[发明专利]基于文件指令序列的计算机恶意程序分类系统和分类方法

权利要求书

1.一种基于文件指令序列的计算机恶意程序分类系统，

其特征在于，包括

指令序列特征提取模块，其首先将样本文件脱壳，提取样本文件 中所包含的所有函数，并剔除函数中的操作数，只保留汇编指令，然 后以函数为单位，将每个函数的指令序列隔指定的步长进行切片，统 计每个样本文件出现的指令片段，生成一个指令片段的集合，作为样 本文件的特征表征；

样本分家族模块，其通过如下过程完成对所有样本点进行分家族 工作：

A.接受用户输入的分类家族数K，K为大于0的自然数，然后从 所有样本点中随机选取K个样本点作为K个家族的初始中心点；

B.将每个维度的权值设置成1/d，其中d为样本全集的维度总数；

C.根据公式(1)计算所有K个初始中心点以外的其它样本点与 K个初始中心点的差异度后，将相应的样本点划分到与之差异度 最小的初始中心点所属的家族中；

WJDmn=wm·Xm∪wn·Xn-wm·Xm∩wn·Xnwm·Xm∪wn·Xn]]>——公式(1)

在公式(1)中，w_m和w_n分别指的是文件m和文件n所在家族的权值向 量，WJD_mn表示文件m和文件n之间的差异度，X_m与X_n分别表示文件 m和文件n的特征向量；

D.划分结束后，根据公式(1)重新确定K个家族的中心点；确 定完中心点后，根据公式(2)重新计算每个维度在各个家族中的权 值；

——公式(2)

从而得到家族i(1≤i≤K，i为自然数)的权值向量为：

w_i＝[w_i1，w_i2，...，w_id]    ——公式(3)

在公式(2)中，w_ij表示家族i中第j维的权值；d为样本全集 的维度总数；表示家族i中的所有样本点与该 家族的中心点c_i在第j维上的偏差；c_ij表示家族i的中心点c_i第j 维的值，x_ij表示家族i中的样本点x_i第j维的值；w′_ij为上一次迭代 过程中的w_ij；表示家族i以外的其它家族中的所 有样本点与家族i的中心点c_i在第j维上的偏差；x_kj表示家族i以外 的其它家族的样本点x_k第j维的值；

E.所有K个家族的维度权值向量更新完成之后，检查各家族的 中心点与上一次迭代的结果相比是否不再发生改变，若不再改变即收 敛，则算法结束，或者对样本点的划分到达指定的迭代次数，则算法 结束，以此时所划分的K个家族为最后的家族划分结果；否则，以新 确定的K个中心点作为新的初始中心点，并返回以上过程C-D，直 到算法收敛。