[发明专利]恶意文件识别方法及装置

权利要求书

1.一种恶意文件识别方法，其特征在于，包括：

提取待识别的样本文件的弱特征集；

根据所述弱特征集查找预先建立的黑、白权值表，获取黑权值和白权值；

根据所述黑权值和白权值及预定算法，计算获取黑权值系数；

根据所述黑权值系数识别所述样本文件的黑白属性。

2.根据权利要求1所述的方法，其特征在于，所述根据黑权值系数识别所述样本文件的黑白属性的步骤包括：

将所述黑权值系数与第一预置阈值进行比较；

若所述黑权值系数大于所述第一预置阈值，则识别出所述样本文件为黑样本文件。

3.根据权利要求2所述的方法，其特征在于，所述根据黑权值系数识别所述样本文件的黑白属性的步骤进一步包括：

将所述黑权值系数与第二预置阈值进行比较；所述第二预置阈值小于所述第一预置阈值；

若所述黑权值系数大于所述第二预置阈值且小于所述第一预置阈值；则识别出所述样本文件为黑可疑样本文件。

4.根据权利要求1、2或3所述的方法，其特征在于，所述提取待识别的样本文件的弱特征集的步骤之前还包括：

选取已知的黑样本集和白样本集进行训练，提取其中每个样本的弱特征集；

为每一弱特征集设定权值，建立所述黑、白权值表。

5.根据权利要求4所述的方法，其特征在于，所述弱特征集包括一维特征的集合或者多维特征组合的集合。

6.根据权利要求4所述的方法，其特征在于，在提取弱特征集时，提取的特征范围包括文件的内在特征和外围信息，所述内在特征至少包括以下之一：样本文件的版本信息、编译信息、敏感字符串、文件图标；所述外围信息至少包括以下之一：文件在用户机器上存放的路径、文件名。

7.一种恶意文件识别装置，其特征在于，包括：

提取模块，用于提取待识别的样本文件的弱特征集；

查找模块，用于根据所述弱特征集查找预先建立的黑、白权值表，获取黑权值和白权值；

计算模块，用于根据所述黑权值和白权值及预定算法，计算获取黑权值系数；

识别模块，用于根据所述黑权值系数识别所述样本文件的黑白属性。

8.根据权利要求7所述的装置，其特征在于，所述识别模块还用于将所述黑权值系数与第一预置阈值进行比较；若所述黑权值系数大于所述第一预置阈值，则识别出所述样本文件为黑样本文件。

9.根据权利要求8所述的装置，其特征在于，所述识别模块还用于将所述黑权值系数与第二预置阈值进行比较；所述第二预置阈值小于所述第一预置阈值；若所述黑权值系数大于所述第二预置阈值且小于所述第一预置阈值；则识别出所述样本文件为黑可疑样本文件。

10.根据权利要求7、8或9所述的装置，其特征在于，还包括：

建立模块，用于选取已知的黑样本集和白样本集进行训练，提取其中每个样本的弱特征集；为每一弱特征集设定权值，建立所述黑、白权值表。

11.根据权利要求10所述的装置，其特征在于，所述弱特征集包括一维特征的集合或者多维特征组合的集合。