[发明专利]一种恶意代码的检测方法、装置及计算机可读存储介质

说明书

本发明提供了一种恶意代码的检测方法，包括：获取待检测恶意代码文件的运行信息；将运行信息输入预先利用异构网络的特征训练的恶意代码检测模型，输出待检测恶意代码文件的类别；其中，通过如下步骤来训练恶意代码检测模型：S1，获取文件样本作为训练集；S2，提取文件样本的运行信息；S3，构建异构网络；S4，根据异构网络范式，获得异构网络针对每一异构网络范式的关系邻接矩阵，获得随机游走向量；S5，利用随机游走信息来构建及训练对应的词向量模型和分类模型；S6，对分类结果进行主角度加权来确定待检测恶意代码文件所属的类别。利用上述技术方案，充分利用了恶意代码的环境信息，提高了恶意代码文件分类的准确率。

技术领域

本发明涉及计算机安全领域，特别是涉及一种恶意代码的检测方法、装置 及计算机可读存储介质。

背景技术

二进制恶意代码是各种类型恶意软件的统称，包括病毒、特洛伊木马、后 门、蠕虫等。恶意代码已经对互联网企业、个人用户的数据安全、财产安全造 成了极大的威胁。随着各种开发工具的发展，恶意代码产生越来越简单、反检 测能力越来越强，使得各大反病毒和安全厂商面临着巨大的挑战。

在与恶意代码博弈的过程中，基于特征码的恶意代码检测方法是最常用的 分析手段。特征码检测方法是指从恶意代码中取得代码特征，并用此特征对代 码进行检测的方法。几乎所有主流杀毒软件，如卡巴斯基、赛门铁克、迈克菲 等，都包含基于特征码的恶意代码检测功能。该方法速度快、准确率高，但召 回率与特征码的提取有较大关系，不仅需要技术人员有丰富的经验，而且需要 庞大的病毒库。赛门铁克将启发规则应用到恶意代码的检测中，这种启发式扫 描技术基于定义的扫描技术和给定的判定规则来检测程序中是否存在可疑功 能，并判定恶意代码。基于行为的检测技术也是恶意代码分析的一个重要研究方向，通常与人工智能、数据挖掘技术相结合。

传统的二进制恶意代码分析方法分为静态分析方法、动态分析方法及机器 学习分析方法。静态分析方法通过直接分析二进制文件数据提取软件静态信息 来对软件相似性进行检测。在研究的早期阶段多使用软件的一些功能特征、外 部特征来研究，例如软件大小、软件工作流程等。在之后的研究中，研究人员 还使用了静态指令频率、字符串集合、控制流等特征。静态分析不需要执行软 件，仅通过读取二进制文件就可以进行分析，具有较高的分析速度和安全性， 但静态分析方法无法分析经过混淆、加壳等变形技术处理过的软件，需要与软 件反混淆、脱壳等技术相配合。动态分析方法基于软件运行的实际数据对软 件相似性进行分析，能够有效的对抗代码混淆、软件加壳等软件变形技术。由 于动态分析方法需要执行二进制程序，而执行程序尤其是恶意程序会存在一定 的风险，因此需要在安全环境下进行分析。机器学习检测，是通过提取恶意代 码的特征信息，再通过分类器进行预测，需要收集大量的样本及特征进行训练， 再对未知样本进行预测。而使用机器学习的方法往往会在可用性和解释性上有 所倾向，随着大量高效的分类器问世，特征提取和分析方案中解释性的部分被 忽视。

发明内容

为解决现有技术的上述问题，本发明的实施例提供了一种恶意代码的检测 方法、装置及计算机可读存储介质。

一方面，提供了一种恶意代码的检测方法，用于检测二进制恶意代码的所 属类别，其中包括：

获取待检测恶意代码文件的运行信息，所述运行信息包括所述待检测恶意 代码文件的API调用信息、或API调用信息和DLL调用信息；

将所获取的所述运行信息输入预先利用异构网络的特征训练的恶意代码 检测模型，所述恶意代码检测模型输出所述待检测恶意代码文件所述的类别；

其中，所述恶意代码检测模型包括词向量模型和分类模型，通过如下步骤 训练所述恶意代码检测模型：

S1，获取预定数量的恶意代码文件样本作为训练集；

S2，提取所述恶意代码文件样本的运行信息，所述恶意代码文件样本的运 行信息包括所述待检测恶意代码文件的API调用信息、或API调用信息和DLL 调用信息；