[发明专利]一种抗干扰的环境敏感型恶意软件行为相似性评测方法和装置

说明书

本发明涉及一种抗干扰的环境敏感型恶意软件行为相似性评测方法和装置。该方法包括以下步骤：1)将可疑软件放置于多种不同的执行环境中，记录可疑软件的行为序列；2)对可疑软件的行为序列进行规范化处理；3)对可疑软件的行为序列进行去干扰处理；4)计算并比较去干扰处理后的行为序列的相似性；5)基于行为序列的相似性，判断可疑软件是否为环境敏感型恶意软件。本发明能够有效的消除恶意软件的大量干扰行为，准确计算行为序列的相似性，使得对该类型恶意软件的检测更准确；同时该方法对恶意软件行为序列的规范化处理，消除了不同系统间的语义偏差，具有良好的可用性和普适性，降低了检测成本。

技术领域

本发明属于系统安全技术领域，涉及一种环境敏感型恶意软件行为相似性评测方法，特别涉及一种抗干扰的环境敏感型恶意软件行为相似性评测方法和装置。

背景技术

随着网络信息技术的高速发展，恶意软件已成为危害网络公共安全的主要威胁之一。据瑞星2013年信息安全报告(瑞星.2013年中国信息安全报告[EB/OL][2014-03-12])指出2013年中国共有11.45亿人次被恶意软件感染，有2300万台电脑受到攻击，2013年1至12月新增恶意软件样本达3310万余个，总数量比2012年同期增长163％。随着恶意软件数目的爆发式增长，传统的基于特征码与签名的恶意软件分析技术已不能满足新兴的恶意代码检测需求，主动防御、云安全、启发式扫描等技术被提出。

恶意软件本质上是一个集合名词，来指代故意在计算机系统上执行恶意任务的病毒、蠕虫和特洛伊木马。当用户系统受到恶意软件的攻击时，用户在系统内的敏感信息都面临着泄露的巨大安全风险，比如窃取银行帐户信息，信用卡密码及个人隐私信息等等。综上所述，这种非法入侵用户系统，执行具有恶意目的行为的程序就叫做恶意软件，也叫做流氓软件。

一般来说，恶意软件包括以下恶意行为特征。1)强制安装：指未明确提示用户或未经用户许可，在用户计算机或其他终端上安装软件的行为。2)难以卸载：指未提供通用的卸载方式，或在不受其他软件影响、人为破坏的情况下，卸载后仍然有活动程序的行为。3)浏览器劫持：指未经用户许可，修改用户浏览器或其他相关设置，迫使用户访问特定网站或导致用户无法正常上网的行为。4)广告弹出：指未明确提示用户或未经用户许可，利用安装在用户计算机或其他终端上的软件弹出广告的行为。5)恶意收集用户信息：指未明确提示用户或未经用户许可，恶意收集用户信息的行为。6)恶意卸载：指未明确提示用户、未经用户许可，或误导、欺骗用户卸载其他软件的行为。7)恶意捆绑：指在软件中捆绑已被认定为恶意软件的行为。

在众多种类的恶意软件之中，有一类新型的恶意软件正在快速增长，即环境敏感型恶意软件，该类恶意软件具有较高的智能性，可以检测当前的运行环境，若是对自身不利则避免做任何可疑或恶意的行为，这种特性大大增加了检测的难度。据各大安全厂商的统计统计，截至2017年初新出现的恶意软件中，有20％的恶意软件具备环境感知的能力，即每十个新出现的恶意软件中就有两个属于环境敏感型恶意软件。

近年来，针对环境敏感型恶意软件的研究中出现了很多的检测方法，但是目前的检测方式主要存在以下问题：1)对抗检测机制不足，不能确定环境敏感型恶意软件是否释放了恶意行为，影响检测结果；2)若环境敏感型恶意软件具有大量随机行为，则现有的方法检测效果不理想，该类恶意软件作者通常会在恶意软件释放恶意行为前加入大量的随机行为，这会极大的干扰检测判断，而现有的检测方法不能有效处理。如何防止被环境敏感型恶意软件绕过，提高准确率和检出率，是应对当前新型恶意软件快速增长形势的关键问题。环境敏感型恶意软件可以通过比较其在不同执行环境下的行为差异来识别。因此，为了有效地检测环境敏感型恶意软件，有必要提出一种抗干扰的环境敏感型恶意软件行为相似性评测方法。

发明内容

针对环境敏感型恶意软件行为序列相似性评估和环境敏感型恶意软件检测问题，本发明提出了一种抗干扰的环境敏感型恶意软件行为相似性评测方法和装置，其中行为相似性是通过多行为序列的相似性来计算。