[发明专利]一种恶意软件检测方法、系统及存储介质

权利要求书

1.一种恶意软件检测方法，其特征在于，所述方法包括：

从预获取的待检测样本中分别提取静态元数据和动态元数据；

从所述静态元数据中提取样本静态特征；

从所述动态元数据中提取样本动态特征；

将所述样本静态特征和所述样本动态特征进行级联，获取级联特征；

将所述级联特征输入至预构建的卷积神经网络，获取样本检测结果。

2.根据权利要求1所述的方法，其特征在于，所述静态元数据包括如下中的一种或多种：

样本的二元直方图信息、字节熵直方图信息、块信息、导入表信息、导出表信息、文件基本信息、文件头信息或者字符串提取信息。

3.根据权利要求1或2所述的方法，其特征在于，所述从所述静态元数据中提取样本静态特征，具体包括：

通过数值化方法将所述静态元数据转化为预设范围内的数值列表。

4.根据权利要求3所述的方法，其特征在于，所述数值化方法包括：独热编码法或者哈希值转化方法。

5.根据权利要求1所述的方法，其特征在于，所述动态元数据包括：

动态操作的应用程序接口，所述应用程序接口类别包括如下中一种或多种，文件操作、注册表操作以及网络操作。

6.根据权利要求1或5所述的方法，其特征在于，所述从所述动态元数据中提取样本动态特征，具体包括：

利用预构建的循环神经网络模型，基于所述循环神经网络模型的时序特征提取特性，从所述动态元数据中提取所述样本动态特征。

7.根据权利要求6所述的方法，其特征在于，所述预构建的循环神经网络模型由1层全连接层和2层长短时记忆网络层堆叠构成。

8.根据权利要求1、2、4、5或7中任一项所述的方法，其特征在于，所述预构建的卷积神经网络由卷积层、批标准化层以及全连接层构成。

9.一种恶意软件检测系统，其特征在于，所述系统包括：处理器和存储器；

所述存储器用于存储一个或多个程序指令；

所述处理器，用于运行一个或多个程序指令，用以执行如权利要求1-8任一项所述的方法。

10.一种计算机存储介质，其特征在于，所述计算机存储介质中包含一个或多个程序指令，所述一个或多个程序指令用于被一种恶意软件检测系统执行如权利要求1-8任一项所述的方法。