张福勇， 秦 勇(东莞理工学院 计算机与网络安全学院， 广东 东莞 523808)

基于属性相似度的恶意代码检测方法*

张福勇， 秦 勇
(东莞理工学院 计算机与网络安全学院， 广东 东莞 523808)

针对未知恶意代码数量急剧增长，现有的检测方法不能有效检测的问题，提出一种基于属性相似度的恶意代码检测方法.该方法将样本文件转换成十六进制格式，提取样本文件的所有n-gram，计算每个n-gram的信息增益，并选择具有最大信息增益的N个n-gram作为特征属性，分别计算恶意代码和正常文件每一维属性的平均值，通过比较待测样本属性与恶意代码和正常文件两类别属性均值的相似度来判断待测样本类别.结果表明，该方法对未知恶意代码的检测性能优于基于n-gram的恶意代码检测方法.

恶意代码检测； 属性相似度； 网络与信息安全； 入侵检测； 数据挖掘； 机器学习； 未知恶意代码； 静态分析

据Symantec 2016年6月公布的数据称：2015年新增恶意代码数量为4.3亿，较2014年的3.17亿增加了36%，恶意代码总数目前已超过21亿，并且其正朝着顽固化、隐匿化的方向发展，攻击更加精准隐蔽，造成的损失也更加严重[1].2015年发现并报告的9次大型数据泄露事故中，总计4.29亿条身份信息遭遇曝光，规模最大的一项事故已经造成1.91亿条记录外泄[1].

恶意代码的数量继续呈高速增长的态势，其危害已渗透到社会生活的很多方面，给经济生活造成了诸多不便及巨大的损失.但目前的商业化安全防护软件仍是以特征码检测为主……