[发明专利]恶意代码家族属性的识别方法、装置及电子设备

说明书

本发明提出一种恶意代码家族属性的识别方法、装置及电子设备，其中，方法包括：获取待识别的对象的内存镜像文件，从内存镜像文件中提取有效的字符串；根据字符串，获取对象与每个家族之间的相似度；根据内存镜像文件，获取对象的第一图像指纹；根据每个家族中每个病毒样本的内存镜像文件，获取每个病毒样本的第二图像指纹；将第一图像指纹与每个家族的每个第二图像指纹进行比较，获取对象与每个家族之间的汉明距离；根据每个家族对应的相似度和汉明距离，确定对象的家族属性。由此，通过恶意代码与家族之间的相似度和汉明距离即可准确识别出恶意代码的家族属性，提高了恶意代码家族属性识别的通用性、鲁棒性和准确性。

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种恶意代码家族属性的识别方法、装置及电子设备。

背景技术

在网络安全领域，每天都能检测到成千上万条的恶意代码数据。这些恶意代码数据一部分是已知恶意代码的变种，另一部分则来自未知恶意代码家族。如何快速检测出这些恶意代码数据的家族属性对于保障网络安全来说是十分重要的。

为了提高网络安全，反病毒、反调试的技术也日新月异，但是恶意代码编写者通常采用加壳、混淆、免杀等对抗处理手段对恶意代码进行变种，以摆脱对恶意代码数据的检测。

如何快速识别恶意代码的共性及差异，进而分析形成检测规则来对抗恶意代码，以保障网络安全是一个持久化的研究课题。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，本发明的第一个目的在于提出一种恶意代码家族属性的识别方法，通过恶意代码与家族之间的相似度和汉明距离即可准确识别出恶意代码的家族属性，提高了恶意代码家族属性识别的通用性、鲁棒性和准确性。

本发明的第二个目的在于提出一种恶意代码家族属性的识别装置。

本发明的第三个目的在于提出一种电子设备。

本发明的第四个目的在于提出一种计算机程序产品。

本发明的第五个目的在于提出一种非临时性计算机可读存储介质。

为达上述目的，本发明第一方面实施例提出了一种恶意代码家族属性的识别方法，包括：获取待识别的对象的内存镜像文件，从所述内存镜像文件中提取有效的字符串，其中，所述对象为待识别的恶意代码；根据所述字符串，获取所述对象与每个家族之间的相似度；根据所述内存镜像文件，获取所述对象的第一图像指纹；根据每个家族中每个病毒样本的内存镜像文件，获取每个病毒样本的第二图像指纹；将所述第一图像指纹与每个家族的每个第二图像指纹进行比较，获取所述对象与每个家族之间的汉明距离；根据每个家族对应的所述相似度和所述汉明距离，确定所述对象的家族属性。

本发明实施例的恶意代码家族属性的识别方法，获取待识别的恶意代码的内存镜像文件中的有效的字符串，然后，根据字符串，获取对象与每个家族之间的相似度，之后，根据内存镜像文件，获取对象的第一图像指纹，然后，根据每个家族中每个病毒样本的内存镜像文件，获取每个病毒样本的第二图像指纹，以及将第一图像指纹与每个家族的每个第二图像指纹进行比较，获取对象与每个家族之间的汉明距离，并根据每个家族对应的相似度和汉明距离，确定对象的家族属性。由此，通过恶意代码与家族之间的相似度和汉明距离即可准确识别出恶意代码的家族属性，提高了恶意代码家族属性识别的通用性、鲁棒性和准确性。