[发明专利]一种基于语义映射关联的恶意代码检测方法

摘要

本发明公开了一种基于语义映射关联融合的恶意代码检测方法，基于恶意代码的动态和静态API序列之间的语义映射关系，将恶意代码样本转化为基于API的特征向量样本，基于得到的恶意代码样本特征向量训练机器学习分类器，实现了恶意代码的检测。本发明通过定义代码行为类型，将代码的静态和动态API序列转换为由行为类型划分的语义块序列，通过语义块之间的映射实现静态和动态API序列的关联和融合，生成了更为丰富特征向量空间，实现了对恶意代码更为系统全面的描绘，有效提升了意代码检测准确率；通过将语义块之间的路径长度作为语义块的权重，可以准确地反映该语义路径的重要程度，从而提高特征向量空间的精确度。

主权项

1.一种基于语义映射关联的恶意代码检测方法，其特征在于，具体包括如下步骤：步骤1.1、针对恶意代码样本空间中的每个样本代码，分别提取其静态和动态API序列，形成初始API序列；步骤1.2、对步骤1.1中得到的动态和静态API序列进行净化处理，去除其中隐藏的API噪声；步骤1.3、基于动态和静态API语义类型的相关性，对步骤1.2得到的动态和静态API序列进行关联融合，生成混合带有权值的API序列，计算每个API的贡献度，再按照贡献度的数值由大到小的顺序对所有API进行排序；步骤1.4、在步骤1.3中得到的API排序中，选择排名靠前的N个API作为特征向量，并以各个API在每个样本中出现的次数作为特征值，为每个样本生成特征向量；步骤1.5、使用步骤1.4生成的恶意代码样本的特征向量作为机器学习方法的输入，对样本进行自动化的分类与检测。