基于SVM模型的恶意PDF文档检测方法.docVIP

基于SVM模型的恶意PDF文档检测方法 　　摘要：该文针对现有的PDF文档检测方案存在准确度低、易混淆等问题提出一种基于SVM模型的智能检测方法，同时结合PDF文档格式分析技术，实现对恶意PDF文档的检测。论文先对PDF文档中JavaScript代码进行定位、提取、解码、去混淆化等处理，得到原始的JavaScript代码。然后对得到的原始JavaScript代码提取相应的特征向量，再利用SVM分类器进行静态检测。最后对检测出来的恶意PDF文档的JavaScript代码中恶意代码部分shellcode部分，利用libemu仿真工具实现行为模拟运行，得到详细的恶意行为报告。实验表明该方法能有效检测出恶意的PDF文档，检测率有所提高，漏报率明显降低。 　　关键词：PDF文档；JavaScript代码；SVM 　　中图分类号：TP311 文献标识码：A 文章编号：1009-3044（2016）24-0090-03 　　Abstract：In order to solve the problem of low accuracy and easy to confound in view of the existing PDF document detection scheme. In this paper， an intelligent detection method based on SVM model is proposed， which is combined with the PDF document format analysis technology to realize the detection of malicious PDF documents. First， the paper on the PDF document JavaScript code for positioning， extracting， decoding， to be confused， and other processing， get the original JavaScript code. Then extract the corresponding feature vector from the original JavaScript code， and use the SVM classifier for static detection. Finally， the malicious code in the JavaScript code of the detected malicious PDF code part of the shellcode， using libemu simulation tool to achieve the behavior of the simulation run， get a detailed report on the malicious behavior. Experimental results show that the method can effectively detect the malicious PDF document， the detection rate has increased， the false negative rate decreased significantly. 　　Key words：PDF document； JavaScript code； SVM 　　1 背景 　　2008年以前恶意代码对PDF[1]文档的利用技术还不是很成熟，相应的PDF文档漏洞还比较少，其主要的检测方式都还处在特征码扫描的阶段。随着PDF市场占有率的迅速提高，PDF漏洞也开始增多，因为Office漏洞越来越少，而利用难度也越来越大，同时对恶意Office文档的检测技术已经非常成熟，于是PDF代替Office成为热门的恶意代码的有效载体。由于恶意代码对计算机的严重破坏性，检测和防止含有恶意代码的PDF文档已成为计算机安全领域的重要目标。 　　目前，针对PDF攻击方式大多数都与JavaScript相关，其检测模型主要有三类：基于特征码的静态检测模型、基于跟踪JavaScript行为的动态检测模型以及动静结合检测模型。2012年，Laskov和NedimSrndic提出了针对PDF文档第一个静态检测模型――PJScan模型[2]。PJScan模型开创性地实现了从 PDF文档中提取JavaScript代码，并且真正实现了对恶意 JavaScript代码的静态检测。但是该模型也有不足之处。首先，在提取JavaScript代码时没有对JavaScript代码进行