[发明专利]一种恶意程序相似度计算的方法和装置

权利要求书

1.一种恶意程序相似度计算的方法，其特征在于，所述方法包括以下步骤：

S1，将数据库的恶意程序转换为文本或图片进行深度学习训练，通过余弦算法进行恶意程序相似度静态计算；

所述步骤S1具体包括：

S11，将所述数据库中未运行的恶意程序和非恶意程序转化成文本或图片形式，通过所述深度学习训练对所述恶意程序和所述非恶意程序进行特征值计算；

S12，将所述非恶意程序的特征值过滤掉，再基于所述恶意程序的特征值对所述恶意程序进行关键特征分类，通过统计所述关键特征的数量确定各个特征的加权值；

S13，基于所述加权值对所述关键特征进行特征向量化，再通过所述余弦算法计算所述恶意程序的静态相似度；

S2，获取所述数据库的恶意程序的行为特征，基于所述行为特征，通过PMI点互信息算法获取恶意程序的行为轨迹并进行恶意程序相似度动态计算；

所述步骤S2具体包括：

S21，获取所述恶意程序的行为，通过沙箱模拟所述恶意程序的运行，分析关键指令，记录所述恶意程序在函数入口点、返回点和内存读写点的数据，基于API参数格式解析库获取关键API的调用序列和参数信息；

S22，基于所述API的调用序列和参数信息，提取所述恶意程序的行为特征；

S23，通过动态特征提取将所述行为特征视为可统计互信息的点，基于PMI点互信息算法得到所述行为特征与参考特征之间的互信息值，再通过轨迹判断获取所述行为特征的行为轨迹；

S24，设置所述恶意程序的每个行为特征由N个行为轨迹组成，通过行为轨迹对比和所述PMI点互信息算法得到所述恶意程序相互间的相同行为轨迹个数为n，则所述恶意程序的动态相似度为n/N；

S3，通过加权平均算法确定恶意程序的最终相似度。

2.根据权利要求1所述的恶意程序相似度计算的方法，其特征在于，所述步骤S3具体包括：

通过加权平均计算获取最终相似度结果：

其中，J为所述恶意程序的静态相似度，D为所述恶意程序的动态相似度；f₁为所述恶意程序适合用静态恶意程序相似度计算的概率且0.3＜f₁＜0.7，f₁≠0，f₂为所述恶意程序适合用动态恶意程序相似度计算的概率且0.3＜f₂＜0.7，f₂≠0，同时f₁+f₂＝1；α为静态相似度的阈值，0.5α1；β为动态相似度的阈值，0.5β1。

3.根据权利要求1所述的恶意程序相似度计算的方法，其特征在于，所述余弦算法的具体步骤包括：

假设特征向量FVa与FVb均为M维特征向量，则FV_a为(x₁，x₂，…,x_m)，FV_b为(y₁，y₂，…,y_m)，FV_a与FV_b的夹角相似度为：

其中，cosθ在-1到1之间，当cosθ越接近1则特征向量FV_a与FV_b的相似度越大，当cosθ越接近-1则特征向量FV_a与FV_b的相似度越小。

4.根据权利要求1所述的恶意程序相似度计算的方法，其特征在于，所述PMI点互信息算法的具体步骤为：

其中，f₁为所述恶意程序的行为特征，f₂为参考特征，P(f₁·f₂)为f₁和f₂同时出现的概率，P(f₁)为f₁出现的概率，P(f₂)为f₂出现的概率。