[发明专利]一种恶意代码行为特征提取方法

权利要求书

1.一种恶意代码行为特征提取方法，其特征在于，包括如下步骤：

S1、根据恶意代码执行信息的不同，设定对应的行为特征，建立代码执行信息与行为特征一一对应的数学模型；

S2、通过虚拟执行器进行恶意代码的运行，提取恶意代码的执行信息，该执行信息包括执行指令序列和行为序列；

S3、以获取的代码执行信息为数据模型的输入量，得到恶意代码的行为特征数据。

2.如权利要求1所述的一种恶意代码行为特征提取方法，其特征在于，所述数学模型内设有一虚拟作动模块，用于与数学模型建立模块中的各元素建立关系后，在指定的范围内对参数进行变动，从而驱动各种仿真分析方法针对不同的参数进行计算求解。

3.如权利要求1所述的一种恶意代码行为特征提取方法，其特征在于，所述述虚拟参数作动模块所输入的数据均与仿真分析方法中的相关元素有着直接或间接的对应关系。

4.如权利要求1所述的一种恶意代码行为特征提取方法，其特征在于，所述数学模型内设有若干虚拟参数模块，为在所建立的数学模型中插入能达到直接获取相应的结果或信息目标的逻辑单元，可根据仿真分析方法的目标参数进行自定义。

5.如权利要求1所述的一种恶意代码行为特征提取方法，其特征在于，所述数学模型基于Simulink构建。

6.如权利要求1所述的一种恶意代码行为特征提取方法，其特征在于，所述步骤S3具体包括如下步骤：

S31、对恶意代码资源和组成结构的解析；

S32、对步骤S31的解析结果进行分析和归一化处理，得到执行指令序列和行为序列对应的权重；

S33、通过对执行指令序列和行为序列的解析，得到执行指令序列和行为序列对应的模糊向量；

S34、将执行指令序列和行为序列对应的权重和模糊向量输入数学模型，得到恶意代码的行为特征数据。

7.如权利要求6所述的一种恶意代码行为特征提取方法，其特征在于，所述步骤S32基于灰色关联分析法进行权重的获取。