[发明专利]一种样本检测方法、装置、设备及计算机可读存储介质

权利要求书

1.一种样本检测方法，其特征在于，包括：

获取待检测样本；

提取所述待检测样本的静态特征，其中，所述静态特征的特征类型包括：程序数据库文件信息和/或字符串信息和/或代码片段信息；

判断所述待检测样本的静态特征是否与预设的恶意样本家族的静态特征相匹配；

若所述待检测样本的静态特征与所述恶意样本家族的静态特征相匹配，则确定所述待检测样本为恶意样本。

2.根据权利要求1所述的方法，其特征在于，所述确定所述待检测样本为恶意样本之后，还包括：

确定所述待检测样本匹配的恶意样本家族信息。

3.根据权利要求2所述的方法，其特征在于，所述判断所述待检测样本的静态特征是否与预设的恶意样本家族的静态特征相匹配之前，还包括：

获取预设数量的已知恶意样本；

提取所述已知恶意样本的静态特征；

基于所述已知恶意样本的静态特征对所述已知恶意样本进行家族划分，得到所述恶意样本家族信息。

4.根据权利要求3所述的方法，其特征在于，所述基于所述已知恶意样本的静态特征对所述已知恶意样本进行家族划分，得到所述恶意样本家族信息，包括：

将静态特征相似的所述已知恶意样本确定为所述恶意样本家族；

对所述恶意样本家族的静态特征进行聚类，得到所述恶意样本家族信息。

5.根据权利要求4所述的方法，其特征在于，所述将静态特征相似的所述已知恶意样本确定为所述恶意样本家族，包括：

确定各已知恶意样本的程序数据库文件信息间的第一相似度值；

和/或，确定各已知恶意样本的字符串信息间的第二相似度值；

和/或，确定各已知恶意样本的代码片段间的第三相似度值；

基于所述第一相似度值和/或所述第二相似度值和/或所述第三相似度值判断所述已知恶意样本的静态特征是否相似，若是，则将所述已知恶意样本确定为所述恶意样本家族。

6.根据权利要求5所述的方法，其特征在于，所述基于所述第一相似度值和/或所述第二相似度值和/或所述第三相似度值判断所述已知恶意样本的静态特征是否相似，包括：

基于所述第一相似度值和/或所述第二相似度值和/或所述第三相似度值确定所述已知恶意样本间的目标相似度值；

判断所述目标相似度值是否大于预设值，若是，则判定所述已知恶意样本的静态特征相似。

7.根据权利要求5所述的方法，其特征在于，所述对所述恶意样本家族的静态特征进行聚类，得到所述恶意样本家族信息，包括：

对所述恶意样本家族的程序数据库文件信息进行命名规则聚类，得到所述恶意样本家族的命名规则；

和/或，对所述恶意样本家族的字符串信息进行聚类，得到所述恶意样本家族的字符串聚类信息；

和/或，对所述恶意样本家族的代码片段进行聚类，得到所述恶意样本家族的代码片段聚类信息；

将所述命名规则和/或所述字符串聚类信息和/或所述代码片段聚类信息作为所述恶意样本家族信息。

8.根据权利要求1至7任一项所述的方法，其特征在于，所述判断所述待检测样本的静态特征是否与预设的恶意样本家族的静态特征相匹配之后，还包括：

若所述待检测样本的静态特征与所述恶意样本家族的静态特征不匹配，则确定所述待检测样本为恶意样本后，基于所述待检测样本更新所述恶意样本家族。

9.一种样本检测装置，其特征在于，包括：

样本获取模块，用于获取待检测样本；

静态特征提取模块，用于提取所述待检测样本的静态特征，其中，所述静态特征的特征类型包括：程序数据库文件信息和/或字符串信息和/或代码片段信息；

判断模块，用于判断所述待检测样本的静态特征是否与预设的恶意样本家族的静态特征相匹配；若所述待检测样本的静态特征与所述恶意样本家族的静态特征相匹配，则确定所述待检测样本为恶意样本。