[发明专利]未知样本的检测方法及装置、存储介质、电子装置

权利要求书

1.一种未知样本的检测方法，其特征在于，包括：

提取目标未知样本的静态特征，以及提取所述目标未知样本的动态特征，所述静态特征包括：PE结构、字符串、汇编代码、信息熵，动态特征包括动态行为信息，所述动态行为信息是将所述目标未知样本提交到虚拟机中运行，在虚拟机中采集得到的；

根据预设规则匹配所述静态特征和所述动态特征，包括：判断所述静态特征和所述动态特征的特征项是否符合预设条件，其中，所述静态特征和所述动态特征包括多个特征项，每个特征项对应一项预设条件，将符合预设条件的特征项确定为匹配的特征项，将不符合预设条件的特征项确定为不匹配的特征项；

根据匹配结果计算所述目标未知样本的危险值，其中，所述危险值用于表征所述目标未知样本的威胁程度，所述危险值是通过确定所述静态特征和所述动态特征中命中所述预设规则的一个或多个指定特征项，对所述一个或多个指定特征项进行加权计算得到的。

2.根据权利要求1所述的方法，其特征在于，提取目标未知样本的静态特征包括：

解析所述目标未知样本的可移植的执行体 PE文件；

识别所述PE文件的PE结构；提取所述PE文件的字符串；对所述PE文件进行反汇编处理，得到所述PE文件的汇编代码，提取所述汇编代码的特征指令；计算所述PE文件的信息熵。

3.根据权利要求2所述的方法，其特征在于，识别所述PE文件的PE结构包括：

解析所述PE文件的结构，得到所述PE文件的PE头、PE节区；

判断所述PE头是否异常、判断所述PE节区是否异常、以及判断所述PE文件是否有附加的数据。

4.根据权利要求1所述的方法，其特征在于，在根据匹配结果计算所述目标未知样本的危险值之后，所述方法还包括以下至少之一：

在所述危险值大于门限值时，对所述目标未知样本进行预警；

将所述危险值设置为所述目标未知样本的标签信息。

5.一种未知样本的检测装置，其特征在于，包括：

提取模块，用于提取目标未知样本的静态特征，以及提取所述目标未知样本的动态特征，所述静态特征包括：PE结构、字符串、汇编代码、信息熵，动态特征包括动态行为信息，所述动态行为信息是将所述目标未知样本提交到虚拟机中运行，在虚拟机中采集得到的；

匹配模块，用于根据预设规则匹配所述静态特征和所述动态特征，包括：判断所述静态特征和所述动态特征的特征项是否符合预设条件，其中，所述静态特征和所述动态特征包括多个特征项，每个特征项对应一项预设条件，将符合预设条件的特征项确定为匹配的特征项，将不符合预设条件的特征项确定为不匹配的特征项；

计算模块，用于根据匹配结果计算所述目标未知样本的危险值，其中，所述危险值用于表征所述目标未知样本的威胁程度，所述危险值是通过确定所述静态特征和所述动态特征中命中所述预设规则的一个或多个指定特征项，对所述一个或多个指定特征项进行加权计算得到的。

6.一种存储介质，其特征在于，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1至4任一项中所述的方法。

7.一种电子装置，包括存储器和处理器，其特征在于，所述存储器中存储有计算机程序，所述处理器被设置为运行所述计算机程序以执行权利要求1至4任一项中所述的方法。