江志雄+王宝生+孙志峰+唐勇+田朔玮

【 摘   要 】 借鉴生物信息学中的物种系统发生树构建方法，提出了基于恶意代码函数调用图和非加权组平均法（UPGMA）的恶意代码系统发生树构建方法，并利用恶意代码函数调用图的相似性距离数据对本方法进行了实验。此方法能够为恶意代码的同源及演化特性分析研究与恶意代码的检测和防范提供有力的支撑和参考。

【 关键词 】 恶意代码;函数调用图;UPGMA法;系统发生树构建

A Method Constructing the Phylogenetic Tree of Malware Based on UPGMA

Jiang Zhi-xiong  Wang Bao-sheng   Sun Zhi-feng   Tang Yong  Tian Shuo-wei

（Department of Computer Science，National University of Defense Technology   HunanChangsha  410073）

【 Abstract 】 Using for reference on the methods that construct the phylogenetic tree among genes or speces in bioinformatics， this paper presents a method that constructs the phylogenetic tree of malware based on function-call graphs of malware and UPGMA method， and do some experiments using value of the similarity distance of marwares function-call graphs （called SDMFG）.This method provide a strong support and reference for analysis of the homology and evolution characteristics of malware and malware detection and prevention.

【 Keywords 】 malware; function-call graphs ;upgma method; phylogenetic tree

1    引言

恶意代码分析是检测和防范恶意代码的重要基础。随着恶意代码开发的各类源代码、技术文档和辅助工具的日益丰富，恶意代码的产生更为简单和模块化，变种和演化更为多样和快速，数量呈加速增长的趋势，每天捕获成千上万个样本已经是很平常的事了。在实际中，除了分析恶意代码的各种外部表现，人们还关心恶意代码在同源和演化方面的内在特性，包括恶意代码从何而来、如何发展变化以及家族之间和变种之间的关系等等。

本文将通过IDA工具和插件提取每个恶意样本的函数调用图，计算出每两个恶意代码函数调用图之间的相似性距离，构造一个距离矩阵，利用生物信息学中的UPGMA法建立这组恶意代码样本的系统发生树，从而体现恶意代码的同源性关系，对恶意代码样本的演化分析和聚类分析提供帮助。

2    函数调用图的相似性距离

文献[1]提出了一种函数调用图的相似性度量——恶意代码函数调用图的相似性距离（SDMFG， The Similar Distance of Malwares Function-call Graphs）。……