《一种基于亲缘性的恶意代码分析方法.》.pdfVIP

理论探讨 ·TheoreticalDiSCUSSion 一 种基于亲缘性的恶意代码分析方法 陈娟英 范明钰 王光卫 (电子科技大学计算机科学与工程学院 四川成都 611731) 【摘 要 】随着网络及应用技术的不断发展，恶意代码的问题 日益突出。目前大多数反病毒措施都是基于传统的基 于特征码的扫描技术，使用 “扫描引擎 +病毒库”的结构方式虽然对 已知病毒的检测相对准确，但对新出现的恶意代 码无法准确、及时地做出检测。本文提出了一种基于亲缘性恶意代码分析方法，使用系统函数集合、行为特征、相似 代码特征这三个方面来表征一类恶意代码的特征，以达到缩小特征库规模，快速检测未知恶意代码的目的，特别是 变种恶意代码。实验结果表明本文所提出的方法可以取得 良好的检测结果。 【关键词 】亲缘性；恶意代码；恶意代码亲缘性特征；系统函数；行为；相似代码 ANewMaliciousCodeAnalysisMethodBasedonAffinity ChenJuan-ying FanMing-yu WangGuang-wei (SchoolofComputerScienceEngineering,UniversityofElectronicScienceand TechnologyofChina SichuanChengdu 61173’1 【Abstract】WiththedevelopmentofITtechnology，themaliciouscodeisbeocmingincreasinglyprominent．Currentlymostantiviruscompanyadopts traditionalscanningtechnologybasedonsignature，anduse”sacnningengine+virusdatabase”structure．Thiswayisrelativelyaccurateforknownviruses， bulnotaccuratelyandtimelyofrnewmaliciousocde．Thispaperpresentsamaliciousocdeanalysismethodbasedonaffinity，usingthesystemfunctions， behavioralcharacteristics，similarocdestocharacterizeaclassofmaliciousocde，ofrreducingthescaleofsignaturedaatbaseandrapiddetectingunknown maliciousocde，especiallyofrMaliciousocdevariants．Andtheexperimenatlresultsshowedthatthismethodcanachieveagoodresult 【Keywords】affiniyt；maliciouscode；maliciousocdeaffinitysignature(mas)；systemfunctions；behavior；similarocde 1 引言 随着网络开放性的不断增强 ，网络应用系统涉及领 域 的扩展 ，计算机所面临的威胁也越来越广泛了，其中 恶意代码对计算机安全的威胁是最为严重的。同时，网 络 的普及和发展也使得恶意代码的传播更为方便。 根据赛 门铁克 互《联 网安全威胁报告》第 14．17期 ， 如 图 1所示．可以窥见恶意代码迅速发展的情况。据分 析 ．绝大多数新增恶意代码是由原有 的恶意代码经过变 形得到的．同时 ，恶意代码每年给全球造成的经济损失 也在与 日俱增 。自恶意代码出现以来 ，社会各界一直在 对恶意代码的分析与检测做着不懈努力 ，本文是对恶意 代码分析的一种新尝试，并提 出了一种基于亲缘性分析 图 12008—2011年新增恶意代码数量 的恶意代码特征码提取方法 ，意在加强特征码 的通用 信息安全与技