[发明专利]一种基于模糊汇编指令序列的恶意代码家族分类方法

说明书

本发明涉及一种基于模糊汇编指令序列的恶意代码家族分类方法，属于计算机网络恶意代码检测技术领域。本方法从不同家族的恶意代码中提取出过滤立即数操作数和常量地址操作数后的模糊汇编指令序列特征，训练用于恶意代码家族分类的长短期记忆网络模型。采用的模糊汇编指令序列较现有的字节码序列和操作码序列，在PE恶意代码家族分类任务中具有更高的准确率。采用的模糊汇编指令序列，使用编写的指令掩码对部分类型操作数进行了屏蔽，向较现有字节码序列特征，降低了输入序列的长度，在LSTM模型训练和检测家族环节具有更低的时间成本。相较现有的操作码序列特征，增强了对不同恶意代码家族的刻画能力，具有更好的检测结果。

技术领域

本发明涉及一种网络恶意代码家族分类方法，具体涉及一种基于模糊汇编指令序列的恶意代码家族分类方法，属于计算机网络恶意代码检测技术领域。

背景技术

随着互联网的发展，恶意代码攻击呈指数级增长，已经成为网络安全的主要威胁之一。日益严峻的信息安全问题，使得个人隐私信息被恶意利用，企业蒙受巨大的经济损失，国家的安全也面临严重威胁。

随着恶意代码数量日益庞大，威胁日益严重，计算机系统的恶意软件检测与防御已成为用户和企业一项重要的网络安全任务。恶意代码的发展趋势十分迅猛，传统的人工分析已经无法应对如此大量的恶意代码样本，大数据处理和机器学习技术被广泛采用。

现有的二进制格式恶意代码家族分类方法，普遍以原始的二进制字节码序列或汇编指令的操作码序列作为特征。但是，这种分类方法建立在同一家族的恶意代码通常在若干段序列片段具有较高相似度的假设之上，恶意代码多态变形技术的出现影响了分类方法的性能。同时，由于指令和代码块位置重新排列，导致二进制字节码序列的相似度降低，而汇编指令操作码序列由于抛弃了全部操作数信息，不能更准确的刻画不同家族的恶意代码特征，在一定程度上损失了分类性能。

发明内容

本发明的目的是针对现有技术存在的缺陷，为了解决传统方法在检测时，对恶意代码多态变体的分类结果不准确、鲁棒性差的技术问题，提出了一种基于模糊汇编指令序列的恶意代码家族分类方法。

本发明的创新点在于：从不同家族的恶意代码中提取出过滤立即数操作数和常量地址操作数后的模糊汇编指令序列特征，训练用于恶意代码家族分类的长短期记忆网络模型。

一种基于模糊汇编指令序列的恶意代码家族分类方法，包括以下步骤：

首先，反汇编提取准确的汇编指令序列。

然后，编写过滤规则，筛除汇编指令中的立即数和常量内存地址类型的操作数，形成模糊汇编指令序列。

最后，以模糊汇编指令序列特征训练长短期记忆网络，并用于恶意代码家族分类。

有益效果

本发明方法，对比现有技术，具有以下优点：

1.本方法采用的模糊汇编指令序列较现有的字节码序列和操作码序列，更能反映出PE恶意代码的家族性特征，本发明在PE恶意代码家族分类任务中具有更高的准确率。

2.本方法采用的模糊汇编指令序列，使用人工编写的指令掩码对部分类型操作数进行了屏蔽，较现有字节码序列特征，降低了输入序列的长度，在LSTM模型训练和检测家族环节具有更低的时间成本；较现有操作码序列特征，增强了对不同恶意代码家族的刻画能力，具有更好的检测结果。

附图说明

图1为本发明方法的流程图。

图2为本发明中从精确汇编指令中过滤的立即数和常量内存地址类型操作数。

具体实施方式

为了便于本领域普通技术人员的理解和实施本发明，下面结合附图和实施例对本发明做进一步说明和详细描述，应当理解，此处所描述的实施示例仅用于说明和解释本发明，并不用于限定本发明。