[发明专利]一种实现恶意代码标注的方法及系统

说明书

本发明公开了一种实现恶意代码标注的方法及装置，包括：将恶意代码的可移植的执行体（PE）文件进行处理，获取恶意代码的信息摘要签名和基准标注和纹理特征；根据基准标注及信息摘要签名，将属于同一恶意代码家族的纹理特征生成相应的纹理特征集合；根据纹理特征集合生成第一聚类簇，将第一聚类簇进行合并以生成第二聚类簇，结合信息摘要签名及恶意代码家族深度命名对第二聚类簇进行深度标注。本发明通过对恶意代码进行基准标注和深度标度，采用信息摘要签名及恶意代码家族深度命名，规范了各恶意代码家族的标注方法，提高了对恶意代码标注的准确性和通用性。

技术领域

本发明涉及计算机安全领域，尤指一种基于纹理聚类实现恶意代码标注的方法及系统。

背景技术

随着计算机技术和互网络应用的快速发展，信息安全变得愈发重要，信息安全也成为一个备受关注的重要研究领域。面对层出不穷的安全问题和爆炸式增长的恶意软件及其变种，需要不断完善和提高检测技术，做到及时准确的检测和查杀。

恶意软件是一段计算机指令，由攻击者通过系统安全漏洞或其他方法将恶意代码植入被攻击值的计算机中，使得被攻击者的计算机按照攻击者的意愿执行任务，任何能对计算机系统信息安全造成威胁的计算机指令序列和数据都可以归属于恶意软件。常见的恶意软件有：漏洞攻击程序、计算机恶意代码、蠕虫、恶意移动脚本、后门、木马、RootKit、间谍软件以及更深层次的BIOS木马、恶意CPU微代码等，当然还包括以上类型恶意软件的组合成的恶意软件。

反恶意代码防御恶意软件(AV)软件产品主要使用基于签名的方法来识别威胁，对于对给定一组恶意软件样本，这些AV厂商首先将样本标注为家族，在同一个家族的样本具有共同的特征，并使用这些公共特征作为恶意代码家族的特征，以此来检测该恶意代码家族的变种。

恶意代码的分类标注主要通过人工分析和经验，查找描述库和搜索示例作为辅助手段。人工分析方法通常时间密集型和劳动密集型，而且分析人员经验与标注正确关系较大。当前，由于恶意代码源码公开、自动生成机的普及、黑客工具的肆意传播使得恶意代码已经形成灰色产业链，这导致恶意代码规模呈指数级增长，Symantec的2010年报告指出，2008年新增恶意代码169323例，2009年新增2895802例，2010年Symantec的恶意代码的语料库规模达到了286000000例。恶意代码的规模和增长速度为分析工作带来严峻挑战，主要表现为两个方面，一是如何能够自动提取反应恶意代码本质的特征，为下一步进行自动分析或人工分析提供更为全面描述信息；第二点就是根据特征如何能更为快速对未知恶意样本进行自动标注，从而提升处理速度或提高人工分析效率。

在过去几年里，针对恶意代码自动标注系统已经取得了一定的成果，研究人员已经开发了各式的恶意软件自动分类系统。在这些系统中，恶意代码检测过程一般可以概括为两个步骤，特征提取和分类标注。在第一步中，通过使用静态分析或动态分析方法将恶意代码的特征提取以作为其特征向量，例如API调用、指令序列调用等。在第二步中，智能分析技术将使用步骤一提供的特征向量自动标注恶意代码，即将恶意代码分类到某个恶意代码家族。上述的家族类别标注方法，使用分类或聚类技术能够将恶意样本进行划分，但普遍存在家族判定时效性差、特征提取能力不足、命名规则不统一，甚至频繁出现即使名称相同也不一定是同一个家族的样本。

由于以上问题，大多数家族标注方法难以应用到工业界中，而且由于不同反恶意程序软件公司采用的标注方法不同，例如，由于缺乏监督信息，不同AV公司采用的特征提取技术也不尽相同，不同的聚类算法得出的分类结果也差异较大，甚至由于随机初始化和随机模型的差异，同一个聚类算法得出的分类结果也不相同。因此，会大量存在不同的反恶意程序软件给出的恶意代码的分类结果各有不同，命名规则也没有统一的标准，即使名称相同也不一定是同一个家族的样本。

综上，目前的恶意代码分类标注方法中，标注方法不统一，家族标注准确度不高等问题。

发明内容