傅依娴，芦天亮，张学军

(中国人民公安大学 信息技术与网络安全学院，北京 100076)

0 引言

网络时代的迅猛发展、网民数量的急剧增加以及网络技术的广泛应用，使得网络逐渐成为现代社会竞争的新资源，高级网络渗透技术成为了重点发展的对象；不法分子利用恶意程序实施犯罪，从而破坏网络环境的稳定，成为了网络安全领域的研究热点。面对恶意软件使用的常态化及其破坏性，计算机用户不得不投入更多成本来维护信息系统安全。

近年来，随着机器学习、深度学习等新技术的发展，恶意代码分析问题也呈现出新的研究趋势。SCHULTZ M[1]等人利用可执行文件静态特征并结合RIPPER算法实现对恶意代码的精确检测。SHAW S等人提出了基于云的检测技术[2];KOLOSNJAJI B等人则提出用深度学习算法来对样本的系统调用序列进行分类，从而达到判断样本恶意性的目的[3]。

本文通过搭建Cuckoo恶意代码自动分析系统来作为沙箱环境，提取所需的恶意代码特征，通过聚类算法来实现对恶意代码的研究,其聚类效果证明行之效。

1 恶意代码的特征提取

1.1 特征提取思路

特征提取是进行恶意代码分类的必要前提。而恶意软件的系统调用是最主要获取的特征之一。目前，系统调用的获取方法主要为静态分析方法和动态分析方法；但是，对于静态分析方法来说，恶意代码会使用混淆、花指令等手段，从而影响静态分析的结果。而动态分析当前也仍然存在一些问题：(1)基于序列比对法[4-6]会产生大量冗余特征，随着测试样本的动态行为越多，检测结果受到干扰越严重；……