[发明专利]一种恶意代码家族判定方法及装置

说明书

本发明公开了一种恶意代码家族判定方法及装置，本发明基于对现有各恶意代码家族的分析，提取并合并各恶意代码家族的特征，生成恶意代码家族特征库，根据恶意代码家族特征库的结构，将提取的待测样本的各特征生成特征向量，将该待测样本的特征向量与预设的各恶意代码家族特征向量进行相似度计算，当相似度满足预设值时判断该待测样本属于相应的恶意代码家族。本发明将各种特征标量量化组合成为特征向量，通过特征向量来代表样本本身，不用深入到具体的代码层、方法里，大大节省了计算资源且判断准确度高；通过对特征向量的计算，精简了对样本特征的计算，大大提高处理速率。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种恶意代码家族判定方法及装置。

背景技术

移动互联网近几年的迅猛发展带来的平台安全问题与日俱增，尤以Android平台最为突出，其生态圈繁荣的表象之下，是潜藏着的以巨额利益为驱动的黑色产业链。Android整个生态愈发繁荣，Android相关的黑色产业链也愈发猖獗，Android平台上的病毒也越来越多，数量几乎成指数级增长，但是恶意代码家族的增长数量却十分缓慢。通常情况下，一个家族下面往往对应着大量的样本。

目前对于家族的定性主要是依赖于病毒分析工程师的经验，十分耗费人力，同时由于个体经验的差异性，也很容易出现恶意代码家族的识别分歧。另外，学术界目前关于家族聚类主要是基于Android行为来进行判断的，例如采用行为来进行家族聚类一方面需要对应用进行自动触发，触发存在不完整的情况，另一方面，动态触发需要耗费大量的计算资源，并且本身行为标量比较少，会导致分类不准的情形出现。

发明内容

本发明的目的在于提供一种恶意代码家族判定方法及装置，其能准确有效判断恶意代码家族，且实现简单快速、不会浪费计算资源。

一种恶意代码家族判定方法，包括以下步骤：

提取并合并各恶意代码家族的特征，生成恶意代码家族特征库；

提取待判断样本的各特征；

根据恶意代码家族特征库的结构，将提取的各特征生成该待判断样本的特征向量；

将该待判断样本的特征向量与预设的各恶意代码家族特征向量进行相似度计算，当相似度满足预设值时判断该待判断样本属于相应的恶意代码家族。

进一步的，将提取的各特征生成特征向量的方法包括：构建一个长度为N的全0数组，其中N为恶意代码家族特征库中的特征数；根据恶意代码家族特征库中的所有特征遍历待判断样本中的各特征，若样本中存在相应的特征，则将数组的对应角标下的元素赋值为1，否则为0；将得到的数组转化成一个N维空间的特征向量。

进一步的，生成恶意代码家族特征库的方法还包括提取并合并各恶意代码家族的特征后，还对所提取的特征按照预定义规则进行分类；

进一步的，将提取的各特征生成特征向量的方法包括：构建一个长度为N’的全0数组，其中N’＝N+b，N为恶意代码家族特征库中的特征数，b为恶意代码家族特征库中的特征类别数；根据恶意代码家族特征库中的所有特征遍历待判断样本中的各特征，若样本中存在相应的特征，则将数组的对应角标下的元素赋值为1，否则为0；根据恶意代码家族特征库中的所有特征类别对待判断样本的特征进行分类统计，并将数组的对应角标下的元素赋值为相应的特征数量；将得到的数组转化成一个N维空间的特征向量。

进一步的，提取待判断样本的各特征的方法包括：对待判断样本进行反编译解析或/和动态执行，获取预设的静态行为特征或/和动态行为特征。

进一步的，将提取的特征按如下类别中的至少一种进行分类：行为、敏感字符串、Elf文件敏感字符串、Activity、接收者、服务、权限。

进一步的，将该待判断样本的特征向量与预设的各恶意代码家族特征向量进行相似度计算的方法为余弦相似算法。