[发明专利]一种恶意代码聚类方法及系统

说明书

本发明涉及一种恶意代码聚类方法及系统，涉及计算机领域，方法包括获取恶意代码融合语义文本；对所述恶意代码融合语义文本进行特征提取，得到融合语义序列；根据所述融合语义序列利用恶意代码行为语义表示模型进行文本向量预测，得到行为语义向量；所述恶意代码行为语义表示模型包括分布式存储模型和分布式词袋库模型；根据所述行为语义向量利用恶意代码聚类模型进行聚类，得到聚类后的恶意代码；所述恶意代码聚类模型为训练好的自组织映射神经网络。本发明能够提高恶意代码的聚类效果。

技术领域

本发明涉及计算机领域，特别是涉及一种恶意代码聚类方法及系统。

背景技术

随着网络空间高度互联互通，恶意代码的威胁是网络空间安全领域无法回避的问题。这些恶意代码大多是经过已有的恶意代码变异来的，即恶意代码开发人员为了节省成本，在已有恶意代码的基础上通过修改产生一种新的恶意代码，这类恶意代码往往包含相似的恶意代码行为特征，比如具有相似的控制流程、代码编写习惯、代码片段、关键技术和API调用接口等。因此通过分析恶意代码家族行为特征，能够发现新的恶意代码，有助于研究恶意代码变种规律进而对其溯源。

恶意代码行为分析方法是恶意代码分析领域的重要研究方向。随着恶意代码变种数量的急剧上升，以及恶意代码混淆技术的广泛应用，恶意代码行为分析变得愈发困难。但是代码混淆虽然在一定程度上可以改变语法结构，但却不能改变恶意代码的行为，也就是说无论代码如何变化，代码背后的行为是不会发生变化的，因此基于恶意代码行为语义分析方法成为了恶意代码分析领域的研究热点。

目前基于行为语义的分析方法，主要针对“文件修改”、“进程创建”、“修改注册表”等底层行为的研究，未考虑这些行为之间的上下文语义关系，无法直接获取恶意代码更高层的行为，即难以通过判断底层系统的改变来抽象出更高层次的“文件读写”和“网络传送”等行为。

发明内容

本发明的目的是提供一种恶意代码聚类方法及系统，以提高恶意代码的聚类效果。

为实现上述目的，本发明提供了如下方案：

一种恶意代码聚类方法，包括：

获取恶意代码融合语义文本；

对所述恶意代码融合语义文本进行特征提取，得到融合语义序列；

根据所述融合语义序列利用恶意代码行为语义表示模型进行文本向量预测，得到行为语义向量；所述恶意代码行为语义表示模型包括分布式存储模型和分布式词袋库模型；

根据所述行为语义向量利用恶意代码聚类模型进行聚类，得到聚类后的恶意代码；所述恶意代码聚类模型为训练好的自组织映射神经网络。

可选地，所述对所述恶意代码融合语义文本进行特征提取，得到融合语义序列，具体包括：

对所述恶意代码融合语义文本进行依赖关系分析和程序分块，生成程序控制流图；

遍历所述程序控制流图，根据所述程序控制流图中的基本块信息和API函数信息确定融合语义序列。

可选地，所述根据所述融合语义序列利用恶意代码行为语义表示模型进行文本向量预测，得到行为语义向量，具体包括：

将所述融合语义序列进行预处理，得到独热编码；

根据所述独热编码分别利用所述分布式存储模型和所述分布式词袋库模型进行预测，得到分布式存储模型句子向量和分布式词袋库模型句子向量；

将所述分布式存储模型句子向量和所述分布式词袋库模型句子向量进行拼接，得到行为语义向量。

可选地，所述恶意代码聚类模型的训练过程包括：

以样本集的行为语义向量为输入，以样本集的聚类后的恶意代码为输出，利用竞争学习策略对所述自组织映射神经网络进行训练，得到恶意代码聚类模型。