[发明专利]基于混合分析的恶意软件家族标签更正方法及装置

说明书

本发明实施例提供一种基于混合分析的恶意软件家族标签更正方法及装置，其中，该方法包括：将至少一个恶意软件家族中的恶意软件通过静态过滤组件进行过滤后送入沙箱，得到动态执行报告；通过预设的行为语义知识库将所述动态执行报告进行语义映射，得到对应的语义序列；将所述语义序列进行相似度聚类得到至少一个恶意软件簇，若恶意软件簇的家族标签存在不一致的情况，则确定该恶意软件簇为不一致簇；确定所述不一致簇的第一距离，以及确定所述不一致簇中每个语义序列的第二距离，根据所述第一距离和所述第二距离更正所述不一致簇中的家族标签。实现了自动化的更正上游任务中家族标注引发的错误。

技术领域

本发明涉及计算机技术领域，尤其涉及一种基于混合分析的恶意软件家族标签更正方法及装置。

背景技术

当前恶意软件家族标签命名存在多方混乱与冲突问题。由于不同厂商对恶意软件分类的方法、角度和命名规则各不相同，因此对于同一样本，不同的厂商和研究者均会给出不同的命名，这些命名彼此之间可能还存在冲突。存在争议的恶意样本标签对于家族分类，变种识别，威胁源画像是极其不利的。

当前大多数恶意软件标签的解决方案是从VirusTotal中反病毒引擎的检测结果中得到，VirusTotal存在多方标签混乱与冲突问题，因此大多数解决方案流于表面，难以深入挖掘标签关系。

当前提取恶意软件家族标签的通用方法：自动化恶意软件标记工具如AVCLASS和Euphony等。自动化恶意软件标记工具是一种在VirusTotal开源情报网站上利用多方反病毒引擎的检测结果进行通用令牌的去除、别名的归并、反病毒引擎的选择与投票等等一系列步骤聚合而来。通用令牌和别名均是通过设定经验阈值在大规模数据上观察得到。因此，难免会出现一些缺失或不正确的情况，从而造成标签数据中存在污染现象，上游的标注错误则会直接影响下游的家族分类任务的效果。

发明内容

针对现有技术中的问题，本发明实施例提供一种基于混合分析的恶意软件家族标签更正方法及装置。

具体地，本发明实施例提供了以下技术方案：

第一方面，本发明实施例提供了一种基于混合分析的恶意软件家族标签更正方法，其特征在于，包括：将至少一个恶意软件家族中的恶意软件通过静态过滤组件进行过滤后送入沙箱，得到动态执行报告；通过预设的行为语义知识库将所述动态执行报告进行语义映射，得到对应的语义序列；将所述语义序列进行相似度聚类得到至少一个恶意软件簇，每个恶意软件簇包括至少一种语义序列，每种语义序列对应一个家族标签，若恶意软件簇的家族标签存在不一致的情况，则确定该恶意软件簇为不一致簇；确定所述不一致簇的第一距离，以及确定所述不一致簇中每个语义序列的第二距离，根据所述第一距离和所述第二距离更正所述不一致簇中的家族标签。

进一步地，所述将至少一个恶意软件家族中的恶意软件通过静态过滤组件进行过滤后送入沙箱，得到动态执行报告，包括：获取至少一个恶意软件家族中的恶意软件的二进制文件；对于每个二进制文件，检测所述二进制文件是否有壳；若检测到没有壳，则将所述二进制文件通过静态过滤组件过滤后输入沙箱，得到动态执行报告；若检测到有壳，则将所述二进制文件输入沙箱确定对应的动态执行报告。

进一步地，所述若检测到没有壳，则将所述二进制文件通过静态过滤组件过滤后输入沙箱，得到动态执行报告，包括：若检测到没有壳，则将所述二进制文件通过静态过滤组件过滤，确定对应的核心代码；根据所述核心代码确定对应的散列值，并根据所述散列值确定关联关系，所述关联关系中包括互不相等的目标散列值；将对应所述目标散列值的二进制文件输入沙箱，得到动态执行报告。

进一步地，所述将所述二进制文件通过静态过滤组件过滤，确定对应的核心代码，包括：根据所述恶意软件的二进制文件确定所述恶意软件的原始程序入口点和文件内容大小；根据所述原始程序入口点和所述文件内容大小确定对应的核心代码。

进一步地，所述行为语义知识库根据ATTCK技术矩阵和Windows编程文档确定。