[發(fā)明專利]一種惡意軟件檢測方法及裝置

有效

• 申請?zhí)枺?/td>: 202211043847.9
• 申請日: 2022-08-30
• 公開（公告）號: CN115114627B
• 公開（公告）日: 2022-12-16
• 發(fā)明（設計）人: 周公延;陳杰;趙林林;薛鋒;童兆豐
• 申請（專利權）人: 北京微步在線科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京超凡宏宇專利代理事務所(特殊普通合伙) 11463
• 代理人: 趙興

1.一種惡意軟件檢測方法，其特征在于，所述方法包括：

采集惡意軟件在沙箱中運行時產生的行為數(shù)據(jù)，并基于所述行為數(shù)據(jù)構建訓練數(shù)據(jù)集；

通過隨機游走算法對所述訓練數(shù)據(jù)集進行擴充，得到擴充數(shù)據(jù)集；

基于所述擴充數(shù)據(jù)集，獲取向量化的API調用序列；

基于所述API調用序列，構建惡意軟件動態(tài)檢測模型；

基于所述惡意軟件動態(tài)檢測模型，對實時運行的待檢測軟件進行檢測，得到惡意軟件檢測結果；

其中，所述通過隨機游走算法對所述訓練數(shù)據(jù)集進行擴充，得到擴充數(shù)據(jù)集的步驟包括：

提取所述訓練數(shù)據(jù)集中行為數(shù)據(jù)的API調用函數(shù)名；

基于所述API調用函數(shù)名，記錄所述行為數(shù)據(jù)所在的多個線程；

在所述多個線程間調用隨機游走算法，得到游走數(shù)據(jù)；其中，隨機游走算法應用于軟件運行數(shù)據(jù)的不同線程；

基于所述游走數(shù)據(jù)對所述訓練數(shù)據(jù)集進行擴充，得到擴充數(shù)據(jù)集；

其中，所述多個線程的線程數(shù)量為M且M大于2，所述在所述多個線程間調用隨機游走算法，得到游走數(shù)據(jù)的步驟包括：

以1/（M-m）的概率選擇1個線程作為起點，此時m為0；

每以1/（M-m）的概率選擇選擇一個新線程便將m更新為m+1，直至進行M步無重復采樣后得到一個游走數(shù)據(jù)；

獲取所有不重復的游走數(shù)據(jù)；其中，游走數(shù)據(jù)的數(shù)量為M*（M-1）*（M-2）*……*2*1，即游走數(shù)據(jù)的數(shù)量為M！。

2.根據(jù)權利要求1所述的惡意軟件檢測方法，其特征在于，所述行為數(shù)據(jù)至少包括進程信息、線程信息以及API調用函數(shù)名。

3.根據(jù)權利要求1所述的惡意軟件檢測方法，其特征在于，所述基于所述擴充數(shù)據(jù)集，獲取向量化的API調用序列的步驟包括：

提取所述擴充數(shù)據(jù)集中的所有API調用函數(shù)名；

對所述API調用函數(shù)名進行編碼處理，得到API調用函數(shù)表；

基于所述API調用函數(shù)表進行向量化處理，得到向量化的API調用序列。

4.根據(jù)權利要求1所述的惡意軟件檢測方法，其特征在于，所述基于所述惡意軟件動態(tài)檢測模型，對實時運行的待檢測軟件進行檢測，得到惡意軟件檢測結果的步驟包括：

記錄實時運行的待檢測軟件的API調用行為；

基于所述惡意軟件動態(tài)檢測模型對所述API調用行為進行分析，得到惡意軟件檢測結果。

5.一種惡意軟件檢測裝置，其特征在于，所述惡意軟件檢測裝置包括：

構建單元，用于采集惡意軟件在沙箱中運行時產生的行為數(shù)據(jù)，并基于所述行為數(shù)據(jù)構建訓練數(shù)據(jù)集；

擴充單元，用于通過隨機游走算法對所述訓練數(shù)據(jù)集進行擴充，得到擴充數(shù)據(jù)集；

獲取單元，用于基于所述擴充數(shù)據(jù)集，獲取向量化的API調用序列；

建模單元，用于基于所述API調用序列，構建惡意軟件動態(tài)檢測模型；

檢測單元，用于基于所述惡意軟件動態(tài)檢測模型，對實時運行的待檢測軟件進行檢測，得到惡意軟件檢測結果；

其中，所述擴充單元包括：

第一提取子單元，用于提取所述訓練數(shù)據(jù)集中行為數(shù)據(jù)的API調用函數(shù)名；

記錄子單元，用于基于所述API調用函數(shù)名，記錄所述行為數(shù)據(jù)所在的多個線程；

調用子單元，用于在所述多個線程間調用隨機游走算法，得到游走數(shù)據(jù)；其中，隨機游走算法應用于軟件運行數(shù)據(jù)的不同線程；

擴充子單元，用于基于所述游走數(shù)據(jù)對所述訓練數(shù)據(jù)集進行擴充，得到擴充數(shù)據(jù)集；

其中，所述多個線程的線程數(shù)量為M且M大于2，所述調用子單元具體用于以1/（M-m）的概率選擇1個線程作為起點，此時m為0；每以1/（M-m）的概率選擇選擇一個新線程便將m更新為m+1，直至進行M步無重復采樣后得到一個游走數(shù)據(jù)；獲取所有不重復的游走數(shù)據(jù)；其中，游走數(shù)據(jù)的數(shù)量為M*（M-1）*（M-2）*……*2*1，即游走數(shù)據(jù)的數(shù)量為M！。

6.根據(jù)權利要求5所述的惡意軟件檢測裝置，其特征在于，所述行為數(shù)據(jù)至少包括進程信息、線程信息以及API調用函數(shù)名。