CN104933364B - 一种基于调用行为的恶意代码自动化同源判定方法及系统 - Google Patents

Abstract

本发明公开了一种基于调用行为的恶意代码自动化同源判定方法及系统。该方法首先提取两样本调用WinAPI的交集，基于WinAPI交集提取6类WinAPI调用行为，通过比较WinAPI的调用行为判定两样本是否同源。与手工同源判定相比，在保持高准确率的前提下大大提高了同源判定的效率，适合基于某特定样本在少量样本集中或在线实时捕获与该样本同源的其他恶意代码的场景，以快速发现不同攻击事件间的关联关系。本发明公开的系统可部署在恶意代码实时检测系统，用于快速检测与特定恶意代码同源的其他恶意代码样本，以有效防范新型恶意代码的传播，减轻危害降低损失。

Description

一种基于调用行为的恶意代码自动化同源判定方法及系统

技术领域

本发明涉及恶意代码分析领域，具体涉及一种基于调用行为的恶意代码自动化同源判定方法及系统。

背景技术

本发明中恶意代码同源指不同恶意代码源自同一组织或同一作者，这些恶意代码可能属于不同家族，甚至具有很大的功能差异。随着攻击方式向高级、持续(如APT，Advanced Persistent Threat)等方向发展，通常一个攻击由多种恶意代码完成或不同的攻击所用的恶意代码均出自同一组织，发现其中的同源关系对作者溯源、攻击场景还原、APT攻击防范等具有重要作用。目前，同源判定主要依赖人工分析，CrySyS实验室的Bencsáth等人依赖特殊关键词，注入机制、注入目标、导出函数、导入函数所用的特殊手法、负载与配置、通信模块等判定Stuxnet与Duqu同源；Gostev等人发现Stuxnet与Duqu在编译平台、时间、代码等方面具有相似性；Kaspersky实验室的专家通过人工分析发现2009版Stuxnet中的一个模块是Flame中的插件，判定Stuxnet与Flame与同源；FireEye实验室的专家深入分析11个高级持续攻击(APT)，发现攻击所用恶意代码具有相同的代码段、时间戳，甚至相同的证书，认为这些攻击均由一个组织操纵，具有同源关系。各个实验室、反病毒厂商的专家给出的分析报告详细全面，有力地证明了不同恶意代码的同源关系，但受专家经验影响较大，因此效率较低。

同源判定主要依赖人工分析，主要原因是同源判定的原则是分析两样本间是否拥有独特的相似性证据，现实中即使不同源的恶意代码间也会有大量相似项，如图标、字符串、代码段等，因此需要有经验的分析人员判断哪些相似项是特殊的、个性的，可做为同源判定的证据，以进行同源判定。

发明内容

基于此，为了实现恶意代码同源判定的自动化，本发明公开了一种基于调用行为的恶意代码自动化同源判定方法及系统。

为了实现上述目的，本发明采用以下技术方案：

一种基于调用行为的恶意代码自动化同源判定方法，包括以下步骤：

(1)提取每个恶意代码样本的WinAPI调用行为集合与样本中调用的WinAPI集合；

(2)提取两样本调用的WinAPI集合的WinAPI交集；

(3)从两样本WinAPI调用行为集合中筛选出由WinAPI交集构成的调用行为集合；

(4)依据步骤(3)中提取的调用行为集合计算两样本间的同源度，依据设定的同源度阈值判定恶意代码样本是否同源。

进一步地，步骤(1)中，恶意代码样本的WinAPI调用行为集合与样本中调用的WinAPI集合通过以下方法进行提取：

1)检测样本是否加壳；

2)若加壳判断是否能脱壳；

3)对未加壳与成功脱壳的样本做反汇编处理，获取反汇编代码，同时获取导入表中的WinAPI集合；

4)提取反汇编代码中的WinAPI调用行为集合。

进一步地，所述WinAPI调用行为包括：

①Proc级2-WinAPI组合调用行为：恶意代码作者在编写函数中同时调用的两个WinAPI，表征在函数设计中的WinAPI组合调用行为；

②Proc级2-WinAPI分离调用行为：恶意代码作者在不同函数中使用的两个WinAPI，表征在函数设计中的不同WinAPI分开使用的调用行为；

③Loc级2-WinAPI组合调用行为：恶意代码作者在Loc代码段中同时调用的两个WinAPI，表征Loc代码段中的WinAPI组合调用行为；

④Loc级WinAPI单独调用行为：恶意代码作者在Loc代码段中只调用了一个WinAPI，表征作者在Loc代码段中的WinAPI调用行为；

⑤Loc级WinAPI序列调用行为：恶意代码作者在Loc代码段中调用的WinAPI序列，表征作者在Loc代码段中的WinAPI调用序列调用行为；

⑥Loc级WinAPI调用先后次序组合调用行为：恶意代码作者在Loc代码段中调用WinAPI的先后关系，表征作者在Loc代码段中调用WinAPI的顺序调用行为。

进一步地，步骤(3)中通过以下方法进行筛选：

1)从WinAPI调用行为集合中依次取出每个行为，每个行为均由1个到多个WinAPI构成；

2)对每个行为，若其中的WinAPI均属于WinAPI交集，则将其加入新的WinAPI调用行为集合中；

3)否则，回到步骤1)；

4)直到WinAPI调用行为集合中再无行为为止，最终得到的新的WinAPI调用行为集合为由WinAPI交集构成的调用行为集合。

进一步地，若WinAPI交集中的WinAPI数目少于10个，则不进行同源判定。

否则，依据WinAPI调用行为集合S′_A与WinAPI调用行为集合S′_B计算样本A与B每一类行为的相似度，第i类行为的相似度计算公式为：

其中为S′_A中第i类行为的集合，为S′_B中第i类行为的集合。

依据【公式1】计算6类行为的相似度，最后计算6类行为相似度的平均值，做为样本A与B的同源度，计算公式如下：

本发明中设定同源度阈值为0.5，即当sim＞0.5时，判定两样本同源。

本发明同时公开了一种基于调用行为的恶意代码自动化同源判定系统，主要由调用行为提取模块、WinAPI提取模块、调用行为比对模块与同源判定模块4个模块组成，其中：

所述调用行为提取模块用于自动提取样本中的WinAPI调用行为集合；

所述WinAPI提取模块用于提取样本调用的WinAPI集合；

所述调用行为比对模块用于比对样本间的WinAPI调用行为集合，得到样本中由共同调用的WinAPI集合构成的WinAPI调用行为集合；

所述同源判定模块用于依据WinAPI调用行为集合判定样本间的同源关系。

进一步地，所述调用行为提取模块通过检测样本是否加壳，并对加壳样本脱壳，对未加壳或成功脱壳后的样本进行反汇编并解析导入表，基于汇编代码提取样本中的WinAPI调用行为。

进一步地，所述WinAPI提取模块基于编译规则提取样本调用的WinAPI。

本发明公开了一种基于调用行为的恶意代码自动化同源判定方法，该方法具有实时性和准确性。首先提取两样本调用WinAPI的交集，基于WinAPI交集提取6类WinAPI调用行为，通过比较WinAPI的调用行为判定两样本是否同源，利用上述方法可以从海量样本中判定与已知样本同源的其他样本，每次判定为两两样本之间的判定。与手工同源判定相比，在保持高准确率的前提下大大提高了同源判定的效率，适合基于某特定样本在少量样本集中或在线实时捕获与该样本同源的其他恶意代码的场景，以快速发现不同攻击事件间的关联关系。

本发明公开的基于调用行为的恶意代码自动化同源判定系统可部署在恶意代码实时检测系统，用于快速检测与特定恶意代码同源的其他恶意代码样本，以有效防范新型恶意代码的传播，减轻危害降低损失。

附图说明

图1本发明基于调用行为的恶意代码自动化同源判定方法流程图；

图2本发明特征提取流程图；

图3本发明基于调用行为的恶意代码自动化同源判定系统架构图；

图4本发明实施例1中变种判定结果；

图5本发明实施例1中同源判定结果。

具体实施方式

下面，结合具体的实施实例对本发明进行详细说明。

本发明提供的恶意代码自动化同源判定方法的流程如图1所示，结合样本A与样本B，具体实施步骤如下：

(1)提取样本A的WinAPI调用行为集合S_A与WinAPI调用集合WinAPI_A，提取样本A的WinAPI调用行为集合S_B与WinAPI调用集合WinAPI_B。

图2给出了该步骤具体的流程，对于一个样本：

1)检测样本是否加壳；

2)若有壳判断是否能脱壳；

3)对未加壳与脱壳样本做反汇编处理，获取反汇编代码，同时获取导入表中的WinAPI集合；

4)依据以下定义提取反汇编代码中的6类WinAPI调用行为集合。

定义1 Proc级2-WinAPI组合调用行为：恶意代码作者在编写函数中同时调用的两个WinAPI，表征在函数设计中的WinAPI组合调用行为；

定义2 Proc级2-WinAPI分离调用行为：恶意代码作者在不同函数中使用的两个WinAPI，表征在函数设计中的不同WinAPI分开使用的调用行为；

定义3 Loc级2-WinAPI组合调用行为：恶意代码作者在Loc代码段中同时调用的两个WinAPI，表征Loc代码段中的WinAPI组合调用行为；

定义4 Loc级WinAPI单独调用行为：恶意代码作者在Loc代码段中只调用了一个WinAPI，表征作者在Loc代码段中的WinAPI调用行为；

定义5 Loc级WinAPI序列调用行为：恶意代码作者在Loc代码段中调用的WinAPI序列，表征作者在Loc代码段中的WinAPI调用序列调用行为；

定义6 Loc级WinAPI调用先后次序组合调用行为：恶意代码作者在Loc代码段中调用WinAPI的先后关系，表征作者在Loc代码段中调用WinAPI的顺序调用行为。

最终，提取样本A的WinAPI调用行为集合S_A与WinAPI调用集合WinAPI_A，提取样本B的WinAPI调用行为集合S_B与WinAPI调用集合WinAPI_B。

(2)提取WinAPI交集

根据WinAPI调用集合WinAPI_A与WinAPI调用集合WinAPI_B，提取两样本共同调用的WinAPI集合，即WinAPI调用集合WinAPI_A与WinAPI调用集合WinAPI_B的交集WinAPI_C。

(3)提取由WinAPI交集构成的行为集合

对样本A的WinAPI调用行为集合WinAPI_A中的每一项行为，若该行为中的WinAPI均包含在WinAPI交集WinAPI_C中，则加入样本A的WinAPI调用行为集合S'_A中。同样方法得到样本B的WinAPI调用行为集合S'_B。具体步骤如下所示：

初始化，调用行为集合，WinAPI交集，中WinAPI构成的调用行为集合为空集

1)从调用行为集合中依次取出每个行为，由1到多个WinAPI构成；

2)对每个行为，若中的WinAPI均属于交集，则将加入中；

3)否则，回到第1)步；

4)直到调用行为集合中再无行为为止。

(4)同源判定

若交集中的WinAPI数目过少，这里设定为10，即时，认为无法有效证明同源关系，不进行同源判定。

否则，依据WinAPI调用行为集合S′_A与WinAPI调用行为集合S′_B计算样本A与B每一类行为的相似度，第i类行为的相似度计算公式为：

其中为S′_A中第i类行为的集合，为S′_B中第i类行为的集合。

依据【公式1】计算6类行为的相似度，最后计算6类行为相似度的平均值，做为样本A与B的同源度，计算公式如下：

本发明中设定同源度阈值为0.5，即当sim＞0.5时，判定两样本同源。

基于调用行为的恶意代码自动化同源判定系统主要由调用行为提取模块、WinAPI提取模块、调用行为比对模块与同源判定模块4个模块组成。

系统结构如图3所示。系统具体实施步骤如下：

(1)调用行为提取

对所有样本，利用该模块自动提取样本中的6类调用行为。通过检测样本是否加壳，并对加壳样本利用现有的动态脱壳、静态脱壳等技术进行脱壳，对未加壳或成功脱壳后的样本进行反汇编并解析导入表，基于汇编代码提取样本中的6类WinAPI调用行为。

(2)WinAPI提取

通过导入表提取恶意代码样本调用的WinAPI，但WinAPI并不仅由编程人员调用，在编译时编译器会加入大量WinAPI，编译器调用的WinAPI会混淆提取的调用行为，因此必须去除非人为调用的WinAPI。不同的编译器有不同的编译规则，基于编译规则提取作者调用的WinAPI。

(3)调用行为比对

调用行为集合，WinAPI交集，中WinAPI构成的调用行为集合为空集

1)从调用行为集合中依次取出每个行为，由1到多个WinAPI构成；

2)对每个行为，若中的WinAPI均属于交集，则将加入中；

3)否则，回到第1)步；

4)直到调用行为集合中再无行为为止。

最后比对样本间的调用行为集合。

(4)同源判定

依据WinAPI交集与调用行为集合判定样本间的同源关系。

1)若，认为无法有效证明同源关系，不进行同源判定；

2)否则，基于调用行为集合，依据【公式1】与【公式2】计算样本间的同源度；

3)若同源度大于0.5，认为样本间存在同源关系，否则，不同源。

实施例1

Sung等人提出的SAVE(Static analyzer of vicious executable)方法是一种的恶意代码家族判定方法。该方法首先利用静态分析技术提取每个恶意代码中静态调用的WinAPI序列，之后利用LCS(Longest Common Subsequence，最大公共序列)算法计算样本间静态WinAPI序列间的相似度，进而判定样本是否属于同一家族的变种。

对比实验表明，与恶意代码家族判定相比，本发明具有跨家族同源判定的能力：

实验数据集：vxheavrn.org网站上公开了少量有作者标注的恶意代码样本，从中收集了作者roy g biv的编写的9个恶意代码样本；

实验结果：

(1)SAVE方法：判定9个样本中有两对属于同一家族，如boundary与impute、efishnc与junkmail，其余5个样本之间无家族关系，与此4个样本也无家族关系，如图4所示；

(2)本发明提出的方法：结果如图5所示，图中显示，由同一作者编写的9个恶意代码样本，识别出2簇同源样本集，其中样本hidan与样本hiewg同源，与变种判定结果相同，另外1簇包括5个样本，只有2个样本未发现同源关系。

Claims (6)

1.一种基于恶意代码作者调用行为的恶意代码自动化同源判定方法，包括以下步骤：

(1)提取每个恶意代码样本的WinAPI调用行为集合与样本中调用的WinAPI集合，所述WinAPI调用行为包括：

①Proc级2-WinAPI组合调用行为：恶意代码作者在编写函数中同时调用的两个WinAPI，表征在函数设计中的WinAPI组合调用行为；

②Proc级2-WinAPI分离调用行为：恶意代码作者在不同函数中使用的两个WinAPI，表征在函数设计中的不同WinAPI分开使用的调用行为；

③Loc级2-WinAPI组合调用行为：恶意代码作者在Loc代码段中同时调用的两个WinAPI，表征Loc代码段中的WinAPI组合调用行为；

④Loc级WinAPI单独调用行为：恶意代码作者在Loc代码段中只调用了一个WinAPI，表征作者在Loc代码段中的WinAPI调用行为；

⑤Loc级WinAPI序列调用行为：恶意代码作者在Loc代码段中调用的WinAPI序列，表征作者在Loc代码段中的WinAPI调用序列调用行为；

⑥Loc级WinAPI调用先后次序组合调用行为：恶意代码作者在Loc代码段中调用WinAPI的先后关系，表征作者在Loc代码段中调用WinAPI的顺序调用行为；

(2)提取两样本调用的WinAPI集合的WinAPI交集；

(3)从两样本WinAPI调用行为集合中筛选出由WinAPI交集构成的调用行为集合；

(4)依据步骤(3)中提取的调用行为集合，通过以下公式计算两样本间的同源度：

其中，sim_i表示第i类行为的相似度，S′_A为样本A的WinAPI调用行为集合，为S′_A中第i类行为的集合，S′_B为样本B的WinAPI调用行为集合，为S′_B中第i类行为的集合，i＝1，2，3…6，依据设定的同源度阈值判定恶意代码样本是否同源。

2.如权利要求1所述的基于恶意代码作者调用行为的恶意代码自动化同源判定方法，其特征在于，步骤(1)中，恶意代码样本的WinAPI调用行为集合与样本中调用的WinAPI集合通过以下方法进行提取：

1)检测样本是否加壳；

2)若加壳判断是否能脱壳；

3)对未加壳与成功脱壳的样本做反汇编处理，获取反汇编代码，同时获取导入表中的WinAPI集合；

4)提取反汇编代码中的WinAPI调用行为集合。

3.如权利要求1所述的基于恶意代码作者调用行为的恶意代码自动化同源判定方法，其特征在于，步骤(3)中通过以下方法进行筛选：

1)从WinAPI调用行为集合中依次取出每个行为，每个行为均由1个到多个WinAPI构成；

2)对每个行为，若其中的WinAPI均属于WinAPI交集，则将其加入新的WinAPI调用行为集合中；

3)否则，回到步骤1)；

4)直到WinAPI调用行为集合中再无行为为止，最终得到的新的WinAPI调用行为集合为由WinAPI交集构成的调用行为集合。

4.一种基于恶意代码作者调用行为的恶意代码自动化同源判定系统，包括调用行为提取模块、WinAPI提取模块、调用行为比对模块与同源判定模块，其中：

所述调用行为提取模块用于自动提取样本中的WinAPI调用行为集合，所述WinAPI调用行为包括：

①Proc级2-WinAPI组合调用行为：恶意代码作者在编写函数中同时调用的两个WinAPI，表征在函数设计中的WinAPI组合调用行为；

②Proc级2-WinAPI分离调用行为：恶意代码作者在不同函数中使用的两个WinAPI，表征在函数设计中的不同WinAPI分开使用的调用行为；

③Loc级2-WinAPI组合调用行为：恶意代码作者在Loc代码段中同时调用的两个WinAPI，表征Loc代码段中的WinAPI组合调用行为；

④Loc级WinAPI单独调用行为：恶意代码作者在Loc代码段中只调用了一个WinAPI，表征作者在Loc代码段中的WinAPI调用行为；

⑤Loc级WinAPI序列调用行为：恶意代码作者在Loc代码段中调用的WinAPI序列，表征作者在Loc代码段中的WinAPI调用序列调用行为；

Loc级WinAPI调用先后次序组合调用行为：恶意代码作者在Loc代码段中调用WinAPI的先后关系，表征作者在Loc代码段中调用WinAPI的顺序调用行为；

所述WinAPI提取模块用于提取样本调用的WinAPI集合；

所述调用行为比对模块用于比对样本间的WinAPI调用行为集合，得到样本中由共同调用的WinAPI集合构成的WinAPI调用行为集合；

所述同源判定模块用于依据WinAPI调用行为集合判定样本间的同源关系，通过以下公式计算两样本间的同源度：

其中，sim_i表示第i类行为的相似度，S′_A为样本A的WinAPI调用行为集合，为S′_A中第i类行为的集合，S′_B为样本B的WinAPI调用行为集合，为S′_B中第i类行为的集合，i＝1，2，3…6。

5.如权利要求4所述的基于恶意代码作者调用行为的恶意代码自动化同源判定系统，其特征在于，所述调用行为提取模块通过检测样本是否加壳，并对加壳样本脱壳，对未加壳或成功脱壳后的样本进行反汇编并解析导入表，基于汇编代码提取样本中的WinAPI调用行为。

6.如权利要求4所述的基于恶意代码作者调用行为的恶意代码自动化同源判定系统，其特征在于，所述WinAPI提取模块基于编译规则提取样本调用的WinAPI。