[发明专利]可移植的执行体文件的处理方法、检测方法及装置

权利要求书

1.一种可移植的执行体文件的处理方法，其特征在于，所述方法包括：

预先获取多个正常可移植的执行体PE文件，所述正常PE文件为不包括恶意代码的PE文件；

从所述多个正常PE文件中选择出一个正常PE文件，对选择出的正常PE文件执行以下处理，得到选择出的正常PE文件的N-gram特征，并以此类推，从而得到N-gram特征集，所述N-gram特征集包括所述多个正常PE文件中的每个正常PE文件的N-gram特征：

对所述选择出的正常PE文件的代码进行反汇编，得到第一指令序列，所述第一指令序列中的指令包括操作符和操作数；

依次提取所述第一指令序列中每个指令的操作符，从而生成第一操作符序列；

从所述第一操作符序列中提取至少一个N-gram特征，所述N-gram特征是所述第一操作符序列中连续出现的N个操作符，N为大于1的整数；

针对所述N-gram特征集中的每个N-gram特征，计算对应的在所述多个正常PE文件中的命中次数，并在N-gram特征列表中保存每个N-gram特征以及对应的命中次数。

2.根据权利要求1所述的方法，其特征在于，所述选择出的正常PE文件的代码包括所述选择出的正常PE文件的入口点代码；

所述对所述选择出的正常PE文件的代码进行反汇编包括：

对所述选择出的正常PE文件的入口点代码进行反汇编。

3.一种可移植的执行体文件的检测方法，其特征在于，所述方法包括：

获取未知可移植的执行体文件PE文件，所述未知PE文件是指所属类别为正常PE文件或恶意PE文件尚未确定的PE文件，所述正常PE文件是指不包括恶意代码的PE文件，所述恶意PE文件是指包括恶意代码的PE文件；

对所述未知PE文件的代码进行反汇编，得到第二指令序列，所述第二指令序列中的指令包括操作符和操作数；

依次提取所述第二指令序列中每个指令的操作符，从而生成第二操作符序列；

从所述第二操作符序列中提取至少一个N-gram特征，所述第二操作符序列的N-gram特征是所述第二操作符序列中连续出现的N个操作符，N为大于1的整数；

针对从所述第二操作符序列中提取到的至少一个N-gram特征中的每个N-gram特征，从N-gram特征列表中查询对应的命中次数，所述N-gram特征列表中存储N-gram特征和命中次数之间的映射关系；

生成所述未知PE文件的命中次数列表，所述未知PE文件的命中次数列表中包括从所述未知PE文件中提取到的每个N-gram特征以及对应查询到的命中次数；

获取多个目标PE文件中每个目标PE文件的命中次数列表，所述目标PE文件为不包括恶意代码的PE文件，所述每个目标PE文件的命中次数列表包括所述每个目标PE文件的N-gram特征以及从所述N-gram特征列表中查询到的对应的命中次数：

根据所述未知PE文件的命中次数列表和所述多个目标PE文件中每个目标PE文件的命中次数列表，对所述未知PE文件和所述多个目标PE文件进行聚类；

在聚类结果中，若所述未知PE文件单独成为一个类别，则确认所述未知PE文件为恶意PE文件。

4.根据权利要求3所述的方法，其特征在于，所述方法还包括：

从所述多个目标PE文件中选择出一个目标PE文件，对选择出的目标PE文件执行以下处理，得到选择出的目标PE文件的命中次数列表，并以此类推，从而得到所述多个目标PE文件中每个目标PE文件的命中次数列表：

对所述选择出的目标PE文件的代码进行反汇编，得到第三指令序列，所述第三指令序列中的指令包括操作符和操作数；

依次提取所述第三指令序列中每个指令的操作符，从而生成第三操作符序列；

从所述第三操作符序列中提取至少一个N-gram特征，所述第三操作符序列的N-gram特征是所述第三操作符序列中连续出现的N个操作符，N为大于1的整数；

针对从所述第三操作符序列中提取到的至少一个N-gram特征中的每个N-gram特征，从所述N-gram特征列表中查询对应的命中次数；

生成所述选择出的目标PE文件的命中次数列表，所述选择出的目标PE文件的命中次数列表中包括从所述选择出的目标PE文件中提取到的每个N-gram特征以及对应查询到的命中次数。