恶意代码同源性分析及家族聚类.pdfVIP

76 2015，51(18) ComputerEngineeringandApplications计算机工程与应用 @网络、通信、安全@ 恶意代码同源性分析及家族聚类 钱 雨村 ，彭国军，王 滢，梁 玉 QIANYucun，PENGGuojun，WANGYing，LIANGYu 武汉大学 计算机学院，武汉 430072 SchoolofComputer，W uhanUniversity，W uhan430072，China QIANYueun，PENGGuojun，WANGYing，eta1．Homologyanalysisofmaliciouscodeandfamilyclustering．Com— puterEngineeringandApplications，2015，51(18)：76—81． Abstract：W iththeproblem oftheexplosivegrowthofmaliciouscodeandmanyofthemalicioussamplesarevariations ofpreviouslyencounteredsamples，thispaperpresentsanovelapproachtoinvestigatethehomologyofmaliciouscodebased onbehaviorcharacteristics．Todistinguishthevariationsofmaliciouscode，itstudiesthemaliciousbehaviorofmalwares， thencomputeshtesimilarityofcharacteristicsandthecallgraphswhichareextractedbydisassemblytools．Itemploysthe clusteringalgorithmsofDBSCAN todiscoverhtefamilyofmaliciouscode．Experimentsshow htatiteffectively investi- gatesthehomologyofmaliciouscodeandclustervariationsintodifferentmaliciouscodefamily． Keywords：maliciouscode；homology；staticanalysis；functioncalls；behaviorcharacteristics；clustering 摘 要：针对恶意代码数量呈爆发式增长，但真正的新型恶意代码却不多，多数是已有代码变种的情况，通过研究恶 意代码的行为特征，提出了一套判别恶意代码 同源性的方法。从恶意代码的行为特征入手，通过敏感恶意危险行为 以及产生危险行为的代码流程、函数调用，应用反汇编工具提取具体特征 ，计算不同恶意代码之间的相似性度量，进 行 同源性分析比对 ，利用DBSCAN聚类算法将具有相同或相似特征的恶意代码汇聚成不同的恶意代码家族。设计 并实现了原型系统，实验结果表明提 出的方法能够有效地对不同恶意代码及其变种进行同源性分析及判定。 关键词：恶意代码；同源性；静态分析；函数调用；行为特征；聚类 文献标志码：A 中图分类号：TP309 doi：10．3778／j．issn．1002．8331．1411．0342 1 引言 技术被提出。 随着网络信息技术的发展，恶意软件已成为危害网 但安全研究人员通过分析大量的恶意代码样本发 络公共安全的主要威胁之一。据瑞星2013年信息安全 现 ，其中许多新出现的恶意代码是已有恶意代码的变种。 报告Ⅲ指出，2013年 中国共有 11．45亿人次被恶意软件 恶意代码的编写者通过变形、加壳 、多态等技术手段混 感染，有2300万台电脑受到攻击 ，2013年 1至 12月新增 淆已有恶意代码的特征，企图逃避安全软件的分析检测。 恶意软件样本达3310万余个 ，总数量比2012年同期增 虽然基于行为的主动防御 、虚拟机脱壳等技术可以 长 163％。随着恶意软件数 目的爆发式增长 ，传统的基 检测经过变形加壳的恶意代码，但如何快速有效地鉴别 于特征码与签名的恶意软件分析技术 已不能满足新兴 这些恶意代码之间的关联性 ，确定