[发明专利]一种基于程序逻辑识别同源攻击的方法、装置及存储设备

说明书

本发明实施例公开一种基于程序逻辑识别同源攻击的方法、装置及存储设备，用以解决在无法通过IP或者域名等方式追溯恶意代码的来源时，难以对恶意代码编写者进行身份确认及攻击组织划分的问题。该方法包括：采集恶意代码；对恶意代码进行静态分析，构建恶意代码调用系统API的第一有向图；将恶意代码调用系统API的第一有向图转化成n维向量，并存储；与已知恶意代码样本的n维向量进行对比，计算相似度，判断恶意代码编写者身份。

技术领域

本发明实施例涉及网络安全领域，尤其涉及一种基于程序逻辑识别同源攻击的方法、装置及存储设备。

背景技术

目前，恶意代码伪装技术发展迅速，规模增长过快，在无法通过ip、域名等方式追溯恶意代码的来源时，人们难以确认该恶意代码的编写者身份，更无法对其进行攻击组织划分，推测其攻击手段和攻击目的。

发明内容

基于上述存在的问题，本发明实施例提供一种基于程序逻辑识别同源攻击的方法、装置及存储设备，用以解决在无法通过IP或者域名等方式追溯恶意代码的来源时，难以对恶意代码编写者进行身份确认及攻击组织划分的问题。

本发明实施例公开一种基于程序逻辑识别同源攻击的方法，包括：

采集恶意代码；

对恶意代码进行静态分析，构建恶意代码调用系统API的第一有向图；

将恶意代码调用系统API的第一有向图转化成n维向量，并存储；

与已知恶意代码样本的n维向量进行对比，计算相似度，判断恶意代码编写者身份。

进一步地，对恶意代码进行静态分析，构建恶意代码调用系统API的第一有向图，具体为：判断恶意代码编程语言，得到若干个单一编程语言的恶意代码块；构建若干个恶意代码块调用系统API的第二有向图；将若干个恶意代码块调用系统API的第二有向图拼接，得到完整的恶意代码调用系统API的第一有向图。

进一步地，构建若干个恶意代码块调用系统API的第二有向图，具体为：提取恶意代码块中每个代码自定义函数的逻辑结构，并进行分析；构建每个代码自定义函数的第一数据流转图；将每个代码自定义函数的第一数据流转图拼接，得到完整的恶意代码块运行时的第二数据流转图；利用系统API替换第二数据流转图中的函数节点，将一条链路中相邻的变量节点合并，得到一个恶意代码块调用系统API的第二有向图；其中，数据流转图用以表述代码自定义函数对变量及函数的利用情况。

进一步地，构建每个代码自定义函数的第一数据流转图，具体为：将分析出的语句中的变量及语句中的调用函数作为节点，以逻辑结构为边，构建每个代码自定义函数的第一数据流转图。

进一步地，将每个代码自定义函数的第一数据流转图拼接，具体为：

构建恶意代码块中的最外层自定义函数的第一数据流转图，根据最外层自定义函数对其他函数的调用关系，用其他函数的第一数据流转图替换最外层自定义函数的第一数据流转图中其他函数的节点。

进一步地，利用系统API替换第二数据流转图中的函数节点之前，还包括：

建立函数-系统API映射表。

本发明实施例公开一种基于程序逻辑识别同源攻击的装置，包括存储器和处理器，所述存储器用于存储多条指令，所述处理器用于加载所述存储器中存储的指令以执行：采集恶意代码；对恶意代码进行静态分析，构建恶意代码调用系统API的第一有向图；将恶意代码调用系统API的第一有向图转化成n维向量，并存储；与已知恶意代码样本的n维向量进行对比，计算相似度，判断恶意代码编写者身份。

进一步地，所述处理器还用于加载所述存储器中存储的指令以执行：