[发明专利]一种基于调用习惯的恶意代码自动化同源判定方法及系统

摘要

本发明公开了一种基于WinAPI调用习惯的恶意代码自动化同源判定方法及系统，根据某作者的恶意代码样本集构建该作者的WinAPI调用习惯模型并选择同源判定阈值，依据WinAPI调用习惯模型与同源判定阈值判定待测样本是否同源，与人工同源判定相比，在保持高准确率的前提下大大提高了同源判定的效率，适合已知某作者多个样本，在海量样本集中或在线实时检测该作者所编写的其他恶意代码的场景。此外，本发明通过对比实验表明，与恶意代码家族判定相比，本发明具有跨家族同源判定的能力。

主权项

一种基于恶意代码作者调用习惯的恶意代码自动化同源判定方法，包括：1)获取恶意代码样本作为训练样本；2)提取训练样本中的WinAPI调用特征项，构建WinAPI调用习惯模型，并选择同源判定阈值，所述WinAPI调用特征项包括：①样本级2‑WinAPI组合特征项：恶意代码作者在一个样本中同时调用的两个WinAPI，表征在编写恶意代码时的WinAPI组合习惯；②Proc级2‑WinAPI组合特征项：恶意代码作者在编写函数中同时调用的两个WinAPI，表征在函数设计中的WinAPI组合习惯；③Proc级2‑WinAPI分离特征项：恶意代码作者在不同函数中使用的两个WinAPI，表征在函数设计中的不同WinAPI分开使用的习惯；④Loc级2‑WinAPI组合特征项：恶意代码作者在Loc代码段中同时调用的两个WinAPI，表征Loc代码段中的WinAPI组合习惯；⑤Loc级单独调用WinAPI特征项：恶意代码作者在Loc代码段中只调用了一个WinAPI，表征作者在Loc代码段中的WinAPI调用习惯；⑥Loc级WinAPI序列特征项：恶意代码作者在Loc代码段中调用的WinAPI序列，表征作者在Loc代码段中的WinAPI调用序列习惯；⑦Loc级WinAPI调用先后次序组合特征项：恶意代码作者在Loc代码段中调用WinAPI的先后关系，表征作者在Loc代码段中调用WinAPI的顺序习惯；3)提取待测样本中的WinAPI调用特征项，并计算得到相应的同源度；4)将待测样本的同源度与步骤2)选择的同源判定阈值进行比较，完成恶意代码自动化同源判定。