[发明专利]一种恶意文件的检测方法和装置

摘要

本发明属于信息安全领域，涉及一种恶意文件的检测方法，所述方法包括：文件反编译步骤，对被检测文件进行反编译，得到底层语言描述的函数数据；数据筛选步骤，对所述函数数据进行筛选，选出样本文件中与用户所写内容所对应的函数数据；数据清洗步骤，对所述与用户所写内容所对应的每个函数进行清洗，去除其中的不稳定字节，得到清洗后的函数数据；比较步骤，将所述被检测文件中的每个用户所写函数与已知的恶意函数和干净函数比较，获取被检测文件中的每个用户所写函数的恶意程度数值；判断步骤，根据被检测文件中的每个用户所写函数的恶意程度数值判断被检测文件的恶意程度。通过上述技术方案，实现把恶意文件的检测粒度降低到函数级别，有利于提高文件恶意性的判定。

主权项

1.一种恶意文件的检测方法，其特征在于，所述方法包括：文件反编译步骤，对被检测文件进行反编译，得到底层语言描述的函数数据；数据筛选步骤，对所述函数数据进行筛选，选出样本文件中与用户所写内容所对应的函数数据；数据清洗步骤，对所述与用户所写内容所对应的每个函数进行清洗，去除其中的不稳定字节，得到清洗后的函数数据；比较步骤，将所述被检测文件中的每个用户所写函数与已知的恶意函数和干净函数比较，获取被检测文件中的每个用户所写函数的恶意程度数值；获取已知的恶意函数和干净函数的方法包括：文件采集步骤，采集样本文件，所述样本文件包含已知的干净文件和恶意文件；文件反编译步骤，分别对每个干净文件和恶意文件进行反编译，得到底层语言描述的函数数据；统计步骤，根据所述清洗后的函数数据统计每个函数在恶意文件和干净文件中出现的次数，由所述次数得到每个函数的恶意程度数值；判断步骤，根据被检测文件中的每个用户所写函数的恶意程度数值判断被检测文件的恶意程度；当获取了每个函数的恶意程度数值之后，将每个函数的恶意程度数值进行叠加，从而得到整个被检测文件的恶意程度数值；然后采用阈值的方式对于所述被检测文件的恶意程度进行过滤，当被检测文件的恶意程度数值大于阈值时则认定该被检测文件为恶意文件，当被检测文件的恶意程度小于阈值时则认定该被检测文件为安全文件；或者当被检测文件的恶意程度位于阈值区间之内时，进行其它方式的恶意程度检测。