[发明专利]基于多维度特征融合和模型集成的恶意软件家族分类方法

权利要求书

1.基于多维度特征融合和模型集成的恶意软件家族分类方法，其特征在于，包括：

S1获取恶意软件PE文件，根据获取的PE文件提取多个维度的恶意软件特征；其中恶意软件特征包括：Ember特征、TF-IDF特征和Asm2Vec；

S2根据提取的恶意软件特征进行特征融合和特征选择处理，得到恶意软件家族分类特征集；其中，根据提取的恶意软件特征进行特征融合，包括：

融合构建恶意软件家族分类特征集，其中恶意软件家族分类特征集包括Ember特征中的节区、导入表、导出表以及融合得到的Ember基础特征，TF-IDF特征中的可读性字符串和操作码序列特征，Asm2Vec特征以及两个多维度融合特征；

S3以XGBoost作为基础模型，根据得到的恶意软件家族分类特征集中的特征分别单独训练基础模型，并根据训练好的基础模型对训练集样本进行预测，根据得到预测结果计算各特征在对应各家族上的权重值；并采用加权软投票的方式来计算恶意软件家族分类预测结果。

2.根据权利要求1所述的基于多维度特征融合和模型集成的恶意软件家族分类方法，其特征在于，步骤S1包括：

根据获取的PE文件提取Ember特征，具体包括：

使用Ember提供的特征提取方法提取出PE文件的字节直方图、字节熵直方图和字符串信息特征作为Ember基础特征；

根据获取的PE文件进行反汇编处理得到汇编文件，从汇编文件中提取节区、导入表信息和导出表信息；

其中Ember特征包含Ember基础特征和所述节区、导入表信息和导出表信息。

3.根据权利要求2所述的基于多维度特征融合和模型集成的恶意软件家族分类方法，其特征在于，步骤S1包括：

根据获取的PE文件和/或汇编文件提取TF-IDF特征，具体包括：

针对PE文件中的可读性字符串和/或汇编文件中的操作码序列进行词频-逆文件频率处理，得到TF-IDF特征，其中TF-IDF特征包括可读性字符串序列特征和操作码序列特征。

4.根据权利要求3所述的基于多维度特征融合和模型集成的恶意软件家族分类方法，其特征在于，步骤S1包括：

根据获取汇编文件提取Asm2Vec特征，具体包括：

根据汇编文件中的代码执行逻辑有关的语义信息提取Asm2Vec特征。

5.根据权利要求4所述的基于多维度特征融合和模型集成的恶意软件家族分类方法，其特征在于，步骤S2中，根据提取的恶意软件特征进行特征选择，包括：

对经过TF-IDF处理后生成的特征进行特征选择，使用基于树的评估器ExtraTreesClassifier计算特征的重要性，并根据特征重要性剔除无关特征或冗余特征。

6.根据权利要求5所述的基于多维度特征融合和模型集成的恶意软件家族分类方法，其特征在于，步骤S3包括：

以XGBoost作为基础模型，根据得到的恶意软件家族分类特征集中的特征分别单独训练基础模型，并根据训练好的基础模型对训练集样本进行预测，得到每个特征对应的原始预测概率；将训练集样本按其所属家族进行分组，根据每个特征在每组样本的预测结果和真实家族计算logloss，并将logloss的负对数值作为当前特征在当前家族上的权重值；

根据得到的权重值，将每个基础模型的预测概率乘上对应权重然后相加，得到新的预测概率；对于每一个样本，将相加后概率值最大的类确定为投票结果，从参与的所有基础模型中选取预测结果与投票结果一致且预测概率值最大的结果作为恶意软件家族分类预测结果。

7.根据权利要求6所述的基于多维度特征融合和模型集成的恶意软件家族分类方法，其特征在于，还包括步骤S4对于恶意软件家族分类特征集中的各个特征，在计算得到对应的原始预测概率和该特征在各个家族上的权重值后，选取不同的特征集合进行加权软投票处理并得到对应的预测概率，并根据多组预测概率值计算恶意软件家族分类预测结果。