范宇杰 陈黎飞 郭躬德

(1.福建师范大学数学与计算机科学学院，福州,350007; 2.福建师范大学网络安全与密码技术福建省高校重点实验室，福州,350007)

软件代码的恶意行为学习与分类

范宇杰1,2陈黎飞1,2郭躬德1,2

(1.福建师范大学数学与计算机科学学院，福州,350007; 2.福建师范大学网络安全与密码技术福建省高校重点实验室，福州,350007)

传统的静态特征码检测方法无法识别迷惑型恶意代码，而动态检测方法则需要消耗大量资源；当前，大多数基于机器学习的方法并不能有效区分木马、蠕虫等恶意软件的子类别。为此，提出一种基于代码恶意行为特征的分类方法。新方法在提取代码恶意导向指令特征的基础上，学习每种代码类别特有的恶意行为序列模式，进而将代码样本投影到由恶意行为序列模式构成的新空间中。同时基于新特征表示法构造了一种近邻分类器对恶意代码进行分类。实验结果表明，新方法可以有效地捕捉代码的恶意行为并区分不同类别代码之间的行为差异，从而大幅提高了恶意代码的分类精度。

恶意代码分类；序列模式；恶意行为；特征提取；分类方法

引 言

恶意代码分类是恶意代码分析和入侵检测领域中的核心问题[1]。随着互联网技术的不断发展，各种类型的恶意代码正不断危害着计算机网络以及系统的安全，正确地对这些恶意代码进行分类有利于提高分析效率，从而缩短应急响应时间[2]。根据恶意代码检测时代码状态的区别，可以分为静态检测和动态检测[3]。……