[发明专利]恶意程序特征提取方法和系统

摘要

本发明提供了恶意程序特征提取方法和系统，涉及恶意程序识别技术领域，包括利用静态分析技术提取被测目标的静态信息；在沙箱中运行被测目标，监控被测目标的调用函数并进行拦截，对调用函数进行处理，得到行为信息；在沙箱的作用下，利用二进制动态插装技术对被测目标进行动态二进制插装，干涉控制流并获取控制流信息；获取被测目标的当前动态执行基本块信息，并给基本块设置编号，记录基本块的调用编号序列以及每个基本块对应的相关信息，得到汇编指令流快照信息；对静态信息、控制流信息、汇编指令流快照信息和行为信息进行特征提取，得到多维特征信息。本发明可以对恶意程序进行深度的特征提取，提高了恶意程序识别的准确度和精度。

主权项

一种恶意程序特征提取方法，其特征在于，包括：利用静态分析技术，通过编写IDA python脚本，利用IDA命令行参数自动载入并执行被测目标，记录所述被测目标的静态信息；在沙箱中运行所述被测目标，监控所述被测目标的调用函数并进行拦截，对所述调用函数进行处理，得到行为信息；在所述沙箱的作用下，利用二进制动态插装技术对所述被测目标进行动态二进制插装，对被测目标的函数进行解析，获取解析信息，动态执行所述被测目标，根据所述解析信息获取控制流信息；获取所述被测目标的当前动态执行基本块信息，并按照执行顺序给基本块设置编号，记录所述基本块的调用编号序列以及每个所述基本块对应的相关信息，用于离线重放指令流执行快照，从而得到汇编指令流快照信息；对所述静态信息、所述控制流信息、所述汇编指令流快照信息和所述行为信息进行特征提取，得到多维特征信息。