[发明专利]一种病毒检测方法及装置

权利要求书

1.一种病毒检测方法，其特征在于，包括：

对待检测样本进行反汇编，得到反汇编后的函数对应的控制流图；所述控制流图的节点由基本块组成，节点之间的边表示控制流向；不同控制流图对应的标识不同；

将每个函数对应的控制流图编码为一个三元组，以生成每个控制流图对应的标识；其中所述三元组包括控制流图的基本块数、控制流图的边数和控制流图中的调用数；

集合所有控制流图对应的标识，生成所述待检测样本的特征；

将所述待检测样本的特征与病毒特征库中的特征进行匹配；

当所述待检测样本的特征与病毒特征库中的特征匹配成功，则确定所述待检测样本为恶意样本。

2.如权利要求1所述的方法，其特征在于，所述将所述待检测样本的特征与病毒特征库中的特征进行匹配之前，还包括：

对已知恶意样本进行反汇编，得到反汇编后的函数对应的控制流图；

分别对每个控制流图进行编码，生成每个控制流图对应的标识；

集合所有控制流图对应的标识，生成所述已知恶意样本的特征，并将所述已知恶意样本的特征存储在病毒特征库中。

3.如权利要求1所述的方法，其特征在于，所述将所述待检测样本的特征与病毒特征库中的特征进行匹配之后，还包括：

当所述待检测样本的特征与所述病毒特征库中的所有特征都匹配失败，则确定所述待检测样本为正常样本。

4.如权利要求1-3任一项所述的方法，其特征在于，所述将所述待检测样本的特征与病毒特征库中的特征进行匹配，包括：

计算所述待检测样本的特征与病毒特征库中的其中一个特征的公共编码集合；

根据所述待检测样本的特征和所述公共编码集合，计算所述待检测样本的特征与病毒特征库中的所述特征的相似度；

判断所述相似度是否大于预设阈值；

当所述相似度大于预设阈值时，所述待检测样本的特征与病毒特征库中的所述特征匹配成功。

5.如权利要求4所述的方法，其特征在于，所述根据所述待检测样本的特征和所述公共编码集合，计算所述待检测样本的特征与病毒特征库中的所述特征的相似度，包括：

将所述公共编码集合中的标识数量除以所述待检测样本的特征对应的集合中的标识数量，得到相似度；或者

将所述公共编码集合中的标识数量除以目标标识数量，得到相似度；所述目标标识数量包括所述待检测样本的特征对应的集合中的标识数量与所述病毒特征库中的所述特征对应的集合中的标识数量之和。

6.一种病毒检测装置，其特征在于，包括：

第一反汇编模块，用于对待检测样本进行反汇编，得到反汇编后的函数对应的控制流图；所述控制流图的节点由基本块组成，节点之间的边表示控制流向；不同控制流图对应的标识不同；

第一编码模块，用于将每个函数对应的控制流图编码为一个三元组，以生成每个控制流图对应的标识；其中所述三元组包括控制流图的基本块数、控制流图的边数和控制流图中的调用数；

集合模块，用于集合所有控制流图对应的标识，生成所述待检测样本的特征；

特征匹配模块，用于将所述待检测样本的特征与病毒特征库中的特征进行匹配；

第一确定模块，用于当所述待检测样本的特征与病毒特征库中的特征匹配成功，则确定所述待检测样本为恶意样本。

7.如权利要求6所述的装置，其特征在于，还包括：

第二反汇编模块，用于在所述特征匹配模块将所述待检测样本的特征与病毒特征库中的特征进行匹配之前，对已知恶意样本进行反汇编，得到反汇编后的函数对应的控制流图；

第二编码模块，用于分别对每个控制流图进行编码，生成每个控制流图对应的标识；

存储模块，用于集合所有控制流图对应的标识，生成所述已知恶意样本的特征，并将所述已知恶意样本的特征存储在病毒特征库中。