[发明专利]分类恶意软件检测和抑制

权利要求书

1.一种计算装置，包括：

处理器；以及

一个或多个逻辑元件，所述一个或多个逻辑元件包括分类引擎，所述分类引擎可操作用于：

对被分析对象进行反汇编；

创建所述被分析对象的汇编语言列表；

将所述汇编语言列表与已知对象进行比较，所述已知对象属于对象分类法中的族；以及

将所述被分析对象分类为属于所述对象分类法中的所述族。

2.如权利要求1所述的计算装置，其中，所述分类引擎进一步可操作用于从所述汇编语言列表中过滤已知干净函数。

3.如权利要求1所述的计算系统，其中，所述分类引擎进一步可操作用于：

在所述汇编语言列表中标识至少一个被列入黑名单的函数；以及

将所述被分析对象指定为被列入黑名单的对象。

4.如权利要求1所述的计算装置，其中，所述分类引擎进一步可操作用于创建所述汇编语言列表的调用踪迹。

5.如权利要求1所述的计算装置，其中，所述分类引擎进一步可操作用于标准化所述汇编语言列表的指令。

6.如权利要求5所述的计算装置，其中，标准化所述汇编语言列表包括：

保留操作代码或助记符；以及

对操作数进行分类。

7.如权利要求6所述的计算装置，其中，对操作数进行分类包括将至少一些操作数分类为寄存器、存储器地址和常量中的一者。

8.如权利要求5所述的计算装置，其中，所述汇编语言的指令包括至少一些指令的语义，并且其中，标准化所述汇编语言列表包括丢弃针对所述至少一些包括语义的指令的操作数。

9.如权利要求1至8中任一项所述的计算装置，其中，所述分类引擎进一步可操作用于对所述汇编语言列表执行N-gram分析。

10.如权利要求9所述的计算装置，其中，所述分类引擎进一步可操作用于生成所述N-gram分析中的每个N-gram的散列。

11.如权利要求1至8中任一项所述的计算装置，其中，所述分类引擎进一步可操作用于对所述被分析对象和所述已知对象执行相似性分析。

12.如权利要求11所述的计算装置，其中，所述相似性分析包括计算杰卡德指数。

13.如权利要求1至8中任一项所述的计算装置，其中，所述已知对象为恶意软件对象。

14.一种或多种计算机可读介质，其上存储有可执行指令，所述可执行指令用于指示处理器提供分类引擎，所述分类引擎可操作用于：

对被分析对象进行反汇编；

创建所述被分析对象的汇编语言列表；

将所述汇编语言列表与已知对象进行比较，所述已知对象属于对象分类法中的族；以及

将所述被分析对象分类为属于所述对象分类法中的所述族。

15.如权利要求14所述的一种或多种计算机可读介质，其中，所述分类引擎进一步可操作用于从所述汇编语言列表中过滤已知干净函数。

16.如权利要求14所述的一种或多种计算机可读介质，其中，所述分类引擎进一步可操作用于：

在所述汇编语言列表中标识至少一个被列入黑名单的函数；以及

将所述被分析对象指定为被列入黑名单的对象。

17.如权利要求14所述的一种或多种计算机可读介质，其中，所述分类引擎进一步可操作用于创建所述被分析对象的调用踪迹。

18.如权利要求14所述的一种或多种计算机可读介质，其中，所述分类引擎进一步可操作用于标准化所述汇编语言列表的指令。

19.如权利要求18所述的一种或多种计算机可读介质，其中，标准化所述汇编语言列表包括：

保留操作代码或助记符；以及

将至少一些操作数分类为寄存器、存储器地址和常量中的一者。

20.如权利要求18所述的一种或多种计算机可读介质，其中，所述汇编语言的指令包括至少一些指令的语义，并且其中，标准化所述汇编语言列表包括丢弃针对所述至少一些包括语义的指令的操作数。