任益辰，肖 达

1.北京邮电大学 网络空间安全学院，北京100876

2.移动互联网安全技术国家工程实验室，北京100876

随着互联网技术和计算机技术的发展，网络空间中的软件数量呈爆炸式增长。据微软官网报道，2018 年Windows 10拥有超过3 500万应用程序，超过1.75亿个软件版本[1]。网络空间中的软件泛滥给了恶意程序可趁之机，恶意程序将自身隐藏在众多的软件应用中，给网络空间安全带来了严重威胁。据《2019年上半年我国互联网网络安全态势》报告显示，仅2019 年上半年，国家互联网应急中心就捕获了3 200万个恶意程序样本[2]；据瑞星发布的《2018 年中国网络安全报告》显示，2018 年瑞星“云安全”系统共截获病毒样本总量7 786万个[3]，可见恶意软件相关态势依然十分严峻。恶意软件检测始终是网络空间安全中的关键课题之一。

目前，互联网上各种代码资源越来越多，软件复用技术也日益成熟，开发人员能够快速地在原有软件基础上开发出新的软件，从而大大缩短软件开发周期，大幅降低软件开发成本，也大大降低了软件开发门槛[4-5]。尤其是在恶意软件开发领域，在已有代码基础上进行二次开发或对已有代码进行集成已变得十分普遍，恶意软件开发者往往使用复用的手段完成恶意代码的快速更新和开发。因此，可以通过比较未知软件与已知恶意软件的相似性来对恶意软件进行检测，同时也可以通过相似性检测对软件进行溯源和家族分类[6]。恶意软件开发者为了躲避安全软件检测、对抗杀软，往往通过混淆、加壳、自压缩等操作改变恶意软件特征。……