CN103927486A - 一种黑特征库中失效特征的确定方法及系统 - Google Patents

Abstract

本发明实施例提供的一种黑特征库中失效特征的确定方法及系统，可以将黑特征库中的特征与样本文件进行对比，当黑特征库中的特征命中了与该特征的源样本文件符合异常变形规律的样本文件时，则确定该特征出现误命中行为，该特征属于失效特征。本发明通过异常变形规律来确定失效特征，所使用的样本文件可随机选取，因此不再需要通过常用软件库来查找失效特征，提高了失效特征的查找效果，保护了设备的安全。

Description

一种黑特征库中失效特征的确定方法及系统

技术领域

本发明涉及失效特征筛查技术领域，特别是涉及一种黑特征库中失效特征的确定方法及系统。

背景技术

随着智能电子设备和网络的发展，计算机病毒对用户计算机安全的威胁也逐渐加剧。

为了保护用户的计算机，现有的安全软件商都通过黑特征库来查找病毒。黑特征库中的特征可以从特征源样本中提取得到，但提取的特征中可能存在失效特征，失效特征会导致误报率较高。为了将去除失效特征，现有技术通过建立常用软件库来查找黑特征库中的特征，如果某个特征命中常用软件库中的软件，则确定该特征为失效特征，从而可以将其从黑特征库中删除。

但是，由于不可能将所有常用软件放入常用软件库中，因此现有技术的失效特征查找效果较差。

发明内容

本发明实施例的目的在于提供一种黑特征库中失效特征的确定方法及系统，以实现提高失效特征查找效果的目的。

为达到上述目的，本发明实施例公开了一种黑特征库中失效特征的确定方法，包括：

获得黑特征库中的第一特征；

判断样本文件是否具有所述第一特征，如果是，则判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，如果是，则确定所述第一特征为失效特征。

优选的，还包括：

在确定所述第一特征为失效特征后，将所述第一特征从所述黑特征库中删除。

优选的，所述第一特征按照第一提取方式从所述第一特征的特征源文件中提取得到，在将所述第一特征从所述黑特征库中删除后，所述方法还包括：

按照第二提取方式从所述第一特征的特征源文件中提取特征并放入所述黑特征库中，所述第二提取方式与所述第一提取方式不同。

优选的，所述判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，包括：

获得所述样本文件与所述第一特征的特征源文件的代码相似度；

判断所述代码相似度是否低于预设第一阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律。

优选的，所述判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，包括：

获得所述样本文件的PE节表与所述第一特征的特征源文件的PE节表的相似度；

判断所述相似度是否低于预设第二阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律。

优选的，所述判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，包括：

获得所述样本文件的PE节与所述第一特征的特征源文件的PE节的相似度；

判断所述相似度是否低于预设第三阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合异常变形规律。

一种黑特征库中失效特征的确定系统，包括：特征获得单元、文件判断单元、变形判断单元和失效确定单元，

所述特征获得单元，用于获得黑特征库中的第一特征；

所述文件判断单元，用于判断样本文件是否具有所述第一特征，如果是，则触发所述变形判断单元；

所述变形判断单元，用于判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，如果是，则触发所述失效确定单元；

所述失效确定单元，用于确定所述第一特征为失效特征。

优选的，还包括：特征删除单元，用于在所述失效确定单元确定所述第一特征为失效特征后，将所述第一特征从所述黑特征库中删除。

优选的，所述第一特征按照第一提取方式从所述第一特征的特征源文件中提取得到，所述系统还包括：特征提取单元，用于在所述特征删除单元将所述第一特征从所述黑特征库中删除后，按照第二提取方式从所述第一特征的特征源文件中提取特征并放入所述黑特征库中，所述第二提取方式与所述第一提取方式不同。

优选的，所述变形判断单元，包括：代码相似度获得子单元和第一相似度判断子单元，

所述代码相似度获得子单元，用于获得所述样本文件与所述第一特征的特征源文件的代码相似度；

所述第一相似度判断子单元，用于判断所述代码相似度是否低于预设第一阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律，触发所述失效确定单元。

优选的，所述变形判断单元，包括：节表相似度获得子单元和第二相似度判断子单元，

所述节表相似度获得子单元，用于获得所述样本文件的PE节表与所述第一特征的特征源文件的PE节表的相似度；

所述第一相似度判断子单元，用于判断所述相似度是否低于预设第二阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律，触发所述失效确定单元。

优选的，所述变形判断单元，包括：PE节相似度获得子单元和第三相似度判断子单元，

所述PE节相似度获得子单元，用于获得所述样本文件的PE节与所述第一特征的特征源文件的PE节的相似度；

所述第三相似度判断子单元，用于判断所述相似度是否低于预设第三阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合异常变形规律，触发所述失效确定单元。

本发明实施例提供的一种黑特征库中失效特征的确定方法及系统，可以将黑特征库中的特征与样本文件进行对比，当黑特征库中的特征命中了与该特征的源样本文件符合异常变形规律的样本文件时，则确定该特征出现误命中行为，属于失效特征。本发明通过异常变形规律来确定失效特征，所使用的样本文件可随机选取，因此不再需要通过常用软件库来查找失效特征，提高了失效特征的查找效果，保护了设备的安全。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例提供的一种黑特征库中失效特征的确定方法的流程图；

图2为本发明实施例提供的另一种黑特征库中失效特征的确定方法的流程图；

图3为本发明实施例提供的一种黑特征库中失效特征的确定系统的结构示意图；

图4为本发明实施例提供的另一种黑特征库中失效特征的确定系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，本发明实施例提供的一种黑特征库中失效特征的确定方法，可以包括：

S100、获得黑特征库中的第一特征；

具体的，黑特征库中可以存在有多个特征，在实际应用中，可以每次仅获得黑特征库中的一个特征，然后与样本文件对比，也可以同时获得黑特征库中的多个特征，然后将获取的各个特征与样本文件对比。

S200、判断样本文件是否具有所述第一特征，如果是，则执行步骤S300；

其中，样本文件可以是随机选取的文件，如：恶意文件、坏文件、正常文件。但由于正常文件一般不会具有黑特征库中的特征，因此为了提高失效特征的确定效率，可以选取恶意文件作为样本文件。其中，恶意文件可以包括：病毒和流氓软件，病毒可以分为感染性病毒和蠕虫型病毒等。

具体的，为了提高失效特征的确定效果，样本文件可以为多个，可以判断多个样本文件是否具有第一特征。当某样本文件不具有第一特征时，可以继续判断该样本文件是否具有黑特征库中的其他特征，也可以继续从黑特征库中提取其他特征与该样本文件进行比对，确定是否具有所提取的特征，当然也可以不进行处理。

可以将一个特征分别与所有样本对比，也可以让一个样本和所有特征对比。

S300、判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，如果是，则执行步骤S400；

如果样本文件与所述第一特征的特征源文件不符合预定义的异常变形规律，可以继续判断该样本文件是否具有黑特征库中的其他特征，也可以继续从黑特征库中提取其他特征与该样本文件进行比对，确定是否具有所提取的特征，当然也可以不进行处理。

可以理解的是，由于黑特征库中的特征从特征源文件中提取得到，因此黑特征库中的特征用于查找该特征源文件，如果黑特征库中的特征命中了一个和该特征的特征源文件差异较大的文件，则说明该特征出现了误命中，该特征已经失效。例如：某病毒具有某轻度危险等级的行为特征，但并不具有重度危险等级的行为特征，将该病毒作为特征源文件，提取到上述轻度危险等级行为特征并放入黑特征库中。这样，根据所提取的该轻度危险等级行为特征就可以检测到该病毒并做出与其所具有的特征的危险等级相对应的处理。一段时间后，该病毒发生变异，不仅具有上述轻度危险等级行为特征，还具有了一个重度危险等级的行为特征。但是由于变异后该重度危险等级的行为特征并未及时加入到黑特征库中，因此在通过黑特征库对变异后的病毒进行检测时，仍会通过上述轻度危险等级的行为特征命中变异后的病毒，并做出与轻度危险等级相对应的处理。但由于该病毒已经具有了重度危险等级的行为特征，因此与轻度危险等级相对应的处理无法保护设备的安全。

可以理解的是，通过对病毒等恶意文件的变异行为进行分析即可得出异常变形规律，例如感染型病毒和坏文件在变异时一般会对文件代码部分有一定的修改，因此可以通过代码相似度确定是否为异常变形。

具体的，可以为每个特征源样本设置一个标识，从特征源样本中提取的特征具有与该标识相对应的特征ID，这样，通过黑特征库中的特征的ID就可以确定相对应的特征源样本，从而与样本文件进行异常变形规律的判断。

其中，判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律的方式有多种，下面提供几种方式：

方式一、S300可以包括：

获得所述样本文件与所述第一特征的特征源文件的代码相似度；

判断所述代码相似度是否低于预设第一阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律。

其中，在病毒等恶意文件发生变异时，一般会对文件代码部分有一定的修改，因此可以通过模糊hash算法等方式得出特征源文件与样本文件的代码相似度，若相似度低于一定阈值，则确定为异常变形。

可以理解的是，代码相似度需要计算样本文件与特征源文件的所有代码，因此计算量较大。在实际应用中，还可以仅比较文件中部分数据的相似度。

方式二、S300可以包括：

获得所述样本文件的PE节表与所述第一特征的特征源文件的PE节表的相似度；

判断所述相似度是否低于预设第二阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律。

其中，PE为可执行文件格式，病毒等恶意文件一般均为可执行文件格式，该PE文件中包括有多个PE节，PE节表负责对PE节进行声明，记录PE节的数量、各PE节的地址等信息。具有感染行为的恶意文件一般通过加节、插节缝隙等方式来进行变异，例如：改变PE节大小或者增加新PE节等，上述对PE节的修改会在PE节表上体现出来，因此可以通过PE节表的相似度确定是否为异常变形。

方式三、S300可以包括：

获得所述样本文件的PE节与所述第一特征的特征源文件的PE节的相似度；

判断所述相似度是否低于预设第三阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合异常变形规律。

恶意文件发生异常变形时，还会对PE节中的数据进行修改，因此还可以通过对比PE节的相似度确定是否为异常变形。具体的，可以通过哈希算法来进行对比。

除上述三种方式外，还可以通过对比其他方式确定是否为异常变形，例如：对比PE头的部分字段(如时间戳、检验和)、对比附加数据等。

可选的，可以同时根据上述几种方式来确定第一特征的特征源文件与样本文件符合异常变形规律，例如：同时根据方式二和方式三来进行确定，如果确定第一特征的特征源文件与样本文件符合如下两个条件中的任意一个，则确定二者符合异常变形规律：PE节表的相似度低于预设第二阈值、PE节的相似度低于预设第三阈值。

S400、确定所述第一特征为失效特征。

本发明实施例提供的一种黑特征库中失效特征的确定方法，可以将黑特征库中的特征与样本文件进行对比，当黑特征库中的特征命中了与该特征的源样本文件符合异常变形规律的样本文件时，则确定该特征出现误命中行为，属于失效特征。本发明通过异常变形规律来确定失效特征，所使用的样本文件可随机选取，因此不再需要通过常用软件库来查找失效特征，提高了失效特征的查找效果，保护了设备的安全。

如图2所示，在图1所示实施例基础上，本发明实施例提供的另一种黑特征库中失效特征的确定方法，还可以包括：

S500、在确定所述第一特征为失效特征后，将所述第一特征从所述黑特征库中删除。

进一步，所述第一特征按照第一提取方式从所述第一特征的特征源文件中提取得到，在S500后，图2所示方法还可以包括：

按照第二提取方式从所述第一特征的特征源文件中提取特征并放入所述黑特征库中，所述第二提取方式与所述第一提取方式不同。

其中，所述第一提取方式可以为泛型特征提取方式。可选的，所述第二提取方式可以为全文哈希值特征提取方式。

泛型特征提取方式提取的泛型特征更具有普遍性，因此对相似的恶意文件具有较好的检出效果，但同时误命中几率也较高。全文哈希值特征提取方式提取的特征的误命中几率较低，但仅能命中所提取的特征的特征源文件。通过对出现误命中的泛型特征进行删除，并替换为使用全文哈希值特征提取方式提取的特征就可以将出现误命中的失效特征替换为有效特征，从而降低黑特征库中特征的误报率。

相对于上述方法实施例，本发明还提供了一种黑特征库中失效特征的确定系统。

如图3所示，本发明实施例提供的一种黑特征库中失效特征的确定系统，可以包括：特征获得单元100、文件判断单元200、变形判断单元300和失效确定单元400，

特征获得单元100，用于获得黑特征库中的第一特征；

具体的，黑特征库中可以存在有多个特征，在实际应用中，可以每次仅获得黑特征库中的一个特征，然后与样本文件对比，也可以同时获得黑特征库中的多个特征，然后将获取的各个特征与样本文件对比。

文件判断单元200，用于判断样本文件是否具有所述第一特征，如果是，则触发所述变形判断单元300；

具体的，为了提高失效特征的确定效果，样本文件可以为多个，可以判断多个样本文件是否具有第一特征。当某样本文件不具有第一特征时，可以继续判断该样本文件是否具有黑特征库中的其他特征。

可以将一个特征分别与所有样本对比，也可以让一个样本和所有特征对比。

变形判断单元300，用于判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，如果是，则触发所述失效确定单元400；

可以理解的是，由于黑特征库中的特征从特征源文件中提取得到，因此黑特征库中的特征用于查找该特征源文件，如果黑特征库中的特征命中了一个和该特征的特征源文件差异较大的文件，则说明该特征出现了误命中，该特征已经失效。例如：某病毒具有某轻度危险等级的行为特征，但并不具有重度危险等级的行为特征，将该病毒作为特征源文件，提取到上述轻度危险等级行为特征并放入黑特征库中。这样，根据所提取的该轻度危险等级行为特征就可以检测到该病毒并做出与其所具有的特征的危险等级相对应的处理。一段时间后，该病毒发生变异，不仅具有上述轻度危险等级行为特征，还具有了一个重度危险等级的行为特征。但是由于变异后该重度危险等级的行为特征并未及时加入到黑特征库中，因此在通过黑特征库对变异后的病毒进行检测时，仍会通过上述轻度危险等级的行为特征命中变异后的病毒，并作出与轻度危险等级相对应的处理。但由于该病毒已经具有了重度危险等级的行为特征，因此与轻度危险等级相对应的处理无法保护设备的安全。

可以理解的是，通过对病毒等恶意文件的变异行为进行分析即可得出异常变形规律，例如感染型病毒和坏文件在变异时一般会对文件代码部分有一定的修改，因此可以通过代码相似度确定是否为异常变形。

具体的，可以为每个特征源样本设置一个标识，从特征源样本中提取的特征具有与该标识相对应的特征ID，这样，通过黑特征库中的特征的ID就可以确定相对应的特征源样本，从而与样本文件进行异常变形规律的判断。

在实际应用中，变形判断单元300有多种具体组成方式，下面提供其中几种：

方式一、变形判断单元300，可以包括：代码相似度获得子单元和第一相似度判断子单元，

所述代码相似度获得子单元，用于获得所述样本文件与所述第一特征的特征源文件的代码相似度；

所述第一相似度判断子单元，用于判断所述代码相似度是否低于预设第一阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律，触发所述失效确定单元400。

方式二、变形判断单元300，可以包括：节表相似度获得子单元和第二相似度判断子单元，

所述节表相似度获得子单元，用于获得所述样本文件的PE节表与所述第一特征的特征源文件的PE节表的相似度；

所述第一相似度判断子单元，用于判断所述相似度是否低于预设第二阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律，触发所述失效确定单元400。

方式三、变形判断单元300，可以包括：PE节相似度获得子单元和第三相似度判断子单元，

所述PE节相似度获得子单元，用于获得所述样本文件的PE节与所述第一特征的特征源文件的PE节的相似度；

所述第三相似度判断子单元，用于判断所述相似度是否低于预设第三阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合异常变形规律，触发所述失效确定单元400。

除上述三种方式外，还可以通过对比其他方式确定是否为异常变形，例如：对比PE头的部分字段(如时间戳、检验和)、对比附加数据等。

可选的，变形判断单元300可以同时包括上述的子单元，同时根据上述几种方式来确定第一特征的特征源文件与样本文件符合异常变形规律，例如：同时根据方式二和方式三中的子单元，如果确定第一特征的特征源文件与样本文件符合如下两个条件中的任意一个，则确定二者符合异常变形规律：PE节表的相似度低于预设第二阈值、PE节的相似度低于预设第三阈值。

失效确定单元400，用于确定所述第一特征为失效特征。

本发明实施例提供的一种黑特征库中失效特征的确定系统，可以将黑特征库中的特征与样本文件进行对比，当黑特征库中的特征命中了与该特征的源样本文件符合异常变形规律的样本文件时，则确定该特征出现误命中行为，属于失效特征。本发明通过异常变形规律来确定失效特征，所使用的样本文件可随机选取，因此不再需要通过常用软件库来查找失效特征，提高了失效特征的查找效果，保护了设备的安全。

如图4所示，本发明实施例提供的另一种黑特征库中失效特征的确定系统，可以包括：特征删除单元500，用于在所述失效确定单元400确定所述第一特征为失效特征后，将所述第一特征从所述黑特征库中删除。

其中，所述第一特征按照第一提取方式从所述第一特征的特征源文件中提取得到，在本发明其他实施例总，图4所示系统还可以包括：特征提取单元，用于在所述特征删除单元500将所述第一特征从所述黑特征库中删除后，按照第二提取方式从所述第一特征的特征源文件中提取特征并放入所述黑特征库中，所述第二提取方式与所述第一提取方式不同。

其中，所述第一提取方式可以为泛型特征提取方式。可选的，所述第二提取方式可以为全文哈希值特征提取方式。

泛型特征提取方式提取的泛型特征更具有普遍性，因此对相似的恶意文件具有较好的检出效果，但同时误命中几率也较高。全文哈希值特征提取方式提取的特征的误命中几率较低，但仅能命中所提取的特征的特征源文件。通过对出现误命中的泛型特征进行删除，并替换为使用全文哈希值特征提取方式提取的特征就可以将出现误命中的失效特征替换为有效特征，从而降低黑特征库中特征的误报率。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (12)

1.一种黑特征库中失效特征的确定方法，其特征在于，包括：

获得黑特征库中的第一特征；

判断样本文件是否具有所述第一特征，如果是，则判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，如果是，则确定所述第一特征为失效特征。

2.根据权利要求1所述的方法，其特征在于，还包括：

在确定所述第一特征为失效特征后，将所述第一特征从所述黑特征库中删除。

3.根据权利要求2所述的方法，其特征在于，所述第一特征按照第一提取方式从所述第一特征的特征源文件中提取得到，在将所述第一特征从所述黑特征库中删除后，所述方法还包括：

按照第二提取方式从所述第一特征的特征源文件中提取特征并放入所述黑特征库中，所述第二提取方式与所述第一提取方式不同。

4.根据权利要求1或2所述的方法，其特征在于，所述判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，包括：

获得所述样本文件与所述第一特征的特征源文件的代码相似度；

判断所述代码相似度是否低于预设第一阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律。

5.根据权利要求1或2所述的方法，其特征在于，所述判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，包括：

获得所述样本文件的PE节表与所述第一特征的特征源文件的PE节表的相似度；

判断所述相似度是否低于预设第二阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律。

6.根据权利要求1或2所述的方法，其特征在于，所述判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，包括：

获得所述样本文件的PE节与所述第一特征的特征源文件的PE节的相似度；

判断所述相似度是否低于预设第三阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合异常变形规律。

7.一种黑特征库中失效特征的确定系统，其特征在于，包括：特征获得单元、文件判断单元、变形判断单元和失效确定单元，

所述特征获得单元，用于获得黑特征库中的第一特征；

所述文件判断单元，用于判断样本文件是否具有所述第一特征，如果是，则触发所述变形判断单元；

所述变形判断单元，用于判断所述样本文件与所述第一特征的特征源文件是否符合预定义的异常变形规律，如果是，则触发所述失效确定单元；

所述失效确定单元，用于确定所述第一特征为失效特征。

8.根据权利要求7所述的系统，其特征在于，还包括：特征删除单元，用于在所述失效确定单元确定所述第一特征为失效特征后，将所述第一特征从所述黑特征库中删除。

9.根据权利要求8所述的系统，其特征在于，所述第一特征按照第一提取方式从所述第一特征的特征源文件中提取得到，所述系统还包括：特征提取单元，用于在所述特征删除单元将所述第一特征从所述黑特征库中删除后，按照第二提取方式从所述第一特征的特征源文件中提取特征并放入所述黑特征库中，所述第二提取方式与所述第一提取方式不同。

10.根据权利要求7或8所述的系统，其特征在于，所述变形判断单元，包括：代码相似度获得子单元和第一相似度判断子单元，

所述代码相似度获得子单元，用于获得所述样本文件与所述第一特征的特征源文件的代码相似度；

所述第一相似度判断子单元，用于判断所述代码相似度是否低于预设第一阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律，触发所述失效确定单元。

11.根据权利要求7或8所述的系统，其特征在于，所述变形判断单元，包括：节表相似度获得子单元和第二相似度判断子单元，

所述节表相似度获得子单元，用于获得所述样本文件的PE节表与所述第一特征的特征源文件的PE节表的相似度；

所述第一相似度判断子单元，用于判断所述相似度是否低于预设第二阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合预定义的异常变形规律，触发所述失效确定单元。

12.根据权利要求7或8所述的系统，其特征在于，所述变形判断单元，包括：PE节相似度获得子单元和第三相似度判断子单元，

所述PE节相似度获得子单元，用于获得所述样本文件的PE节与所述第一特征的特征源文件的PE节的相似度；

所述第三相似度判断子单元，用于判断所述相似度是否低于预设第三阈值，如果是，则确定所述第一特征的特征源文件与所述样本文件符合异常变形规律，触发所述失效确定单元。