[发明专利]一种恶意代码家族判定方法及装置

权利要求书

1.一种恶意代码家族判定方法，其特征在于，包括以下步骤：

提取并合并各恶意代码家族的特征，生成恶意代码家族特征库；

提取待判断样本的各特征；

根据恶意代码家族特征库的结构，将提取的各特征生成该待判断样本的特征向量；

将该待判断样本的特征向量与预设的各恶意代码家族特征向量进行相似度计算，当相似度满足预设值时判断该待判断样本属于相应的恶意代码家族；

其中，将提取的各特征生成特征向量的方法包括：构建一个长度为N’的全0数组，其中N’＝N+b，N为恶意代码家族特征库中的特征数，b为恶意代码家族特征库中的特征类别数；根据恶意代码家族特征库中的所有特征遍历待判断样本中的各特征，若样本中存在相应的特征，则将数组的对应角标下的元素赋值为1，否则为0；根据恶意代码家族特征库中的所有特征类别对待判断样本的特征进行分类统计，并将数组的对应角标下的元素赋值为相应的特征数量；将得到的数组转化成一个N’维空间的特征向量。

2.如权利要求1所示的判定方法，其特征在于，将提取的各特征生成特征向量的方法包括：构建一个长度为N的全0数组，其中N为恶意代码家族特征库中的特征数；根据恶意代码家族特征库中的所有特征遍历待判断样本中的各特征，若样本中存在相应的特征，则将数组的对应角标下的元素赋值为1，否则为0；将得到的数组转化成一个N维空间的特征向量。

3.如权利要求1所示的判定方法，其特征在于，生成恶意代码家族特征库的方法还包括提取并合并各恶意代码家族的特征后，还对所提取的特征按照预定义规则进行分类。

4.一种恶意代码家族判定装置，包括恶意代码家族特征库模块、样本特征提取模块、特征向量生成模块、判断模块；

恶意代码家族特征库模块，用于提取并合并各恶意代码家族的特征，生成恶意代码家族特征库；

样本特征提取模块，用于提取待判断样本的各特征；

特征向量生成模块，用于根据恶意代码家族特征库的结构，将提取的各特征生成该待判断样本的特征向量；

判断模块，用于将该待判断样本的特征向量与预设的各恶意代码家族特征向量进行相似度计算，当相似度满足预设值时判断该待判断样本属于相应的恶意代码家族；

其中，将提取的各特征生成特征向量的方法包括：构建一个长度为N’的全0数组，其中N’＝N+b，N为恶意代码家族特征库中的特征数，b为恶意代码家族特征库中的特征类别数；根据恶意代码家族特征库中的所有特征遍历待判断样本中的各特征，若样本中存在相应的特征，则将数组的对应角标下的元素赋值为1，否则为0；根据恶意代码家族特征库中的所有特征类别对待判断样本的特征进行分类统计，并将数组的对应角标下的元素赋值为相应的特征数量；将得到的数组转化成一个N’维空间的特征向量。

5.如权利要求4所示的判定装置，其特征在于，将提取的各特征生成特征向量的方法包括：构建一个长度为N的全0数组，其中N为恶意代码家族特征库中的特征数；根据恶意代码家族特征库中的所有特征遍历待判断样本中的各特征，若样本中存在相应的特征，则将数组的对应角标下的元素赋值为1，否则为0；将得到的数组转化成一个N维空间的特征向量。

6.如权利要求4所示的判定装置，其特征在于，所述恶意代码家族特征库模块，用于提取并合并各恶意代码家族的特征，并对所提取的特征按照预定义规则进行分类。

7.如权利要求1所示的判定方法或如权利要求4所示的判定装置，其特征在于，提取待判断样本的各特征的方法包括：对待判断样本进行反编译解析或/和动态执行，获取预设的静态行为特征或/和动态行为特征。

8.如权利要求3所示的判定方法或如权利要求6所示的判定装置，其特征在于，将提取的特征按如下类别中的至少一种进行分类：行为、敏感字符串、Elf文件敏感字符串、Activity、接收者、服务、权限。