[发明专利]识别恶意软件

权利要求书

1.一种用于识别恶意软件的方法(600)，所述方法(600)包括：

在数据处理硬件(112)处接收软件应用(210)；

通过所述数据处理硬件(112)执行所述软件应用(210)；

通过所述数据处理硬件(112)识别在所述软件应用(210)的执行期间所述软件应用(210)与之交互的多个统一资源标识符(220)；

通过所述数据处理硬件(112)使用被配置为接收所述多个统一资源标识符(220)作为特征输入的前馈神经网络生成所述软件应用(210)的向量表示(260)；

通过所述数据处理硬件(112)确定存储在与所述数据处理硬件(112)通信的存储器硬件(114)中的一池训练应用(210)的相似性分数(262)，每个相似性分数(262)与对应的训练应用(210)关联并指示所述软件应用(210)的所述向量表示(260)与所述对应的训练应用(210)的相应向量表示(260、360)之间的相似性的水平；以及

通过所述数据处理硬件(112)在所述训练应用(210)中的一个或多个具有满足相似性阈值的相似性分数(262)并包括可能有害的应用标签时，将所述软件应用(210)标示为属于可能有害的应用类别(240)。

2.根据权利要求1所述的方法(600)，其中，识别所述多个统一资源标识符(220)包括识别在所述软件应用(210)的执行期间所述软件应用(210)访问的多个域名(220)。

3.根据权利要求1或2所述的方法(600)，其中，所述前馈神经网络包括向量空间模型(170a)，所述向量空间模型(170a)被配置为：

确定识别的统一资源标识符(220)中的每一个的n维数值向量表示(250)；以及

通过平均识别的统一资源标识符(220)的n维数值向量表示(250)，计算所述软件应用(210)的所述向量表示(260)。

4.根据权利要求1-3中的任一项所述的方法(600)，其中，确定所述一池训练应用(210)的所述相似性分数(262)包括计算所述软件应用(210)的所述向量表示(260)与每个对应的训练应用(210)的相应向量表示(260)之间的相应余弦相似性。

5.根据权利要求1-4中的任一项所述的方法(600)，其中，所述软件应用(210)的所述向量表示(260)包括数值的n维向量。

6.根据权利要求1-5中的任一项所述的方法(600)，还包括通过所述数据处理硬件(112)从所述存储器硬件(114)检索所述一池训练应用(210)中的与前k个最高相似性分数(262)关联的训练应用(210)。

7.根据权利要求1-6中的任一项所述的方法(600)，还包括：

通过所述数据处理硬件(112)识别与所述一池训练应用(210)中的大多数训练应用(210)关联的可能有害的应用类别(240)，所述大多数训练应用(210)中的每一个具有满足相似性阈值的相似性分数(262)并包括可能有害的应用标签；以及

通过数据处理硬件(112)将所述软件应用(210)分配给所识别的可能有害的应用类别(240)。

8.根据权利要求7所述的方法(600)，其中，分配给所述软件应用的可能有害的应用类别(240)包括以下之一：恶意下载器应用、网络钓鱼应用、植入木马应用、间谍软件应用、勒索软件应用、恶意软件应用或特权升级应用。

9.根据权利要求1-8中的任一项所述的方法(600)，还包括在将所述软件应用(210)标示为属于可能有害的应用类别(240)之后：

在所述数据处理硬件(112)处从与所述数据处理硬件(112)通信的用户设备(104)接收下载所述软件应用(210)的下载请求(190)；以及

响应于接收所述下载请求(190)，向所述用户设备(104)发送警告通知(192)，所述警告通知(192)指示所述软件应用(210)被标示为属于可能有害的应用类别(240)。