[发明专利]一种结合API模糊处理技术的恶意软件对抗样本生成方法

权利要求书

1.一种结合API模糊处理技术的恶意软件对抗样本生成方法，其特征在于所述方法包括如下步骤：

步骤1，向原始的API调用序列中插入无关的API向量，初步实现恶意软件特征功能的混淆，首先，确定一个有序集合V，其包含PE程序可以调用的所有API函数；其次，在API的随机位置i插入一个新的已编码API向量，位置i…n中的API被退回一个位置；最后，根据修改后的API调用序列生成二进制恶意软件特征向量X_P，具体包括：设l为攻击所用的API调用序列的长度，X为长度为l的API恶意序列，把X分成个长度为n的w_j，其中n为w_j中API调用个数，在每个w_j中随机选择一个API位置i∈{1…n}，在位置i插入一个API向量:其中⊥表示串联操作，插入API后，位置i…n中的API被退回一个位置，最后一个API调用被推出并从中删除，从推出的API将作为w_j+1的开始；根据修改后的API调用序列生成二进制恶意软件特征向量X_P，其大小为|V|，指示原始PE样本是否已使用API函数，通过添加冗余代码初步实现恶意软件特征功能的混淆；

步骤2，对样本实施混淆操作，隐藏API的函数功能，首先，初始化一个只采用二进制值表示的混淆向量M，指示有序集V中对应的API函数是否应该混淆；然后，对样本实施函数调用重定向的混淆操作；

步骤3，把修改后的样本馈送到恶意软件分类器，检查它是否实现了错误分类，利用遗传算法解决优化问题。

2.根据权利要求1所述的一种结合API模糊处理技术的恶意软件对抗样本生成方法，其特征在于：步骤2中实施具体的API混淆操作，构造一个调用指令来实现功能函数调用的重定向过程，使函数名不直接出现在反汇编代码中，最终隐藏API的函数功能，模糊处理后的样本特征向量变为X_P⊙M，其中⊙表示逐元素相乘。