[发明专利]基于代码切片的家族判定方法、系统及存储介质

权利要求书

1.一种基于代码切片的家族判定方法，其特征在于，包括：

获取待检测文件，并判断文件格式；

根据文件格式，按照最小功能的结构化数据块对待检测文件进行文件切片；

分别计算各切片的模糊哈希；

利用相似度计算方法，将各切片的模糊哈希与恶意代码切片特征库进行关联分析，得到与待检测文件相似的已知样本；

确定关联分析后相似度最高的已知样本；

则所述待检测文件与所述相似度最高的已知样本为同一恶意代码家族；

所述恶意代码切片特征库中存储的为：已知家族的每个恶意代码的切片数据块名称、各切片数据块对应的模糊哈希及家族名称；

所述利用相似度计算方法，将各切片的模糊哈希与恶意代码切片特征库进行关联分析，具体为：计算待检测恶意代码与恶意代码切片特征库中，相同切片数据块名称切片的模糊哈希的相似度，再根据各切片的模糊哈希相似度，计算文件综合相似度，若文件综合相似度超过第一阈值，则待检测文件与对应已知样本相似；

根据各切片的模糊哈希相似度，计算文件综合相似度，具体为：计算各切片的模糊哈希相似度超过第二阈值的数量与待检测文件切片总数的比值，即为文件综合相似度。

2.如权利要求1所述的方法，其特征在于，所述获取待检测文件，并判断文件格式，具体为：获取待检测文件，读取文件内容及大小到内存中，对内存中的内容进行格式识别，确定文件格式。

3.如权利要求1所述的方法，其特征在于，所述根据文件格式，按照最小功能的结构化数据块对待检测文件进行文件切片，具体为：根据文件格式，按照文件结构进行全文遍历，对遍历的每个具有最小功能的结构化数据块进行切片操作，且切片的大小为结构化数据块所定义的长度。

4.一种基于代码切片的家族判定系统，其特征在于，包括：

文件获取模块，获取待检测文件，并判断文件格式；

切片模块，根据文件格式，按照最小功能的结构化数据块对待检测文件进行文件切片；

计算模块，分别计算各切片的模糊哈希；

关联分析模块，利用相似度计算方法，将各切片的模糊哈希与恶意代码切片特征库进行关联分析，得到与待检测文件相似的已知样本；

结果获取模块，确定关联分析后相似度最高的已知样本；

则所述待检测文件与所述相似度最高的已知样本为同一恶意代码家族；

所述恶意代码切片特征库中存储的为：已知家族的每个恶意代码的切片数据块名称、各切片数据块对应的模糊哈希及家族名称；

所述利用相似度计算方法，将各切片的模糊哈希与恶意代码切片特征库进行关联分析，具体为：计算待检测恶意代码与恶意代码切片特征库中，相同切片数据块名称切片的模糊哈希的相似度，再根据各切片的模糊哈希相似度，计算文件综合相似度，若文件综合相似度超过第一阈值，则待检测文件与对应已知样本相似；

根据各切片的模糊哈希相似度，计算文件综合相似度，具体为：计算各切片的模糊哈希相似度超过第二阈值的数量与待检测文件切片总数的比值，即为文件综合相似度。

5.如权利要求4所述的系统，其特征在于，所述获取待检测文件，并判断文件格式，具体为：获取待检测文件，读取文件内容及大小到内存中，对内存中的内容进行格式识别，确定文件格式。

6.如权利要求4所述的系统，其特征在于，所述根据文件格式，按照最小功能的结构化数据块对待检测文件进行文件切片，具体为：根据文件格式，按照文件结构进行全文遍历，对遍历的每个具有最小功能的结构化数据块进行切片操作，且切片的大小为结构化数据块所定义的长度。

7.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-3任一所述的基于代码切片的家族判定方法。