[发明专利]基于opcode模糊分类的恶意代码检测方法及系统

说明书

技术领域

本发明涉及网络安全技术领域，特别涉及一种基于opcode模糊分类的恶意代码检测方法及系统。

背景技术

传统基于opcode进行恶意代码的检测方法基本都是进行精确检测，一般方式为提取恶意代码中具有共性的opcode序列作为特征，检测符合特征的恶意代码。而现今的反病毒是一个对抗的过程。众所周知，完成同样的功能opcode指令并不唯一，有些功能存在几个甚至十几个完成同样功能的指令。传统方法提取精确的opcode指令序列，一旦其中某个功能指令被其他指令所替代，则无法检出，因此很难对抗这种指令的变换。

发明内容

本发明提出了一种基于opcode模糊分类的恶意代码检测方法及系统，本发明通过对opcode指令进行模糊分类，使用模糊变换后的指令序列进行匹配，解决了现有技术中opcode指令变化而无法检出的问题。

本发明提出一种基于opcode模糊分类的恶意代码检测方法，包括：

建立恶意代码模糊特征库；

获取待检测代码；

提取精确opcode指令序列；

根据opcode模糊分类规则集，将精确opcode指令替换为模糊指令，组成模糊指令序列；所述opcode模糊分类规则集的规则为，根据opcode指令，将完成相同功能或具有特定功能的指令归为同一类别；

将所述模糊指令序列与恶意代码模糊特征库中的特征匹配，若匹配成功，则待检测代码为恶意，并向用户告警；否则未发现威胁。

所述的方法中，所述恶意代码模糊特征库由已知恶意代码的模糊指令序列组成。

本发明还提出一种基于opcode模糊分类的恶意代码检测系统，包括：

特征库模块，用于建立恶意代码模糊特征库；

获取模块，用于获取待检测代码；

指令提取模块，用于提取精确opcode指令序列；

模糊转换模块，用于根据opcode模糊分类规则集，将精确opcode指令替换为模糊指令，组成模糊指令序列；所述opcode模糊分类规则集的规则为，根据opcode指令，将完成相同功能或具有特定功能的指令归为同一类别；

匹配模块，用于将所述模糊指令序列与恶意代码模糊特征库中的特征匹配，若匹配成功，则待检测代码为恶意，并向用户告警；否则未发现威胁。

所述的系统中，所述恶意代码模糊特征库由已知恶意代码的模糊指令序列组成。

通过本发明的方法，能够对精确的opcode指令进行模糊分类，将具有相同功能的opcode归为一类，或者将具有特定功能的指令归为一类，根据opcode模糊分类规则集，将转换后的模糊指令作为检测依据进行检测，能够有效检测通过对相同功能opcode指令的变化来逃避检测的恶意代码，同时由于将相同功能的指令归为一类，缩减了特征集规模的大小，提高特征质量，提高检测效率。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明基于opcode模糊分类的恶意代码启发式检测方法实施例流程图；

图2为本发明基于opcode模糊分类的恶意代码启发式检测系统实施例结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明。

本发明提出了一种基于opcode模糊分类的恶意代码启发式检测方法及系统，本发明通过对opcode指令进行模糊分类，使用模糊变换后的指令序列进行匹配，解决了现有技术中opcode指令变化而无法检出的问题。

本发明提出一种基于opcode模糊分类的恶意代码检测方法，属于启发式检测，如图1所示，包括：

S101：建立恶意代码模糊特征库；

S102：获取待检测代码；

S103：提取精确opcode指令序列；本领域技术人员可知，能够通过反汇编等方式来提取到精确opcode指令序列；