基于软件结构聚类的恶意代码生成器识别方法及系统

摘要

本发明提供了一种软件结构聚类的恶意代码生成器识别方法及系统。本发明的方法通过找到相同时间戳的样本，并提取相同时间戳样本的软件结构信息构造向量，通过计算Simhash值，找到Simhash距离小于指定值的样本，则能够判断该类样本具有相似的文件结构，为恶意代码生成器生成的代码。同样本发明还给出了相应的系统结构。通过本发明的方法，能够利用生成器与编译产生的软件结构的差异，发现生成器，并利用大规模相似性找到软件结构相似的样本。

主权项

一种基于软件结构聚类的恶意代码生成器识别方法，其特征在于，包括：提取未知样本的PE结构的时间戳信息；采用二分法比较样本的时间戳，找到时间戳相同的样本；判断时间戳相同，MD5值不同的样本数量是否大于5，如果是，则继续执行下一步，否则结束；提取样本集中各样本的软件结构信息；将提取的软件结构信息构造向量，并计算向量的Simhash值；找到Simhash的距离小于预设值的样本，则判定所述样本具有相似结构，为生成器生成的恶意代码。