[发明专利]基于文件指令序列的计算机恶意程序分类系统和分类方法

摘要

本发明涉及基于文件指令序列的计算机恶意程序分类系统及其方法。基于文件指令序列的计算机恶意程序分类系统包括：指令序列特征提取模块，其生成指令片段的集合；样本文件差异度计算模块，其计算两个样本点之间的差异度；维度权值计算模块，其计算每个家族中各个维度的权值及各家族的维度权值向量；样本分家族模块，其调用上述各模块完成对所有样本点进行分家族工作。上述装置可根据文件指令序列对恶意程序样本进行合理分家族。

主权项

1、一种基于文件指令序列的计算机恶意程序分类系统，其特征在于，包括指令序列特征提取模块，其首先将样本文件脱壳，提取样本文件中所包含的所有函数，并剔除函数中的操作数，只保留汇编指令，然后以函数为单位，将每个函数的指令序列隔指定的步长进行切片，统计每个样本文件出现的指令片段，生成一个指令片段的集合，作为样本文件的特征表征；样本文件差异度计算模块，其计算两个恶意程序样本文件之间的差异度，其计算公式为：WJDmn=wm·Xm∪wn·Xn-wm·Xm∩wn·Xnwm·Xm∪wn·Xn]]>----公式(1)在公式(1)中，w_m和w_n分别指的是文件m和文件n所在家族的权值向量，WJD_mn表示文件m和文件n之间的差异度，X_m与X_n分别表示文件m和文件n的特征向量；维度权值计算模块，其计算每个家族中各个维度的权值，其计算公式为：——公式(2)从而得到家族i的权值向量为w_i＝[w_i1，w_i2，...，w_id]——公式(3)公式(2)中，w_ij表示家族i中第j维的权值；d为样本全集的维度总数；Dij=Σxi∈XiWij′(xij-cij)2]]>表示家族i中的所有样本点与该家族的中心点c_i在第j维上的偏差；c_ij表示家族i的中心点c_i第j维的值，x_ij表示家族i中的样本点x_i第j维的值；w′_ij为上一次迭代过程中的w_ij；Eij=Σxk∉Xiwij′(xkj-cij)2]]>表示家族i以外的其它家族中的所有样本点与家族i的中心点c_i在第j维上的偏差；x_kj表示家族i以外的其它家族的样本点x_k第j维的值；样本分家族模块，其调用上述各模块完成对所有样本点进行分家族工作。