關。

5.根據權利要求1所述的方法，其特征在于，所述雙向動態行為特征向量用于表征API調用時序特征和調用頻率特征。

6.根據權利要求1所述的方法，其特征在于，所述循環神經網絡模型為雙向長短期記憶網絡(LSTM)模型。

7.一種惡意程序分類裝置，其特征在于，所述裝置包括：

第一轉換單元，其將惡意程序樣本集中的各個惡意程序樣本轉換為API函數調用序列文檔；

第二轉換單元，其將所述API函數調用序列文檔轉換成第一數量個空間稠密實量；

提取單元，其將所述第一數量個空間稠密實量輸入至循環神經網絡模型中提取雙向動態行為特征向量；

分類單元，其將所述雙向動態行為特征輸入至卷積神經網絡模型中進行分類，得到所述惡意程序樣本的分類結果。

8.一種計算機設備，包括存儲器、處理器及存儲在存儲器上并可在處理器上運行的計算機程序，其特征在于，所述處理器執行所述計算機程序時實現權利要求1至6任意一項所述方法。

9.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有執行權利要求1至6任意一項所述方法的計算機程序。

10.一種計算機程序產品，其特征在于，所述計算機程序產品包括計算機程序，所述計算機程序被處理器執行時實現權利要求1至6任意一項所述方法。