[发明专利]一种检测恶意软件的方法、装置、存储介质和电子设备

权利要求书

1.一种检测恶意软件的方法，其特征在于，包括：

从待检测软件中提取待检测特征；

利用训练好的判别模型对所述待检测特征进行检测，以得到用于确定所述软件是否为恶意软件的检测结果，所述训练好的判别模型是利用正常特征样本、恶意特征样本和对抗样本训练得到的，所述正常特征样本是从正常软件样本中提取的样本，所述恶意特征样本是从恶意软件样本中提取的样本，所述对抗样本是由包含所述判别模型的生成式对抗网络中的生成模型对所述恶意特征样本进行变换处理后获得的。

2.根据权利要求1所述的方法，其特征在于，在所述利用训练好的判别模型对所述待检测特征进行检测之前，所述方法还包括：

固定初始判别模型的参数，根据所述初始判别模型输出的检测结果对初始生成模型进行训练，以得到训练后的生成模型，并由所述训练后的生成模型对所述恶意特征样本进行变换处理，以获得所述对抗样本，所述检测结果是在固定所述初始生成模型的参数的情况下，由所述初始判别模型对所述正常特征样本、所述恶意特征样本或者所述对抗样本进行检测后获得的；

固定所述优化后的生成模型的参数，利用所述对抗样本对所述初始判别模型进行训练，以获得所述训练好的判别模型。

3.根据权利要求2所述的方法，其特征在于，所述由所述训练后的生成模型对所述恶意特征样本进行变换处理，包括：

根据公式对所述恶意特征样本进行进行变换处理；

其中，表示第m个对抗样本，x_m表示第m个恶意特征样本，w_m表示所述第m个恶意特征样本对应的权重，b_m表示所述第m个恶意特征样本对应的偏移量，m为正整数。

4.根据权利要求3所述的方法，其特征在于，所述根据所述初始判别模型输出的检测结果对初始生成模型进行训练，包括：

利用所述检测结果对所述初始生成模型的第一目标函数进行优化，所述第一目标函数为：

其中，L₁表示第一目标函数值，S_Malicious为恶意软件样本库，y_m表示所述第m个恶意特征样本对应的类型标记，表示所述第m个对抗样本对应的检测结果。

5.根据权利要求4所述的方法，其特征在于，所述利用所述对抗样本对所述初始判别模型进行训练，包括：

利用所述对抗样本对所述初始判别模型的第二目标函数进行优化，所述第二目标函数为：

其中，L₂表示第二目标函数值，f_D(x_m)表示所述第m个恶意特征样本对应的检测结果，y_n表示第n个正常特征样本对应的类型标记，f_D(x_n)表示第n个正常特征样本对应的检测结果。

6.根据权利要求1所述的方法，其特征在于，所述待检测特征包括以下特征信息中的至少一种特征信息：软件大小信息、导入动态链接库的数量信息、导入函数的数量信息、代码节的属性信息、图像信息、可打印字符信息和字节熵直方图信息。

7.一种检测恶意软件的装置，其特征在于，包括：

提取模块，用于从待检测软件中提取待检测特征；

检测模块，用于利用训练好的判别模型对所述待检测特征进行检测，以得到用于确定所述软件是否为恶意软件的检测结果，所述训练好的判别模型是利用正常特征样本、恶意特征样本和对抗样本训练得到的，所述正常特征样本是从正常软件样本中提取的样本，所述恶意特征样本是从恶意软件样本中提取的样本，所述对抗样本是由包含所述判别模型的生成式对抗网络中的生成模型对所述恶意特征样本进行变换处理后获得的。