一种检测恶意代码家族变种及新家族的方法及系统

摘要

本发明公开了一种检测恶意代码家族变种及新家族的方法及系统，首先通过现有的已知恶意代码家族及其样本作为训练数据，提取其中的API函数名和API函数传入的参数，在检测过程中，将待检测恶意代码的API函数名与训练数据的函数名进行对比，初步判断其是否属于已知恶意代码家族，然后将待检测恶意代码API函数传入的参数与训练数据的API函数传入的参数进行对比，判断其属于现有家族的变种还是属于新增家族的样本，最终返回检测结果。本发明弥补了现有恶意代码检测都为单一目标样本的检测，并没有对家族样本进行分类，无法直观的发现目前正在活跃的家族并根据其新的变种做针对性的防御的不足，且检测结果精确，可靠性高。

主权项

一种检测恶意代码家族变种及新家族的方法，其特征在于，包括：解析现有恶意代码家族中的已知恶意代码样本，提取并存储已知恶意代码样本所包含的API函数名及API函数传入的参数；提取待检测恶意代码所包含的API函数名，将其分别与各已知恶意代码样本的API函数名进行对比，若API函数名相同个数都不大于规定阈值，则待检测恶意代码为新增恶意代码家族的恶意代码样本；若存在API函数名相同个数大于规定阈值，则记录对应的已知恶意代码样本，并分别提取记录的已知恶意代码样本与待检测恶意代码相同的API函数名；提取待检测恶意代码中所述相同API函数名对应的API函数传入的参数，并将其分别与各记录的已知恶意代码样本中API函数名对应的API函数传入的参数进行对比，若对比结果显示传入的参数完全相同，则该结果对应的已知恶意代码样本的权值加1；若对比结果显示传入的参数不完全相同，则该结果对应的已知恶意代码样本的权值减1；统计所有已知恶意代码样本的权值，若权值均小于规定数值，则待检测恶意代码为新增恶意代码家族的恶意代码样本；若存在权值不小于规定数值，则记录权值最大的已知恶意代码样本，且待检测恶意代码为该已知恶意代码样本对应的恶意代码家族的变种。