[发明专利]一种面向海量Windows软件的未知恶意代码检测方法及系统

说明书

本发明公开一种面向海量Windows软件的未知恶意代码检测方法及系统，属于系统安全技术领域，为解决传统的基于特征码的检测方法无法检测未知恶意代码的问题，结合动态检测和静态检测的优势，使用深度学习的检测技术来实现对未知特征的恶意代码的检测，使用静态特征辅助检测的方法在海量样本的场景下加速检测，提高检测效率。

技术领域

本发明属于系统安全技术领域，涉及一种恶意代码检测的方法，特别涉及一种适用于海量Windows平台软件的未知恶意代码检测方法及系统。

背景技术

计算机技术以及互联网技术的飞速发展带来的影响日益显著，无论是经济、文化、政治还是医疗、教育等领域都产生了巨大的变革。然而，人们在享受这些便利的同时也不可避免的需要考虑一些安全问题，其中最典型的就是恶意代码的攻击和泛滥。恶意代码又称恶意软件，这些软件也可称为广告软件、间谍软件、恶意共享软件。是指在未明确提示用户或未经用户许可的情况下，在用户计算机或其他终端上安装运行，侵犯用户合法权益的软件。2018年上半年，360互联网安全中心累计截获新增恶意程序样本1.4亿个。其中，新增PC端恶意程序样本14099.8万个，平均每天截获新增恶意程序样本77.9万个，可以发现PC端恶意程序占据了恶意程序总量的97.9％，因此研究Windows平台下的恶意软件很有必要。

恶意软件增长速度越来越快，变种数量增加，家族特征明显。另外一些高级的恶意代码为了保护自己，往往采用高级技术与安全分析人员做对抗。例如通过加壳、混淆等措施增大逆向分析的难度。恶意代码造成的危害巨大，一般具有下述行为的一种或多种：强制安装、浏览器劫持、窃取、修改用户数据、恶意收集用户信息、恶意卸载、恶意捆绑及其他侵犯用户知情权、选择权的恶意行为等。这些行为将严重侵犯用户合法权益，甚至对用户及他人带来巨大的经济或其他形式的利益损失。例如2017年WannaCry“蠕虫式”勒索病毒软件感染了100多个国家和地区超过10万台电脑，至少造成80亿美元损失。其他经典的还有火焰病毒、震网病毒、熊猫烧香、暗云III等程序，为了避免更大的损失，需要对恶意代码进行分析，然后研究出有效的恶意代码检测技术。

分析恶意代码的方法一般可分为静态分析方法与动态分析方法。静态分析是指在不执行二进制程序的条件下进行分析，如反汇编分析、源代码分析、二进制统计分析、反编译等，技术包括静态反汇编分析、静态源代码分析和反编译分析等。目前静态分析的缺点是对于混淆、加壳、多态的恶意代码很难准确分析；传统的静态方法检测准确率偏低，特别是对未知特征的恶意代码的检测效果差。动态分析是指恶意代码执行的情况下利用程序调试工具对恶意代码实施跟踪和观察，确定恶意代码的工作过程。当前，研究者们已经开发出了大量的动态分析工具来分析恶意样本，这些工具主要是通过提取系统调用API序列的方式。目前动态分析存在的缺点是耗费时间长、成本相对较高。另外使用传统机器学习方法需要人工选定特征，增加了人工分析的难度。

针对恶意代码的检测目前已经存在一些方法。传统的基于特征码的检测提取截获样本的特征码记录在数据库然后匹配特征码，但是存在依赖特征库、检测滞后性、无法检测未知特征的样本的情况；传统的基于启发式的检测方法在处理海量样本时检测效率低，这种方法依赖专家的知识和经验，需要耗费人力来制定启发式规则。在海量样本的场景下会耗费大量的时间和人力资源来构建规则，导致检测效率偏低；越来越多使用机器学习的方法出现，通过提取有效特征结合分类算法来进行检测。传统的机器学习方法中的特征由人工筛选，特征选取的好坏直接影响了检测的效果，在提取和筛选特征的过程中需要人工参与，人力成本高。

深度神经网络己经被证明具有很高的学习能力，它可以从非常大的训练集中受益，能够学习到恶意软件的潜在特征，实现对未知特征样本的检测。此外恶意软件特征可以自动从原始数据中被提取，因此无需手动设计恶意软件签名，避免了对于专业知识的过分依赖。基于深度学习的恶意软件检测方法在训练时间上是有效率的，其训练时间与恶意软件的数量呈线性相关。这类检测的网络可以在GPU上运行，基本上是所有PC的必备组件，这也意味着更多的恶意软件可以在单位时间内被分析。因此可以借鉴深度学习的方法基于历史的数据来学习恶意代码的潜在特征，实现对未知恶意软件的检测。