[发明专利]恶意代码家族识别方法及装置

权利要求书

1.一种恶意代码家族识别方法，其特征在于，包括：

获取目标恶意代码，提取所述目标恶意代码的动态行为数据；

将所述目标恶意代码的动态行为数据输入恶意代码家族分类模型，识别出所述目标恶意代码的所属家族；

其中，所述恶意代码家族分类模型是利用机器学习算法、对从不同家族的恶意代码样本中提取的动态行为数据进行训练后生成的。

2.根据权利要求1所述的恶意代码家族识别方法，其特征在于，所述提取所述目标恶意代码的动态行为数据，包括：

将所述目标恶意代码在动态沙箱的虚拟操作系统层中运行，在运行过程中模拟对操作系统的所有应用程序编程接口API进行调用的操作，触发并提取所述目标恶意代码产生的动态行为数据；

其中，所述动态沙箱包括：虚拟机层和虚拟操作系统层，所述虚拟机层用于实现计算机物理硬件的虚拟化，所述虚拟操作系统层用于运行并分析样本。

3.根据权利要求1所述的恶意代码家族识别方法，其特征在于，在将所述目标恶意代码的动态行为数据输入恶意代码家族分类模型，识别出所述目标恶意代码的所属家族之前，所述方法还包括：

获取不同家族的恶意代码样本；

提取所述不同家族的恶意代码样本的动态行为数据；

利用机器学习算法，对所述动态行为数据进行训练，生成恶意代码家族分类模型。

4.根据权利要求3所述的恶意代码家族识别方法，其特征在于，所述提取所述不同家族的恶意代码样本的动态行为数据，包括：

将所述不同家族的恶意代码样本在动态沙箱的虚拟操作系统层中运行，在运行过程中模拟对操作系统的所有API进行调用的操作，触发并提取所述不同家族的恶意代码样本产生的动态行为数据；

其中，所述动态沙箱包括：虚拟机层和虚拟操作系统层，所述虚拟机层用于实现计算机物理硬件的虚拟化，所述虚拟操作系统层用于运行并分析样本。

5.一种恶意代码家族识别装置，其特征在于，包括：

第一获取模块，用于获取目标恶意代码，提取所述目标恶意代码的动态行为数据；

识别模块，用于将所述目标恶意代码的动态行为数据输入恶意代码家族分类模型，识别出所述目标恶意代码的所属家族；

其中，所述恶意代码家族分类模型是利用机器学习算法、对从不同家族的恶意代码样本中提取的动态行为数据进行训练后生成的。

6.根据权利要求5所述的恶意代码家族识别装置，其特征在于，所述第一获取模块，具体用于

获取目标恶意代码；将所述目标恶意代码在动态沙箱的虚拟操作系统层中运行，在运行过程中模拟对操作系统的所有应用程序编程接口API进行调用的操作，触发并提取所述目标恶意代码产生的动态行为数据；

其中，所述动态沙箱包括：虚拟机层和虚拟操作系统层，所述虚拟机层用于实现计算机物理硬件的虚拟化，所述虚拟操作系统层用于运行并分析样本。

7.根据权利要求5所述的恶意代码家族识别装置，其特征在于，所述装置还包括：

第二获取模块，用于获取不同家族的恶意代码样本；

提取模块，用于提取所述不同家族的恶意代码样本的动态行为数据；

训练模块，用于利用机器学习算法，对所述动态行为数据进行训练，生成恶意代码家族分类模型。

8.根据权利要求7所述的恶意代码家族识别装置，其特征在于，所述提取模块，具体用于

将所述不同家族的恶意代码样本在动态沙箱的虚拟操作系统层中运行，在运行过程中模拟对操作系统的所有API进行调用的操作，触发并提取所述不同家族的恶意代码样本产生的动态行为数据；

其中，所述动态沙箱包括：虚拟机层和虚拟操作系统层，所述虚拟机层用于实现计算机物理硬件的虚拟化，所述虚拟操作系统层用于运行并分析样本。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现如权利要求1至4任一项所述恶意代码家族识别方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至4任一项所述恶意代码家族识别方法的步骤。