一种恶意代码特征选取和建模方法.PDFVIP

第３２卷第８期　　　 计算机应用与软件 Ｖｏｌ３２Ｎｏ．８ ２０１５年８月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ａｕｇ．２０１５ 一种恶意代码特征选取和建模方法 １，２ １ １ １ 李　盟 　贾晓启　王　蕊　林东岱 １（中国科学院信息工程研究所信息安全国家重点实验室　北京 １０００９３） ２（中国科学院大学　北京 １０００４９） 摘　要　　针对恶意代码分析检测中静态分析技术难以检测变形、多态代码的问题，提出一种提取恶意代码语义动态特征的方法。 该方法在虚拟环境下提取恶意代码动态特征，从而达到保护物理机的目的，提取出的原始特征经过进一步的筛选处理，得到各个代 码样本的ＡＰＩ调用序列信息。为了使得特征更加有效，改进传统ｎｇｒａｍ模型，添加ｎｇｒａｍ频次信息以及各ＡＰＩ间的依赖关系，构建 改进的ｎｇｒａｍ模型。实验结果分析部分采用机器学习方法，分别使用了决策树、Ｋ近邻、支持向量机、贝叶斯网络等分类器对选定 的样本特征进行１０折交叉验证。实验结果显示该特征选取在决策树Ｊ４８下的检测效果最好，可以有效检测采用混淆、多态技术的 恶意代码。 关键词　　恶意代码　动态分析　序列特征　机器学习 中图分类号　ＴＰ３０９．５　　　　文献标识码　Ａ　　　　ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００３８６ｘ．２０１５．０８．０６３ ＡＦＥＡＴＵＲＥＳＥＬＥＣＴＩＯＮＡＮＤＭＯＤＥＬＬＩＮＧＭＥＴＨＯＤＦＯＲＭＡＬＩＣＩＯＵＳＣＯＤＥ １，２ １ １ １ ＬｉＭｅｎｇ 　ＪｉａＸｉａｏｑｉ　ＷａｎｇＲｕｉ　ＬｉｎＤｏｎｇｄａｉ １（ＳｔａｔｅＫｅｙＬａｂｏｒａｔｏｒｙｏｆＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ，ＩｎｓｔｉｔｕｔｅｏｆＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇ，ＣｈｉｎｅｓｅＡｃａｄｅｍｙｏｆＳｃｉｅｎｃｅｓ，Ｂｅｊｉｎｇ１０００９３，Ｃｈｉｎａ） ２（ＵｎｉｖｅｒｓｉｔｙｏｆＣｈｉｎｅｓｅＡｃａｄｅｍｙｏｆＳｃｉｅｎｃｅｓ，Ｂｅｉｊｉｎｇ１０００４９，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　Ｉｎｍａｌｉｃｉｏｕｓｃｏｄｅａｎａｌｙｓｉｓａｎｄｄｅｔｅｃｔｉｏｎ，ｔｈｅｓｔａｔｉｃａｎａｌｙｓｉｓｔｅｃｈｎｉｑｕｅｓａｒｅｎｏｔｅｆｆｅｃｔｉｖｅｔｏｄｅｔｅｃｔｍｅｔａｍｏｒｐｈｉｃ／ｐｏｌｙｍｏｒｐｈｉｃｍａ ｌｉｃｉｏｕｓｃｏｄｅｓ．Ａｉｍｉｎｇａｔｔｈｉｓｐｒｏｂｌｅｍ，ｔｈｉｓｐａｐｅｒｐｒｏｐｏｓｅｓａｎａｐｐｒｏａｃｈｆｏｒｅｘｔｒａｃｔｉｎｇｔｈｅｄｙｎａｍｉｃｆｅａｔｕｒｅｓｏｆｍａｌｉｃｉｏｕｓｃｏｄｅｓｅｍａｎｔｉｃｓ．Ｔｈｅ ｍｅｔｈｏｄｅｘｔｒａｃｔｓｔｈｅｄｙｎａｍｉｃｆｅａｔｕｒｅｓｏｆｍａｌｉｃｉｏｕｓｃｏｄｅｓｉｎｖｉｒｔｕａｌｅｎｖｉｒｏｎｍｅｎｔｓｏａｓｔｏａｃｈｉｅｖｅｔｈｅｐｕｒｐｏｓｅｏｆｐｒｏｔｅｃｔｉｎｇｐｈｙｓｉｃａｌｍａｃｈｉｎｅ． ＴｈｅｐｒｉｍｉｔｉｖｅｆｅａｔｕｒｅｓｅｘｔｒａｃｔｅｄａｒｅｔｈｅｎｆｕｒｔｈｅｒｓｉｆｔｅｄａｎｄｐｒｏｃｅｓｓｅｄｔｏｏｂｔａｉｎＡＰＩｃａｌｌｉｎｇｓｅｑｕｅｎｃｅｉｎｆｏｒｍａｔｉｏｎｉｎｒｅｇａｒｄｔｏｖａｒｉｏｕｓｃｏｄｅｓａｍ ｐｌｅｓ．Ｉｎｏｒｄｅｒｔｏｍａｋｅｔｈｅｆｅａｔｕｒｅｓｍｏｒｅｅｆｆｅｃｔｉｖｅ，ｔｈｅｔｒａｄｉｔｉｏｎａｌｎｇｒａｍｍｏｄｅｌｉｓｉｍｐｒｏｖｅｄａｎｄｔｈｅｎｇｒａｍｆｒｅｑｕｅｎｃｙｉｎｆｏｒｍａｔｉｏｎａｎｄｔｈｅｄｅ ｐｅｎｄｅｎｃｉｅｓｂｅｔｗｅｅｎＡＰＩｓａｒｅａｄｄｅｄ，ｔｈｅｉｍｐｒｏｖｅｄｎｇｒａｍｍｏｄｅｌｉｓｂｕｉｌｔａｓｗｅｌｌ．Ｔｈｅａｎａｌｙｓｉｓｐａｒｔｉｎｅｘｐｅｒｉｍｅｎｔａｌｒｅｓｕｌｔｕｓ