马 丹，万 良+，程琪芩，孙志强

1.贵州大学计算机科学与技术学院，贵阳 550025

2.贵州大学计算机软件与理论研究所，贵阳 550025

瑞星2019 年上半年中国网络安全报告[1]指出，2019 年上半年共截获病毒样本为1.03 亿个，病毒累计感染次数4.38 亿次，病毒总体数量比2018 年同期上涨32.69%。所有恶意代码攻击中，针对Windows系统的攻击已经超过了67%。此外，病毒种类随着各种技术的进步而大幅度增长。

为了检测各种层出不穷的恶意代码，反病毒研究者需要不断获取并了解恶意代码的相关行为，主要通过人工分析揭示恶意代码的具体函数以达到解除该病毒的目的[2-3]，但是这种不经过前期处理直接分析恶意代码是一个比较耗时的工程。传统方法是从恶意代码的反汇编指令中生成特征向量、控制流图并比较[4-6]，但是这种比较对象仅是恶意代码的代码部分，对打包样本或重要的攻击行为隐藏在数据部分的恶意代码是无效的。

为了同时检测到恶意代码数据部分和代码部分的攻击行为，Nataraj 等人[7]将有标签的恶意代码转化为灰度图，并利用k近邻算法对未标记的恶意代码样本进行分类，这种方法即使在恶意代码是混淆的情况下也能够得到较高的准确率，但是该方法最终通过GIST（generalized search trees）算法提取图片纹理特征，而该算法复杂度高，导致提取特征的效率不高。Ahmadi 等人[8]在Nataraj 等人[7]的基础上提出多特征梯度增强算法对恶意代码进行分类，该方法有效地提高了包括压缩样本在内的恶意代码分类精度，但是用传统机器学习方法难以提取高维度的特征，导致检测效果不明显。……