[发明专利]基于LZW压缩算法的未知恶意代码检测方法

摘要

本发明是一种利用压缩算法来检测未知恶意代码的方法，它利用LZW压缩算法提取出的特征字典，通过将待测文件用特征字典进行压缩，并根据压缩率来预测文件的类别。首先，分析恶意代码结构，抽取最能代表其特性的部分。然后，对所抽取的部分利用压缩算法，按照其类别建立符合其统计特性的相应压缩字典(正常代码/恶意代码字典)。最后，通过判断利用正常代码/恶意代码字典对待测文件进行压缩得到的不同压缩率，依据最小描述原则将其归类为能取得最好压缩率的类别，从而达到检测未知恶意代码的目的。

主权项

基于LZW压缩算法的未知恶意代码检测方法，其特征在于，包括以下步骤：首先进行文件的学习：将学习集中样本文件通过定长编码模块将样本集中的非文本文件转换为有明显单词结构的文本文件；将转换后的文件经过LZW字典生成模块，进行压缩字典的生成；并根据样本集是正常代码集或恶意代码集保存为相应的正常代码字典或恶意代码字典，并将两类字典保存到数据库中；然后进行待测文件的分类预测：将待测文件通过定长编码模块将待测文件中的非文本文件转换为有明显单词结构的文本文件，并将保存在数据库中的字典集读取到内存中；根据正常代码字典与恶意代码字典，对经过处理的待测文件进行压缩处理；最后评估结果：根据压缩率判断文件的类别，正常文件类或恶意代码文件类；设正常代码字典压缩待测文件得到压缩率为A，恶意代码字典压缩待测文件得到压缩率为B，则如果A＞B，判断待测文件为正常文件；如果A＜B，判断待测文件为恶意代码文件；压缩率＝(压缩前文件大小-压缩后文件大小)/压缩前文件大小×100％。