CN103761481A - 一种恶意代码样本自动处理的方法及装置 - Google Patents

Abstract

本发明公开了一种恶意代码样本自动处理的方法及装置，该方法包括：获取恶意代码样本；从获取的恶意代码样本中提取静态特征；将恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配；如果根据静态特征库无法判断获取的恶意代码样本是恶意代码，则继续从恶意代码样本中提取动态行为特征；将恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配；如果根据动态行为特征库判断出获取的恶意代码样本不是恶意代码，进行误报反馈，以提示恶意代码样本为非恶意代码，实现对恶意代码样本的准确识别，降低恶意代码的误报率。

Description

一种恶意代码样本自动处理的方法及装置

技术领域

本发明属于计算机技术领域，尤其涉及一种恶意代码样本自动处理的方法及装置。

背景技术

恶意代码（Malicious code）也称为恶意软件（Malware）。恶意代码为“运行在计算机上，使系统按照攻击者意愿执行任务的一组指令”。恶意代码通过将指令在隐蔽自身的条件下嵌入到其他代码中，从而达到破坏被感染计算机上的数据信息的完整性、运行具有入侵性的程序的目的。恶意代码的类型包括计算机病毒（Virus）、蠕虫（Worm）、特洛伊木马（Trojan horse）、僵尸网络（Botnet）、间谍网络（spyware）、后门（Backdoor）、Rootkitsd等。

当前计算机恶意代码正以惊人的速度蔓延开来，对计算机系统的安全构成了严重的威胁。早期的反病毒软件利用恶意代码的特征码这一静态特征来识别和检测隐藏在系统中的恶意代码，起到了一定的效果，但需要实时更新恶意代码的特征码数据库，严重占用系统资源。对于新出现的未知恶意代码更是无能为力。原因一方面是新恶意代码层出不穷；另一方面，许多恶意代码还在不停衍生出新的变种。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的恶意代码样本自动处理的方法及装置。

依据本发明的一个方面，提供了一种恶意代码样本自动处理的方法，包括

获取恶意代码样本；

从获取的所述恶意代码样本中提取静态特征；

将所述恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配；

如果根据所述静态特征库无法判断获取的恶意代码样本是恶意代码，则继续从所述恶意代码样本中提取动态行为特征；

将所述恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配；

如果根据所述动态行为特征库判断出获取的恶意代码样本不是恶意代码，进行误报反馈，以提示所述恶意代码样本为非恶意代码。

可选地，所述方法还包括：

如果根据所述动态行为特征库判断出获取的恶意代码样本是恶意代码，则将所述恶意代码样本标识为恶意代码。

可选地，在将所述恶意代码样本标识为恶意代码之后，所述方法还包括：

计算标识为恶意代码的所述恶意代码样本的校验值；

将获取的所述恶意代码样本的校验值发送至云端服务器，由所述云端服务器对所述恶意代码样本的校验值进行分类存储。

可选地，所述静态特征至少包括以下中的任意一种：所述恶意代码样本的二进制文件、所述恶意代码样本的函数结构、所述恶意代码样本的至少部分字符串以及所述恶意代码样本对应的图标；

所述将所述恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配的步骤包括：

将所述恶意代码样本的二进制文件与静态特征库中的已知恶意代码二进制文件进行匹配；或者

将所述恶意代码样本的函数结构与静态特征库中的已知恶意代码函数结构进行匹配；或者

将所述恶意代码样本的至少部分字符串与静态特征库中的已知恶意代码字符串进行匹配；或者

将所述恶意代码样本对应的图标与静态特征库中的已知恶意代码图标进行匹配。

可选地，所述恶意代码样本的动态行为特征至少包括以下中的任意一种：所述恶意代码样本的虚拟行为启发时的行为特征、所述恶意代码样本的网络行为特征和所述恶意代码样本的在沙箱中运行时的行为特征；

所述将所述恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配的步骤包括：

将所述恶意代码样本的虚拟行为启发时的行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

将所述恶意代码样本的网络行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

将所述恶意代码样本的在沙箱中运行时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。

依据本发明的另一个方面，还提供了一种恶意代码样本自动处理的装置，包括：

获取模块，用于获取恶意代码样本；

静态特征提取模块，用于从获取的所述恶意代码样本中提取静态特征；

静态特征匹配模块，用于将所述恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配；

动态行为特征提取模块，用于如果根据所述静态特征库无法判断获取的恶意代码样本是恶意代码，则继续从所述恶意代码样本中提取动态行为特征；

动态行为特征匹配模块，用于将所述恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配；

误报反馈模块，用于如果根据所述动态行为特征库判断出获取的恶意代码样本不是恶意代码，进行误报反馈，以提示所述恶意代码样本为非恶意代码。

可选地，所述装置还包括：

恶意代码标识模块，用于如果根据所述动态行为特征库判断出获取的恶意代码样本是恶意代码，则将所述恶意代码样本标识为恶意代码。

可选地，所述装置还包括：

校验值计算模块，用于计算标识为恶意代码的所述恶意代码样本的校验值；

发送模块，用于将获取的所述恶意代码样本的校验值发送至云端服务器，由所述云端服务器对所述恶意代码样本的校验值进行分类存储。

可选地，所述静态特征至少包括以下中的任意一种：所述恶意代码样本的二进制文件、所述恶意代码样本的函数结构、所述恶意代码样本的至少部分字符串以及所述恶意代码样本对应的图标；

所述静态特征匹配模块包括：

二进制文件匹配单元，用于将所述恶意代码样本的二进制文件与静态特征库中的已知恶意代码二进制文件进行匹配；或者

函数结构匹配单元，用于将所述恶意代码样本的函数结构与静态特征库中的已知恶意代码函数结构进行匹配；或者

字符串匹配单元，用于将所述恶意代码样本的至少部分字符串与静态特征库中的已知恶意代码字符串进行匹配；或者

图标匹配单元，用于将所述恶意代码样本对应的图标与静态特征库中的已知恶意代码图标进行匹配。

可选地，所述恶意代码样本的动态行为特征至少包括以下中的任意一种：所述恶意代码样本的虚拟行为启发时的行为特征、所述恶意代码样本的网络行为特征和所述恶意代码样本的在沙箱中运行时的行为特征；

所述动态行为特征匹配模块包括：

虚拟行为匹配单元，用于将所述恶意代码样本的虚拟行为启发时的行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

网络行为匹配单元，用于将所述恶意代码样本的网络行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

沙箱行为匹配单元，用于将所述恶意代码样本的在沙箱中运行时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。

由上述技术方案可知，本发明的实施例具有如下有益效果：首先通过恶意代码样本的静态特征识别恶意代码样本是否为恶意代码，如果无法通过静态特征识别该恶意代码样本是否为恶意代码，则再通过恶意代码样本的动态行为特征进行识别，如果根据动态行为特征库判断出获取的恶意代码样本不是恶意代码，则进行误报反馈，以提示恶意代码样本为非恶意代码，进而实现对恶意代码样本的准确识别，降低恶意代码的误报率。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明的实施例中恶意代码样本自动处理的方法的流程图之一；

图2示出了根据本发明的实施例中客户端-服务器架构的示意图；

图3示出了根据本发明的实施例中恶意代码样本自动处理的方法的流程图之二；

图4示出了根据本发明的实施例中恶意代码样本自动处理的装置的示意图之一；

图5示出了根据本发明的实施例中恶意代码样本自动处理的装置的示意图之二；以及

图6示出了根据本发明的实施例中恶意代码样本自动处理的示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

如图1所示，为本发明的实施例中恶意代码样本自动处理的方法的流程图之一，该恶意代码样本自动处理的方法100，包括

步骤S101、获取恶意代码样本。

上述恶意代码样本是指存放恶意代码的文件实体形态，其可以是独立的恶意代码载体文件，被感染型恶意代码感染后的文件对象，也可以是非文件载体恶意代码的文件镜像（包括但不限于引导性病毒的文件镜像、内存恶意代码的文件镜像、以及网络恶意代码的数据包文件）。在本发明的实施例中，该恶意代码样本可以是由分析员从待检测软件中提取的部分代码，并将其作为恶意代码识别的对象，然后通过后续的步骤S103～步骤S111判断是否存在恶意代码误报的情况。

在本发明的实施例中，可以通过客户端-服务器（Client-Server）架构来获取恶意代码样本。如图2所示，通过大量客户端计算机202收集各种程序的行为（可以是单一行为，也可以是一组行为的组合），特别是可疑程序的行为，并将程序行为关联到该程序的特征，而在服务器端的数据库204中则可以记录一个程序的特征及其对应的行为记录。这样，在服务器端，即可依据程序行为或程序特征或一组程序行为和程序特征，在数据库中将可疑程序作为恶意代码样本进行归纳和分析，从而有助于对软件或程序进行黑白的分类判别。进一步的，还可以针对黑名单中的恶意软件制定相应的清除或恢复措施。

上述程序行为，可以是例如驱动加载行为，文件生成行为，程序或代码的加载行为，添加系统启动项行为，或文件或程序的修改行为等，或者是一系列行为的组合。

上述程序特征可以是经由MD5（Message-Digest Algorithm 5，信息-摘要算法）运算得出的MD5验证码，或SHA1码，或CRC（Cyclic RedundancyCheck，循环冗余校验）码等可唯一标识原程序的特征码。

提取到本发明中的特征后，可以将记录加入到数据库中。由于在数据库中记录了程序特征及该特征对应的行为记录，因此可以结合已知黑/白名单对未知程序进行分析。

例如，如果未知程序特征与现有黑/白名单中的已知程序特征相同，则将该未知程序特征及其程序行为都列入黑/白名单。如果未知程序行为与现有黑/白名单中的已知程序行为相同或近似，则将该未知程序行为及其程序特征都列入黑/白名单。

步骤S103、从获取的恶意代码样本中提取静态特征。

具体地，通过对恶意代码样本进行分析提取有效信息生成静态特征。可选地，将恶意代码样本脱壳或卸出（dump）后，再对恶意代码样本进行分析提取有效信息生成静态特征，以避免壳或包对恶意代码样本匹配的干扰。

在本发明的实施例中，静态特征至少包括以下中的任意一种：恶意代码样本的二进制文件、恶意代码样本的函数结构、恶意代码样本的至少部分字符串以及恶意代码样本对应的图标。

步骤S105、将恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配。

具体地，通过模式匹配的方式，将恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配。

可选地，在本发明的实施例中，步骤S105包括：

步骤S1051、将恶意代码样本的二进制文件与静态特征库中的已知恶意代码二进制文件进行匹配；或者

步骤S1053将恶意代码样本的函数结构与静态特征库中的已知恶意代码函数结构进行匹配；或者

步骤S1055将恶意代码样本的至少部分字符串与静态特征库中的已知恶意代码字符串进行匹配；或者

步骤S1057将恶意代码样本对应的图标与静态特征库中的已知恶意代码图标进行匹配。

步骤S107、如果根据静态特征库无法判断获取的恶意代码样本是恶意代码，则继续从恶意代码样本中提取动态行为特征。

具体地，通过对恶意代码样本进行分析提取有效信息生成动态行为特征。

在本发明的实施例中，恶意代码样本的动态行为特征至少包括以下中的任意一种：所述恶意代码样本的虚拟行为启发时的行为特征、所述恶意代码样本的网络行为特征和所述恶意代码样本的在沙箱中运行时的行为特征。

在本发明的实施例中恶意代码的动态行为特征相当于恶意代码的API函数调用特征，软件的运行基本上利用操作系统提供的各种API函数来实现程序既定的功能，例如通过API调用对操作系统内存中的数据分配、读写、清楚、移动等；通过API调用与远程服务器建立连接，监听某个端口的网络信息等。而多态及变种恶意代码在运行时整体的API函数调用是类似的，因此提取恶意代码的动态行为特征后，就可以用于检测其他类似未知和变种恶意代码。

在本发明的实施例中，可以通过跟踪程序的行为，例如以Hook、SSDT表，DebugAPI，或使用微软提供的平台WDK来获取API调用行为。

步骤S109、将恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配。

具体地，通过模式匹配的方式，将恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配。

可选地，步骤S109包括：

步骤S1091、将恶意代码样本的虚拟行为启发时的行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

步骤S1093、将恶意代码样本的网络行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

步骤S1095、将恶意代码样本的在沙箱中运行时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。

启发式检测工具是以特定方式实现的动态高度或反编译器，通过对相关指令序列反编译，从而确定其背后隐藏的真正动机。创建的启发式检测技术有静态启发式检测、动态启发式检测和基于神经网络的启发式检测。

沙箱（Sandbox）可模拟代码运行的真实环境，并用相应地安全机制隔离运行恶意代码带来的安全问题。通过沙箱技术，代码分析人员可以评估恶意代码。虚拟机是一种典型的沙箱。它通过软件仿真物理意义上的主机，该主机就像在真实机器上启动运行。常见的虚拟机包括VMware。

步骤S111、如果根据动态行为特征库判断出获取的恶意代码样本不是恶意代码，则进行误报反馈，以提示恶意代码样本为非恶意代码。

如果根据动态行为特征库判断出获取的恶意代码样本是恶意代码，获取恶意代码后，后续可通过病毒引擎检测到类似的含有该恶意代码特征的恶意程序用于查杀PE（Portable Execute，可移植执行体）类型文件的云查杀引擎，和/或QVM（Qihoo Virtual Machine，人工智能引擎）引擎。

在本发明的实施例中，首先通过恶意代码样本的静态特征识别恶意代码样本是否为恶意代码，如果无法通过静态特征识别该恶意代码样本是否为恶意代码，则再通过恶意代码样本的动态行为特征进行识别，如果根据动态行为特征库判断出获取的恶意代码样本不是恶意代码，则进行误报反馈，以提示恶意代码样本为非恶意代码，进而实现对恶意代码样本的准确识别，降低恶意代码的误报率。

图3示出了根据本发明的实施例中恶意代码样本自动处理的方法的流程图之二，该恶意代码样本自动处理的方法300，包括

步骤S301、获取恶意代码样本；

上述恶意代码样本是指存放恶意代码的文件实体形态，其可以是独立的恶意代码载体文件，被感染型恶意代码感染后的文件对象，也可以是非文件载体恶意代码的文件镜像（包括但不限于引导性病毒的文件镜像、内存恶意代码的文件镜像、以及网络恶意代码的数据包文件）。在本发明的实施例中，该恶意代码样本可以是由分析员从待检测软件中提取的部分代码，并将其作为恶意代码识别的对象。

步骤S303、从获取的恶意代码样本中提取静态特征。

具体地，通过对恶意代码样本进行分析提取有效信息生成静态特征。可选地，将恶意代码样本脱壳或卸出（dump）后，再对恶意代码样本进行分析提取有效信息生成静态特征，以避免壳或包对恶意代码样本匹配的干扰。

在本发明的实施例中，静态特征至少包括以下中的任意一种：恶意代码样本的二进制文件、恶意代码样本的函数结构、恶意代码样本的至少部分字符串以及恶意代码样本对应的图标。

步骤S305、将恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配；

具体地，通过模式匹配的方式，将恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配。

可选地，在本发明的实施例中，步骤S305包括：

步骤S3051、将恶意代码样本的二进制文件与静态特征库中的已知恶意代码二进制文件进行匹配；或者

步骤S3053、将恶意代码样本的函数结构与静态特征库中的已知恶意代码函数结构进行匹配；或者

步骤S3055、将恶意代码样本的至少部分字符串与静态特征库中的已知恶意代码字符串进行匹配；或者

步骤S3057、将恶意代码样本对应的图标与静态特征库中的已知恶意代码图标进行匹配。

步骤S307、如果根据静态特征库无法判断获取的恶意代码样本是恶意代码，则继续从恶意代码样本中提取动态行为特征；

具体地，通过对恶意代码样本进行分析提取有效信息生成动态行为特征。

在本发明的实施例中，恶意代码样本的动态行为特征至少包括以下中的任意一种：所述恶意代码样本的虚拟行为启发时的行为特征、所述恶意代码样本的网络行为特征和所述恶意代码样本的在沙箱中运行时的行为特征。

在本发明的实施例中恶意代码的动态行为特征相当于恶意代码的API函数调用特征，软件的运行基本上利用操作系统提供的各种API函数来实现程序既定的功能，例如通过API调用对操作系统内存中的数据分配、读写、清楚、移动等；通过API调用与远程服务器建立连接，监听某个端口的网络信息等。而多态及变种恶意代码在运行时整体的API函数调用是类似的，因此提取恶意代码的动态行为特征后，就可以用于检测其他类似未知和变种恶意代码。

在本发明的实施例中，可以通过跟踪程序的行为，例如以Hook、SSDT表，DebugAPI，或使用微软提供的平台WDK来获取API调用行为。

步骤S309、将恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配；

具体地，通过模式匹配的方式，将恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配。

可选地，步骤S309包括：

步骤S3091、将恶意代码样本的虚拟行为启发时的行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

步骤S3093、将恶意代码样本的网络行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

步骤S3095、将恶意代码样本的在沙箱中运行时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。

启发式检测工具是以特定方式实现的动态高度或反编译器，通过对相关指令序列反编译，从而确定其背后隐藏的真正动机。创建的启发式检测技术有静态启发式检测、动态启发式检测和基于神经网络的启发式检测。

沙箱（Sandbox）可模拟代码运行的真实环境，并用相应地安全机制隔离运行恶意代码带来的安全问题。通过沙箱技术，代码分析人员可以评估恶意代码。虚拟机是一种典型的沙箱。它通过软件仿真物理意义上的主机，该主机就像在真实机器上启动运行。常见的虚拟机包括VMware。

步骤S311、如果根据动态行为特征库判断出获取的恶意代码样本不是恶意代码，进行误报反馈，以提示恶意代码样本为非恶意代码。

步骤S313、计算标识为恶意代码的恶意代码样本的校验值。

具体地，校验值可以采用以下方式计算得到：采用哈希算法计算该恶意代码样本的MD5值，当然也并不限于此。

步骤S315、将获取的恶意代码样本的校验值发送至云端服务器，由所述云端服务器对恶意代码样本的校验值进行分类存储。

具体地，通过将恶意代码样本的校验值发送至云端服务器，可以按照恶意代码样本的MD5值进行分类存储。

可选地，在本发明的实施例中，如果根据动态行为特征库判断出获取的恶意代码样本是恶意代码，则将恶意代码样本标识为恶意代码。

如图4所示，为本发明的实施例中恶意代码样本自动处理的装置的示意图之一，该恶意代码样本自动处理的装置400包括：

获取模块401，用于获取恶意代码样本，恶意代码样本是指存放恶意代码的文件实体形态，其可以是独立的恶意代码载体文件，被感染型恶意代码感染后的文件对象，也可以是非文件载体恶意代码的文件镜像（包括但不限于引导性病毒的文件镜像、内存恶意代码的文件镜像、以及网络恶意代码的数据包文件）。在本发明的实施例中，该恶意代码样本可以是由分析员从待检测软件中提取的部分代码，并将其作为恶意代码识别的对象。

静态特征提取模块403，用于从获取的恶意代码样本中提取静态特征。具体地，通过对恶意代码样本进行分析提取有效信息生成静态特征。可选地，将恶意代码样本脱壳或卸出（dump）后，再对恶意代码样本进行分析提取有效信息生成静态特征，以避免壳或包对恶意代码样本匹配的干扰。在本发明的实施例中，静态特征至少包括以下中的任意一种：恶意代码样本的二进制文件、恶意代码样本的函数结构、恶意代码样本的至少部分字符串以及恶意代码样本对应的图标。

静态特征匹配模块405，用于将恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配。

动态行为特征提取模块407，用于如果根据所述静态特征库无法判断获取的恶意代码样本是恶意代码，则继续从所述恶意代码样本中提取动态行为特征。在本发明的实施例中，恶意代码样本的动态行为特征至少包括以下中的任意一种：所述恶意代码样本的虚拟行为启发时的行为特征、所述恶意代码样本的网络行为特征和所述恶意代码样本的在沙箱中运行时的行为特征。

动态行为特征匹配模块409，用于将所述恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配；

误报反馈模块411，用于如果根据所述动态行为特征库判断出获取的恶意代码样本不是恶意代码，进行误报反馈，以提示所述恶意代码样本为非恶意代码。

可选地，在本发明的实施例中，静态特征匹配模块405包括：

二进制文件匹配单元，用于将所述恶意代码样本的二进制文件与静态特征库中的已知恶意代码二进制文件进行匹配；或者

函数结构匹配单元，用于将所述恶意代码样本的函数结构与静态特征库中的已知恶意代码函数结构进行匹配；或者

字符串匹配单元，用于将所述恶意代码样本的至少部分字符串与静态特征库中的已知恶意代码字符串进行匹配；或者

图标匹配单元，用于将所述恶意代码样本对应的图标与静态特征库中的已知恶意代码图标进行匹配。

可选地，在本发明的实施例中，动态行为特征匹配模块409包括：

虚拟行为匹配单元，用于将所述恶意代码样本的虚拟行为启发时的行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

网络行为匹配单元，用于将所述恶意代码样本的网络行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

沙箱行为匹配单元，用于将所述恶意代码样本的在沙箱中运行时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。

如图5所示，为本发明的实施例中恶意代码样本自动处理的装置的示意图之二，与图4所示的装置400不同的是，图5中装置400还包括：

校验值计算模块413，用于计算标识为恶意代码的所述恶意代码样本的校验值；

发送模块415，用于将获取的所述恶意代码样本的校验值发送至云端服务器，由所述云端服务器对所述恶意代码样本的校验值进行分类存储。

可选地，在本发明的实施例中，装置400还包括：

恶意代码标识模块，用于如果根据所述动态行为特征库判断出获取的恶意代码样本是恶意代码，则将所述恶意代码样本标识为恶意代码。

如图6所示，为本发明的实施例中恶意代码样本自动处理的示意图，获取Trojan.QQPass.a的病毒样本，对该样本提取特征、归类、进入QVM（QihooVirtual Machine，人工智能引擎）训练集合，新收集的样本由机器人根据各个分析模块的规则，对样本自动处理，其中对该样本提特征、归类、进入QVM训练集合是指：将未知程序分别输入一个或多个已生成的训练模型及相应的决策机中进行判断；根据预先设置的每种特征分类在每个训练模型中的权重，将每个训练模型及相应的决策机对所述未知程序进行判断的结果进行加权计算；所述输出未知程序的识别结果具体为：根据所述加权计算的结果输出对所述未知程序的识别结果。分析每个程序文件，从所述程序文件中抽取预先定义的特征；根据所抽取的特征生成特征向量，以及每个特征向量的黑白属性。

具体地，在本发明的实施例中分析模块包括：

二进制文件匹配单元，用于将恶意代码样本的二进制文件与静态特征库中的已知恶意代码二进制文件进行匹配。可选地，先将恶意代码样本脱壳或卸出（dump）后，再对恶意代码样本进行分析提取有效信息生成恶意代码样本的二进制文件，以避免壳或包对恶意代码样本匹配的干扰。

函数结构匹配单元，用于将恶意代码样本的函数结构与静态特征库中的已知恶意代码函数结构进行匹配。可选地，先将恶意代码样本脱壳或卸出（dump）后，再对恶意代码样本进行分析提取有效信息生成恶意代码样本的函数结构，以避免壳或包对恶意代码样本匹配的干扰。

字符串匹配单元，用于将恶意代码样本的至少部分字符串与静态特征库中的已知恶意代码字符串进行匹配。可选地，先将恶意代码样本脱壳或卸出（dump）后，再对恶意代码样本进行分析提取有效信息生成恶意代码样本的字符串，以避免壳或包对恶意代码样本匹配的干扰。

虚拟行为匹配单元，用于将恶意代码样本的虚拟行为启发时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。具体地，将恶意代码样本模拟执行，分析恶意代码样本行为是否匹配恶意代码规则。

网络行为匹配单元，用于将恶意代码样本的网络行为特征与动态行为特征库中的已知动态行为特征进行匹配。具体地，通过模拟执行或虚拟机内执行，匹配网络数据包规则。

沙箱行为匹配单元，用于将恶意代码样本的在沙箱中运行时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。具体地，将恶意代码样本自动放入VMware或Sandbox执行，观察恶意代码样本是否触发恶意代码规则。

后台特征匹配单元，用于将恶意代码样本在虚拟运行时的后台行为特征与动态行为特征库中的已知动态行为特征进行匹配。例如后台行为可以是后台升级行为。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书（包括伴随的权利要求、摘要和附图）中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包括伴随的权利要求、摘要和附图）中公开的每个特征可以由提供相同、等同或相似目的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器（DSP）来实现根据本发明实施例的装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序（例如，计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干设备的单元权利要求中，这些设备中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (10)

1.一种恶意代码样本自动处理的方法，包括

获取恶意代码样本；

从获取的所述恶意代码样本中提取静态特征；

将所述恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配；

如果根据所述静态特征库无法判断获取的恶意代码样本是恶意代码，则继续从所述恶意代码样本中提取动态行为特征；

将所述恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配；

如果根据所述动态行为特征库判断出获取的恶意代码样本不是恶意代码，进行误报反馈，以提示所述恶意代码样本为非恶意代码。

2.根据权利要求1所述的方法，所述方法还包括：

如果根据所述动态行为特征库判断出获取的恶意代码样本是恶意代码，则将所述恶意代码样本标识为恶意代码。

3.根据权利要求2所述的方法，其中，在将所述恶意代码样本标识为恶意代码之后，所述方法还包括：

计算标识为恶意代码的所述恶意代码样本的校验值；

将获取的所述恶意代码样本的校验值发送至云端服务器，由所述云端服务器对所述恶意代码样本的校验值进行分类存储。

4.根据权利要求1所述的方法，其中，所述静态特征至少包括以下中的任意一种：所述恶意代码样本的二进制文件、所述恶意代码样本的函数结构、所述恶意代码样本的至少部分字符串以及所述恶意代码样本对应的图标；

所述将所述恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配的步骤包括：

将所述恶意代码样本的二进制文件与静态特征库中的已知恶意代码二进制文件进行匹配；或者

将所述恶意代码样本的函数结构与静态特征库中的已知恶意代码函数结构进行匹配；或者

将所述恶意代码样本的至少部分字符串与静态特征库中的已知恶意代码字符串进行匹配；或者

将所述恶意代码样本对应的图标与静态特征库中的已知恶意代码图标进行匹配。

5.根据权利要求4所述的方法，其中，所述恶意代码样本的动态行为特征至少包括以下中的任意一种：所述恶意代码样本的虚拟行为启发时的行为特征、所述恶意代码样本的网络行为特征和所述恶意代码样本的在沙箱中运行时的行为特征；

所述将所述恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配的步骤包括：

将所述恶意代码样本的虚拟行为启发时的行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

将所述恶意代码样本的网络行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

将所述恶意代码样本的在沙箱中运行时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。

6.一种恶意代码样本自动处理的装置，包括：

获取模块，用于获取恶意代码样本；

静态特征提取模块，用于从获取的所述恶意代码样本中提取静态特征；

静态特征匹配模块，用于将所述恶意代码样本的静态特征与静态特征库中的已知静态特征进行匹配；

动态行为特征提取模块，用于如果根据所述静态特征库无法判断获取的恶意代码样本是恶意代码，则继续从所述恶意代码样本中提取动态行为特征；

动态行为特征匹配模块，用于将所述恶意代码样本的动态行为特征与动态行为特征库中的已知动态行为特征进行匹配；

误报反馈模块，用于如果根据所述动态行为特征库判断出获取的恶意代码样本不是恶意代码，进行误报反馈，以提示所述恶意代码样本为非恶意代码。

7.根据权利要求6所述的装置，所述装置还包括：

恶意代码标识模块，用于如果根据所述动态行为特征库判断出获取的恶意代码样本是恶意代码，则将所述恶意代码样本标识为恶意代码。

8.根据权利要求7所述的装置，所述装置还包括：

校验值计算模块，用于计算标识为恶意代码的所述恶意代码样本的校验值；

发送模块，用于将获取的所述恶意代码样本的校验值发送至云端服务器，由所述云端服务器对所述恶意代码样本的校验值进行分类存储。

9.根据权利要求6所述的装置，其中，所述静态特征至少包括以下中的任意一种：所述恶意代码样本的二进制文件、所述恶意代码样本的函数结构、所述恶意代码样本的至少部分字符串以及所述恶意代码样本对应的图标；

所述静态特征匹配模块包括：

二进制文件匹配单元，用于将所述恶意代码样本的二进制文件与静态特征库中的已知恶意代码二进制文件进行匹配；或者

函数结构匹配单元，用于将所述恶意代码样本的函数结构与静态特征库中的已知恶意代码函数结构进行匹配；或者

字符串匹配单元，用于将所述恶意代码样本的至少部分字符串与静态特征库中的已知恶意代码字符串进行匹配；或者

图标匹配单元，用于将所述恶意代码样本对应的图标与静态特征库中的已知恶意代码图标进行匹配。

10.根据权利要求9所述的装置，其中，所述恶意代码样本的动态行为特征至少包括以下中的任意一种：所述恶意代码样本的虚拟行为启发时的行为特征、所述恶意代码样本的网络行为特征和所述恶意代码样本的在沙箱中运行时的行为特征；

所述动态行为特征匹配模块包括：

虚拟行为匹配单元，用于将所述恶意代码样本的虚拟行为启发时的行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

网络行为匹配单元，用于将所述恶意代码样本的网络行为特征与动态行为特征库中的已知动态行为特征进行匹配；或者

沙箱行为匹配单元，用于将所述恶意代码样本的在沙箱中运行时的行为特征与动态行为特征库中的已知动态行为特征进行匹配。

Images