[发明专利]恶意软件识别方法、装置及电子设备

说明书

本申请提供一种恶意软件识别方法、装置及电子设备，方法包括：获取待识别软件，并对待识别软件进行反编译得到待处理代码；根据待处理代码中调用系统API的代码所在的位置，将待处理代码拆分为多个代码基因片段；采用第一随机森林模型对多个代码基因片段进行检测，获得静态检测结果；在沙箱虚拟环境中运行待识别软件，获得待识别软件调用的系统API，采用第二随机森林模型对待识别软件调用的系统API进行检测，判断待识别软件的动态运行过程中是否存在恶意行为，并获得动态检测结果；根据静态检测结果及动态检测结果判断待识别软件是否为恶意软件。如此，可以有效提高对恶意软件识别的精确度，更全面地进行恶意软件的识别。

技术领域

本申请涉及软件安全技术领域，具体而言，涉及一种恶意软件识别方法、装置及电子设备。

背景技术

随着信息技术的不断发展，应用在各种电子设备上的软件越来越多，各种软件内容供应商也越来越繁杂，相应地，对软件安全的要求也越来越高。软件安全技术领域，常需要对未知的软件进行检测识别，判断软件是否为恶意软件。在现有技术的恶意软件识别方案中，大多基于静态识别，即对软件代码进行整体分析，将软件代码与已知的恶意代码做比对，判断软件代码中是否存在恶意代码，这种检测方式单一，往往造成识别不全面，检测结果的不稳定，例如在进行加壳样本处理时会在一定程度上影响静态检测的结果，造成误判。

发明内容

为了克服现有技术中的上述不足，本申请的目的在于提供一种恶意软件识别方法，所述方法包括：

获取待识别软件，并对所述待识别软件进行反编译得到待处理代码；

根据所述待处理代码中调用系统API的代码所在的位置，将所述待处理代码拆分为多个代码基因片段；

采用预先训练的第一随机森林模型对所述多个代码基因片段进行检测，判断所述多个代码基因片段中是否存在恶意代码，并获得静态检测结果；

在沙箱虚拟环境中运行所述待识别软件，获得所述待识别软件调用的系统API，采用预先训练的第二随机森林模型对所述待识别软件调用的系统API进行检测，判断所述待识别软件的动态运行过程中是否存在恶意行为，并获得动态检测结果；

根据所述静态检测结果及所述动态检测结果判断所述待识别软件是否为恶意软件。

可选地，在上述方法中，所述根据所述待处理代码中调用系统API的代码所在的位置，将所述待处理代码拆分为多个代码基因片段的步骤，包括：

获取所述待处理代码中调用系统API的代码所在的位置；

以相邻的两条调用系统API的代码之间的部分作为一个代码基因片段，将所述待处理代码拆分为多个代码基因片段。

可选地，在上述方法中，所述采用预先训练的第一随机森林模型对所述多个代码基因片段进行检测，判断所述多个代码基因片段中是否存在恶意代码，并获得静态检测结果的步骤，包括：

根据预设的多个基因项，检测所述待识别软件的多个代码基因片段是否具有所述多个基因项，得到该待识别软件的基因向量；

采用预先训练的第一随机森林模型对所述基因向量进行检测，得到所述静态检测结果。

可选地，在上述方法中，所述在沙箱虚拟环境中运行所述待识别软件，获得所述待识别软件调用的系统API，采用预先训练的第二随机森林模型对所述待识别软件调用的系统API进行检测的步骤，包括：

在沙箱虚拟环境中运行所述待识别软件，获得所述待识别软件调用运行行为记录；

从所述运行行为记录中提取所述待识别软件运行过程中调用的系统API，并输入预先训练的Word2Vec模型，得到API向量；

采用预先训练的第二随机森林模型对所述API向量进行检测，得到动态检测结果。