[发明专利]用于恶意软件签名生成的系统和方法

权利要求书

1.一种开发用于恶意软件识别的签名的方法，所述方法包括：

从存储在第一数据库中的恶意软件信息识别第一相连字符串块，所述第一相连字符串块包括多个成分字符串；

基于如下各项将排名得分分配给所述第一相连字符串块：a)所述第一相连字符串块中的所述多个成分字符串的各个成分字符串的样本计数之和，以及b)所述第一相连字符串块中的至少一个成分字符串与所述第一相连字符串块中的其他成分字符串的接近度；

确定在第二数据库中是否找到所述第一相连字符串块，所述第二数据库包含从已知恶意软件提取的一个或更多个相连字符串块；以及

对所述第一相连字符串块与所述第二数据库中包含的第二相连字符串块之间的差异进行通配，以创建通配相连字符串块；

形成恶意软件家族的签名，所述签名包括多个相连字符串块，所述多个相连字符串块包括所述通配相连字符串块；以及

将置信度指示符分配给所述签名，其中所述置信度指示符基于在所述签名中找到的通配符的数量、作为相连字符串块的成分的字符串的数量、以及块顺序，并且其中所述签名在学习模式中进行部署，以响应于确定所述签名不对应于干净记录而更新所述置信度指示符。

2.根据权利要求1所述的方法，所述方法还包括：

将第二置信度指示符分配给所述通配相连字符串块，所述第二置信度指示符指示应用于所述第一相连字符串块的标签中的置信度。

3.根据权利要求2所述的方法，其中，所述第二置信度指示符至少部分地基于第一通配相连字符串块中的通配符的数量。

4.根据权利要求1所述的方法，其中，所述第二相连字符串块在所述第二数据库内是用第一标签标记的，并且，所述第一相连字符串块是用所述第一标签标记的。

5.根据权利要求1所述的方法，所述方法还包括：

响应于确定所述第一相连字符串块满足与所述第二数据库中包含的所述一个或更多个相连字符串块的不相似度的阈值，将所述第一相连字符串块保存到所述第二数据库。

6.根据权利要求1所述的方法，其中，对所述第二数据库中包含的所述一个或更多个相连字符串块进行排名，以用于对所述第二数据库内的所述一个或更多个相连字符串块进行排序。

7.根据权利要求1所述的方法，所述方法还包括：

扫描一个或更多个未知文件；

将所述一个或更多个未知文件与所述第一相连字符串块进行比较；以及

响应于确定所述第一相连字符串块满足与所述一个或更多个未知文件的相似度的阈值，将所述一个或更多个未知文件视为恶意软件。

8.根据权利要求2所述的方法，所述方法还包括：

从用户接收可疑度值以在如下置信度指示符中考虑，该置信度指示符指示应用于所述第一相连字符串块的标签中的置信度。

9.一种开发用于恶意软件识别的签名的装置，所述装置包括：

至少一个存储器；

所述装置中的指令；以及

至少一个处理器，所述至少一个处理器执行所述指令，以进行如下操作：

基于如下各项将排名得分分配给来自第一数据库的包括多个成分字符串的第一字符串：a)所述第一字符串中的所述多个成分字符串的各个成分字符串的样本计数之和，以及b)所述第一字符串中的至少一个成分字符串与所述第一字符串中的其他成分字符串的接近度；确定在第二数据库中是否找到所述第一字符串，所述第二数据库包含从已知恶意软件提取的一个或更多个字符串；以及

将置信度指示符分配给签名，其中所述置信度指示符基于在所述签名中找到的通配符的数量、作为相连字符串块的成分的字符串的数量、以及块顺序，所述签名在学习模式中进行部署，以响应于确定所述签名不对应于干净记录而更新所述签名的置信度指示符。