[发明专利]用于检测未知恶意软件的系统和方法

权利要求书

1.一种用于检测未知恶意软件的方法，所述方法包括：

为多个已知恶意的和干净的对象的每一个生成至少一个对象基因，其中对象基因为包含从对象中检索的或与对象相关联的多个信息元素的数据结构；

使用一个或多个恶意软件分析方法来分析每个对象基因；

基于通过所述方法对所述已知恶意对象的基因的分析来计算通过一个恶意软件分析方法或者两个或多个恶意软件分析方法的组合对恶意对象的成功检测水平；

基于通过所述方法对已知干净对象的基因的分析来计算通过一个恶意软件分析方法或者两个或多个恶意软件分析方法的组合对干净对象的误报检测水平；

以所述已知恶意对象的所述成功检测水平和所述已知干净对象的所述误报检测水平的函数来衡量恶意软件分析方法的每一个或所述组合的有效性；以及

选择最有效的恶意软件分析方法的一个或者组合来分析未知对象是否存在恶意软件。

2.如权利要求1所述的方法，进一步包括：

识别所述未知对象的文件类型；

基于所述对象的所述文件类型，选择所述最有效的恶意软件分析方法的所述一个或所述组合；

为每个所选择的恶意软件分析方法，生成所述未知对象的基因；

使用所述所选择的恶意软件分析方法来分析所述未知对象的所述基因；

基于使用所述所选择的恶意软件分析方法对所述对象基因的分析的结果，确定所述未知对象是恶意的或干净的。

3.如权利要求1所述的方法，其中所述恶意软件分析方法的有效性水平定义为已知恶意对象的所述成功恶意软件检测水平与已知干净对象的所述误报检测水平的比率。

4.如权利要求1所述的方法，其中使用恶意软件分析方法的已知恶意对象的所述成功检测水平定义为使用所述方法检测到的已知恶意对象的数量与已知恶意对象的总数量之间的比率。

5.如权利要求1所述的方法，其中使用恶意软件分析方法的已知干净对象的所述误报检测水平定义为使用所述方法识别为恶意的干净对象的数量与已知干净对象的总数量之间的比率。

6.如权利要求1所述的方法，其中所述恶意软件分析方法包括以下各项中的一个或多个：分析所述对象的独特的代码行、分析所述对象的可操作区域、分析所述对象的执行路径、分析所述对象的行为模式、分析程序流程图以及分析所述对象的函数调用图表。

7.根据权利要求1所述的方法，其中使用所述恶意软件分析方法分析对象基因进一步包括以下各项中的一个或多个：

对所述对象基因的信息元素的模式与和已知恶意的或干净的对象相关联的信息元素的模式执行精确匹配分析；

对所述对象基因的所述信息元素与和已知恶意的或干净的对象相关联的信息元素的模式执行近似字符串匹配；

通过分别评估所述信息元素的各自逻辑块的恶意性，对所述对象基因的所述信息元素执行安全评级分析。

8.一种用于检测未知恶意软件的系统，所述系统包括：

存储器，其经配置以存储多个已知恶意的和干净的对象；

处理器，其耦合至所述存储器，并经配置以：

为多个已知恶意的和干净的对象的每一个生成至少一个对象基因，其中对象基因为包含从对象中检索的或与对象相关联的多个信息元素的数据结构；

使用一个或多个恶意软件分析方法来分析每个对象基因；

基于通过所述方法对所述已知恶意对象的基因的分析来计算通过一个恶意软件分析方法或者两个或多个恶意软件分析方法的组合对恶意对象的成功检测水平；

基于通过所述方法对已知干净对象的基因的分析来计算通过一个恶意软件分析方法或者两个或多个恶意软件分析方法的组合对干净对象的误报检测水平；

以所述已知恶意对象的所述成功检测水平和所述已知干净对象的所述误报检测水平的函数来衡量恶意分析方法的每一个或所述组合的有效性；以及

选择最有效的恶意软件分析方法的一个或组合来分析未知对象是否存在恶意软件。