[发明专利]恶意软件变种识别方法、装置、设备及计算机存储介质

权利要求书

1.一种恶意软件变种识别方法，其特征在于，所述方法包括：

获取若干个恶意软件的属性数据的特征时间序列；

根据预设时间步长对所述特征时间序列进行位移，得到预测目标特征序列；

将所述特征时间序列、所述预测目标特征序列作为训练样本，以训练预设神经网络并得到变种检测模型；

获取待识别软件的属性数据；

根据待识别软件的属性数据和所述变种检测模型识别所述待识别软件变种后的所属恶意软件类型。

2.如权利要求1所述的恶意软件变种识别方法，其特征在于，所述获取若干个恶意软件的属性数据的特征时间序列，包括：

获取若干个样本数据，所述样本数据包括至少一个族群内的所述若干个恶意软件的属性数据；

根据所述若干个恶意软件的属性数据的时间先后顺序将所述若干个恶意软件的所述数据组成样本时间序列；

提取所述样本时间序列中的混合态特征，并得到所述特征时间序列。

3.如权利要求2所述的恶意软件变种识别方法，其特征在于，所述根据待识别软件的属性数据和所述变种检测模型识别所述待识别软件变种后的所属恶意软件类型，包括：

根据所述待识别软件的属性数据提取生成所述待识别软件的特征序列；

将所述待识别软件的特征序列输入到所述变种检测模型中，以使得所述变种检测模型输出预测变种特征；

根据所述预测变种特征确定所述待识别软件变种后的所属恶意软件类型。

4.如权利要求2所述的恶意软件变种识别方法，其特征在于，所述混合态特征包括软件的可执行文件大小、导入动态链接库的数量、汇编指令数量、每个section的大小、section内容的熵值、二进制字节的直方图、图案的压缩向量、可打印字符串的数量和平均长度以及字符的熵值、导入动态链接库序列、调用函数序列、字符串序列以及汇编指令序列中的至少一项。

5.如权利要求4所述的恶意软件变种识别方法，其特征在于，所述提取所述样本时间序列中的混合态特征，并得到所述特征时间序列，包括：

使用n-gram算法提取所述样本时间序列中的混合态特征，并得到所述特征时间序列。

6.如权利要求5所述的恶意软件变种识别方法，其特征在于，所述提取所述样本时间序列中的混合态特征，并得到所述特征时间序列，还包括：

根据卡方检验算法或移除低方差方法对所述特征时间序列进行筛选，以过滤所述特征时间序列中不存在关联关系的两个特征向量。

7.如权利要求1所述的恶意软件变种识别方法，其特征在于，所述预设神经网络为长短期记忆网络；

以及，所述将所述特征时间序列、所述预测目标特征序列作为训练样本，以训练预设神经网络并得到变种检测模型，包括：

将所述特征时间序列、所述预测目标特征序列输入至所述长短期记忆网络；

根据所述长短期记忆网络的输入层对所述特征时间序列进行预处理；

根据所述长短期记忆网络的隐藏层构建预处理后的所述特征时间序列与所述预测目标特征序列之间的映射关系并保存所述映射关系；

将保存有所述映射关系的所述长短期记忆网络作为所述变种检测模型。

8.一种恶意软件变种识别装置，其特征在于，所述装置包括：

第一获取模块，用于获取若干个恶意软件的属性数据的特征时间序列；

位移模块，用于根据预设时间步长对所述特征时间序列进行位移，得到预测目标特征序列；

训练模块，用于将所述特征时间序列、所述预测目标特征序列作为训练样本，以训练预设神经网络并得到变种检测模型；

第二获取模块，用于获取待识别软件的属性数据；

识别模块，用于根据待识别软件的属性数据和所述变种检测模型识别所述待识别软件变种后的所属恶意软件类型。