[发明专利]一种基于图像特征描述子的恶意样本同源检测方法

摘要

本发明公开了一种基于图像特征描述子的恶意样本同源检测方法。使用本发明能够避免恶意样本混淆干扰，快速分析出恶意文件的同源性，效率高、精度高、鲁棒性强、扩展性强。本发明通过文件可视化算法进行数据预处理，避免因文件反编译或沙箱运行带来的语义层面的干扰因素，然后在同源性分析领域上利用图像特征提取技术提取恶意程序图像的特征描述子，并以图像特征描述子构建家族特征描述库，利用家族特征库分析比对未知恶意程序的同源性。通过图像特征提取算法获取的图像特征描述子鲁棒性强，且建立样本库后分析效率高，扩展性强。

主权项

一种基于图像特征描述子的恶意样本同源检测方法，其特征在于，包括以下步骤：步骤1，采用B2M算法将样本集中的各二进制的恶意文件转换为矩阵；步骤2，将各矩阵分别看做是一幅图片，采用图像特征提取方法定位各图片的所有特征点；步骤3，在特征点的邻域中进行特征描述子提取；步骤4，将样本集中属于同一个家族的恶意文件的特征描述子的集合作为该家族的特征描述库；步骤5，采用步骤1～步骤3的方式提取待检测恶意文件的特征描述子，将待检测恶意文件的特征描述子分别与各家族特征描述库中的所有特征描述子进行相似度计算，计算得到的相似度大于或等于设定阈值的，认为待检测恶意文件的特征描述子与该特征描述子匹配；各家族特征描述库中，与待检测恶意文件的特征描述子匹配数最多的家族即为待检测恶意文件的所属家族，完成恶意样本同源性检测。