[发明专利]一种恶意软件识别方法、装置、终端设备及存储介质

说明书

本申请实施例公开了一种恶意软件识别方法、装置、终端设备及存储介质，属于软件技术领域，能够解决现有技术的恶意软件识别方法消耗计算机资源过多且不易集成到杀毒软件等安全产品中的问题。该方法包括：标记目标文件的导入表中的N个处理函数，其中，目标文件为经过静态分析的，存在资源的PE文件，N为正整数；从所述N个处理函数中，确定至少一个第一函数，每个所述第一函数在所述目标文件的系统中的上下文中存在可疑函数；从目标资源中，确定恶意资源，所述目标资源包括与所述每个第一函数对应的、经过预设处理的资源；将所述恶意资源对应的所述目标文件确定为恶意软件。

技术领域

本申请涉及软件技术领域，尤其涉及一种恶意软件识别方法、装置、终端设备及存储介质。

背景技术

目前，在软件领域，通常利用隐写术将恶意机器代码(如shellcode)隐藏在可移植可执行(Portable Executable，PE)文件的资源中，绕过相应的安全防御措施，进而盗取用户信息、发布强制广告等。

现有集成到杀毒软件等安全产品中的恶意软件识别方法通常是隐写软件编写识别算法(基于人工对市面上的隐写软件的分析而编写的识别算法)、机器学习模型分析方法等。其中，隐写软件编写识别算法需要耗费大量的人力去分析多种隐写软件，然后编写识别算法；机器学习模型分析方法需要学习分析大量样本，再基于样本对模型进行训练才能得到。因此无论将上述哪种方法集成到杀毒软件等安全产品中，都存在消耗计算机资源过多的问题。

因此，亟需一种占用计算机资源少、易于集成到杀毒软件等安全产品中的恶意软件识别方法。

发明内容

本申请实施例提供了一种恶意软件识别方法、装置、终端设备及存储介质，以解决或部分解决现有技术识别恶意软件消耗计算机资源过多且不易集成到杀毒软件等安全产品中的问题。

本申请实施例的第一方面，提供一种恶意软件识别方法，该方法包括：标记目标文件的导入表中的N个处理函数，目标文件为经过静态分析的，存在资源的PE文件，N为正整数；从N个处理函数中，确定至少一个第一函数，每个第一函数在目标文件的系统中的上下文中存在可疑函数；从目标资源中，确定恶意资源，目标资源包括与每个第一函数对应的、经过预设处理的资源；将恶意资源对应的目标文件确定为恶意软件。

可选地，每个处理函数为资源处理函数或加载Load函数。

可选地，可疑函数包括以下至少一项：与相应第一函数对应的资源不相关的功能函数，预设类型的函数。

可选地，可疑函数包括预设类型的函数，预设类型的函数包括以下至少一项：申请内存空间函数，创建线程函数，加密解密函数，循环异或处理函数。

可选地，从目标资源中，确定恶意资源包括：从目标资源中，确定第一资源，第一资源中的每个资源与对应的原始资源不一致，原始资源为根据目标文件的资源表中的资源得到的；将第一资源中，与恶意代码数据库中的资源相同的资源，确定为恶意资源。

可选地，从目标资源中，确定第一资源之后，该方法还包括：将第一资源中，与恶意代码数据库中的资源不相同的资源，确定为第二资源；将第二资源中，与硬编码表进行对比满足第一条件的资源确定为第三资源；针对第三资源中的每个资源，多次执行下述步骤S1，将满足第二条件的资源确定为恶意资源；其中，步骤S1为：将资源的前M位中的任一位修改为中断指令；执行修改后的资源；确定资源中断位置；其中，M为大于1的整数，第一条件包括以下至少一项：资源的格式符合硬编码书写规范，资源的内容全部位于硬编码表中；第二条件为：每次执行步骤S1，中断位置均为被修改为中断指令的位置。