[发明专利]用于检测恶意软件的方法和系统

摘要

本发明涉及一种用于检测恶意软件的方法和系统。该方法可以包括对多个已知洁净的可执行文件的多个元数据字段进行检查。该方法还可以包括对多个已知恶意的可执行文件的多个元数据字段进行检查。该方法可以进一步包括：基于从对多个已知洁净和已知恶意的可执行文件的多个元数据字段进行检查所获取的信息，推导指示恶意软件的元数据字段属性。还公开了对应的系统和计算机可读介质。

主权项

一种用于识别指示恶意软件的头字段属性的计算机实现的方法，所述计算机实现的方法包括：检查多个已知洁净的可执行文件的多个头字段；检查多个已知恶意的可执行文件的多个头字段；通过使用机器学习算法来分析通过对所述多个已知洁净和已知恶意的可执行文件的所述多个头字段进行检查而获取的属性信息，来识别指示恶意软件的头字段属性，将所识别的头字段属性的列表存储在恶意软件元数据字段数据库中，其中：所述恶意软件元数据字段数据库包括指示如何使用所述头字段属性来确定未知可执行文件是否包括恶意软件的信息，所述恶意软件元数据字段数据库包括阈值信息，如果与在所述恶意软件元数据字段数据库中列出的头字段属性匹配的所述未知可执行文件的头字段属性的数目大于或等于阈值数目，则所述阈值信息指示所述未知可执行文件包括恶意软件。