[发明专利]一种基于序列比对算法的勒索软件变种检测方法

权利要求书

1.一种基于序列比对算法的勒索软件变种检测方法，其特征在于，具体过程为：勒索软件样本输入，样本特征序列提取，将样本特征序列处理为基因序列，使用分类算法基于样本基因序列进行勒索软件变种检测；所述变种检测具体为：

对样本集中的各个基因序列进行聚类，提取出聚类的结果信息，得到各类勒索软件家族；

采用序列比对算法Needleman-Wunsch计算待检测样本与各类勒索软件家族的类簇中心样本的相似度，选出相似度大于设定阈值的簇，使用筛选出来的簇组成新的勒索软件训练样本集；

对于待检测样本，使用新筛选出来的训练样本集，结合序列比对算法和KNN分类算法确定其所属的勒索软件家族类别，实现变种检测；其中通过序列比对得到的样本相似度作为KNN算法的输入实现对类别未知的样本的分类；

所提取的样本特征序列包括：Web Entities序列、CryptoAPI序列及网络通信协议序列；

所述CryptoAPI序列提取的过程为：根据CryptoAPI的体系结构建立了一个包含CryptoAPI所有函数的集合，然后根据该集合将CryptoAPI调用序列从json报告中提取出来，序列中的一系列CryptoAPI是按照在勒索软件运行过程中被调用的先后顺序排列；

所述输入的勒索软件样本均为PE文件；

所述将样本特征序列处理为基因序列为：将Web Entities序列中的每一个字符串进行直接拼接，将CryptoAPI序列和网络通信协议序列采用与氨基酸一一对应的方式将这两种序列转化为基因序列；

所述Web Entities序列为利用Google Vision API图像识别软件对勒索信息截图进行了文本信息的分析获取。

2.根据权利要求1所述基于序列比对算法的勒索软件变种检测方法，其特征在于，使用样本汇编指令操作码的3gram序列来对训练样本集中的勒索软件样本进行聚类，使用反汇编工具得到训练样本集中所有勒索软件样本的汇编代码文件之后从中提取操作码的3gram，从所有的3gram中筛选出出现次数最多的前500个，分别统计这500个3gram在每个样本中的出现次数，这样对每个样本可以形成一个500维的特征向量作为聚类算法的输入。

3.根据权利要求1所述基于序列比对算法的勒索软件变种检测方法，其特征在于，采用K-means算法对样本集中的各个基因序列进行聚类。