CN105512556A - 一种恶意软件处理方法及装置 - Google Patents

Abstract

本发明公开了一种恶意软件处理方法及装置，其中，该方法包括：对恶意软件进行降噪处理；获取与恶意软件对应的静态信息，及与恶意软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成静态签名；捕获恶意软件的动态轨迹，并生成对应的动态签名；将恶意软件的动态签名及静态签名保存至预先设置的恶意软件比对表中；基于恶意软件比对表判断待测软件是否为恶意软件。本申请中所利用的软件签名包括动态签名及静态签名，即包括静态动态两方面产生的软件标签，不同于现有技术中单一的指定信息，能够保证软件签名的有效性，进而保证对于待测软件是否为恶意软件的识别准确性。

Description

一种恶意软件处理方法及装置

技术领域

本发明涉及云安全技术领域，更具体地说，涉及一种恶意软件处理方法及装置。

背景技术

伴随着计算机软硬件技术的不断更新发展，新的计算模式也相继出现，继并行计算、分布式计算、效用计算、网络计算等概念之后，又出现了一种崭新的计算模式-云计算。尽管很多研究机构认为云计算提供了安全可靠的数据存储计算服务，但是仍然不可避免的收到病毒的侵扰，从而影响了云数据的安全，为企业造成巨大损失。因此云安全成为目前企业普遍关注的问题。

云安全的概念是通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中的木马、恶意程序等恶意软件的最新信息，传送到服务端端进行自动分析和处理，再把恶意软件的解决方案分发到每一个客户端，以供其对恶意软件进行处理。目前效果较好的用于判断一软件是否为恶意软件的方式为通过软件签名的方式，即，通过判断一软件的软件签名与恶意软件的软件签名是否一致，如果一致，则认为该软件为恶意软件。这种方式的准确率在很大程度上取决于利用的软件签名是否有效，但是现有的软件签名通常仅仅利用对应软件的单一的指定信息，如指定一段代码等与恶意软件的指定信息进行比对，但是，一些未知其为恶意软件的恶意软件可以通过加入混淆代码或者其他简单的方式使其与已知其为恶意软件的恶意软件的比对呈现不一致的结果，进而导致恶意软件对系统造成破坏。

综上所述，现有技术中所利用的软件签名存在信息单一、容易失效的问题。

发明内容

本发明的目的是提供一种恶意软件处理方法及装置，以解决现有技术中所利用的软件签名存在信息单一、容易失效的问题。

为了实现上述目的，本发明提供如下技术方案：

一种恶意软件处理方法，包括：

对恶意软件进行降噪处理；

获取与所述恶意软件对应的静态信息，及与所述恶意软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成静态签名；

捕获所述恶意软件的动态轨迹，并生成对应的动态签名；

将所述恶意软件的动态签名及静态签名保存至预先设置的恶意软件比对表中；

基于所述恶意软件比对表判断待测软件是否为恶意软件。

优选的，所述对恶意软件进行去噪处理，包括：

舍弃所述恶意软件中不包含有攻击代码的数据。

优选的，基于所述恶意软件比对表判断待测软件是否为恶意软件，包括：

获取与待测软件对应的静态信息，及与所述待测软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成待测静态签名；

捕获所述待测软件的动态轨迹，并生成对应的待测动态签名；

判断所述恶意软件比对表中是否存在目标恶意软件，所述目标恶意软件的动态签名与所述待测动态签名匹配，静态签名与所述待测静态签名匹配，如果是，则确定所述待测软件为与所述目标恶意软件对应的恶意软件。

优选的，还包括：

如果所述恶意软件比对表中不存在所述目标恶意软件，则将所述待测软件发送至云端，由所述云端通过判断其预先存储的全文病毒签名库中是否存在所述目标恶意软件，确定所述待测软件是否为恶意软件。

一种恶意软件处理装置，包括：

降噪模块，用于对恶意软件进行降噪处理；

静态签名生成模块，用于获取与所述恶意软件对应的静态信息，及与所述恶意软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及所述静态信息生成静态签名；

动态签名生成模块，用于捕获所述恶意软件的动态轨迹，并生成对应的动态签名；

保存模块，用于将所述恶意软件的动态签名及静态签名保存至预先设置的恶意软件比对表中；

判断模块，用于基于所述恶意软件比对表判断待测软件是否为恶意软件。

优选的，降噪模块包括：

降噪单元，用于舍弃所述恶意软件中不包含有攻击代码的数据。

优选的，判断模块包括：

判断单元，用于：获取与待测软件对应的静态信息，及与所述待测软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成待测静态签名；捕获所述待测软件的动态轨迹，并生成对应的待测动态签名；判断所述恶意软件比对表中是否存在目标恶意软件，所述目标恶意软件的动态签名与所述待测动态签名匹配，静态签名与所述待测静态签名匹配，如果是，则确定所述待测软件为与所述目标恶意软件对应的恶意软件。

优选的，还包括：

发送模块，用于如果所述恶意软件比对表中不存在所述目标恶意软件，则将所述待测软件发送至云端，由所述云端通过判断其预先存储的全文病毒签名库中是否存在所述目标恶意软件，确定所述待测软件是否为恶意软件。

本发明提供的一种恶意软件处理方法及装置，其中，该方法包括：对恶意软件进行降噪处理；获取与所述恶意软件对应的静态信息，及与所述恶意软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成静态签名；捕获所述恶意软件的动态轨迹，并生成对应的动态签名；将所述恶意软件的动态签名及静态签名保存至预先设置的恶意软件比对表中；基于所述恶意软件比对表判断待测软件是否为恶意软件。与现有技术相比，本申请中在对恶意软件进行去噪处理后，获取恶意软件的静态签名及动态签名，并将其存储在恶意软件比对表中，进而利用恶意软件的静态签名及动态签名完成对于未知其是否为恶意软件的待测软件的识别，即，本申请中所利用的软件签名包括动态签名及静态签名，即包括静态动态两方面产生的软件标签，不同于现有技术中单一的指定信息，能够保证软件签名的有效性，进而保证对于待测软件是否为恶意软件的识别准确性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种恶意软件处理方法的流程图；

图2为本发明实施例提供的一种恶意软件方法中对恶意软件进行去噪后得到的效果示意图；

图3为本发明实施例提供的一种恶意软件处理装置的结构示意图；

图4为本发明实施例提供的一种恶意软件处理方法及装置的实验结果示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1，其示出了本发明实施例提供的一种恶意软件处理方法的流程图，可以包括以下步骤：

S11：对恶意软件进行降噪处理。

对恶意软件进行降噪处理，简单来说，即将恶意软件中包含的多余的数据进行处理，以减少恶意软件占用的空间。

S12：获取与恶意软件对应的静态信息，及与恶意软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成静态签名。

需要说明的是，可以通过系统智能转换器生成恶意软件的静态信息，静态信息可以包括恶意软件的名称信号、代码信息或者其他属性信息，可以利用机器学习技术收集指定信号中不相交的二进制序列，该信号通常为对恶意软件进行采集获取的信号，进而基于静态信息及二进制序列这些不变的子串信息形成静态签名。

S13：捕获恶意软件的动态轨迹，并生成对应的动态签名。

可以利用预先设定的模拟器或者沙箱捕捉恶意程序的活动轨迹，即动态轨迹，以生成与动态轨迹对应的动态签名。

步骤S12和步骤S13可以同时执行，也可以按照实际需要的顺序执行。

S14：将恶意软件的动态签名及静态签名保存至预先设置的恶意软件比对表中。

恶意软件比对表中存储有代表恶意软件的标记，可以是其名称信息，以及与该恶意软件对应的静态信息及动态信息。

S15：基于恶意软件比对表判断待测软件是否为恶意软件。

本申请中在对恶意软件进行去噪处理后，获取恶意软件的静态签名及动态签名，并将其存储在恶意软件比对表中，进而利用恶意软件的静态签名及动态签名完成对于未知其是否为恶意软件的待测软件的识别，即，本申请中所利用的软件签名包括动态签名及静态签名，即包括静态动态两方面产生的软件标签，不同于现有技术中单一的指定信息，能够保证软件签名的有效性，进而保证对于待测软件是否为恶意软件的识别准确性。

本申请通过采用动态静态两方面产生恶意软件的软件签名，进而通过动态静态结合的方式对待测软件进行鉴别的方法，有效平衡了客户端和服务器端的内存和资源消耗。并且通过上述方式自动生成的软件签名仅仅为传统软件签名的数百分之一，即本申请自动生成的软件签名为轻量级的签名数据，因此，用户无需安装庞大的病毒签名文件，而仅需安装一轻量级的云签名。并且，实验证明，通过本发明实施例提供的上述方法去识别待测软件，大大提高了对于待测软件的识别效率，减小了处理恶意软件的周期，且部署方便，降低了操作成本。

另外，本发明中考虑到恶意软件的特点，对恶意软件进行去噪处理，可以包括：舍弃恶意软件中不包含有攻击代码的数据，即抛弃恶意软件中的部分数据，而只保留黑客可能会植入攻击代码的数据。从而可以降低恶意软件对应的文件大小，通常其大小可以缩至原来文件的一半，如图2所示，其为对恶意软件进行去噪后得到的效果示意图，从而有效减少了恶意软件对应文件的占用空间，加快了动态签名及静态签名的生成。且，恶意软件去噪后，其可执行文件格式遭到了破坏，从而该恶意软件无法以可执行文件的格式执行，保证了系统的安全性。

通常在去噪之前，需要对恶意软件进行分析，通常同族的恶意软件对应的采样信号中拥有部分相同的二进制序列，因此，在这些序列中存在一些相同的二进制字符串，且恶意软件的可执行文件包括可执行文件头、节表、导出表和导入表以及源等内部结构，通过对恶意软件的上述分析，可以确定需要舍弃的数据部分，及需要保留的数据部分。

上述实施例提供的一种恶意软件处理方法中，基于恶意软件比对表判断待测软件是否为恶意软件，可以包括：

获取与待测软件对应的静态信息，及与待测软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成待测静态签名；

捕获待测软件的动态轨迹，并生成对应的待测动态签名；

判断恶意软件比对表中是否存在目标恶意软件，目标恶意软件的动态签名与待测动态签名匹配，静态签名与待测静态签名匹配，如果是，则确定待测软件为与目标恶意软件对应的恶意软件。

需要说明的是，待测软件即为未知其是否为恶意软件的软件，对待测软件的待测静态签名及待测动态签名的生成方法与对恶意软件的静态签名及动态签名的生成方法的原理一致，因此，请参见上述对恶意软件的静态签名及动态签名的生成方法的说明。

另外，如果目标恶意软件的静态签名与待测软件的待测静态签名一致，动态签名与待测软件的待测动态签名一致，则说明待测软件为与目标恶意软件相同或者同类的恶意软件。由此，通过待测软件的静态签名及动态签名，能够准确判断出待测软件是否为恶意软件。

上述实施例提供的一种恶意软件处理方法中，还可以包括：

如果恶意软件比对表中不存在目标恶意软件，则将待测软件发送至云端，由云端通过判断其预先存储的全文病毒签名库中是否存在目标恶意软件，确定待测软件是否为恶意软件。

当无法识别出待测软件是否为恶意软件时，则将待测软件上传至云端，并请求云端对待测软件进行识别，云端存储有完整的全文病毒签名库，即云端存储有基本全部的恶意软件的软件签名，利用全文病毒签名库对待测软件的鉴别与上述利用恶意软件比对表对待测软件的鉴别的原理一致，请参见上述利用恶意软件比对表对待测软件进行鉴别的具体说明。由此，通过与云端的配合，能够有效提高对于待测软件的识别准确率。

与上述方法实施例相对应，本发明实施例还提供了一种恶意软件处理装置，如图3所示，可以包括：

降噪模块31，用于对恶意软件进行降噪处理；

静态签名生成模块32，用于获取与恶意软件对应的静态信息，及与恶意软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及静态信息生成静态签名；

动态签名生成模块33，用于捕获恶意软件的动态轨迹，并生成对应的动态签名；

保存模块34，用于将恶意软件的动态签名及静态签名保存至预先设置的恶意软件比对表中；

判断模块35，用于基于恶意软件比对表判断待测软件是否为恶意软件。

本申请中在对恶意软件进行去噪处理后，获取恶意软件的静态签名及动态签名，并将其存储在恶意软件比对表中，进而利用恶意软件的静态签名及动态签名完成对于未知其是否为恶意软件的待测软件的识别，即，本申请中所利用的软件签名包括动态签名及静态签名，即包括动态静态两个方面的签名，不同于现有技术中单一的指定信息，能够保证软件签名的有效性，进而保证对于待测软件是否为恶意软件的识别准确性。

上述实施例提供的一种恶意软件处理装置中，降噪模块可以包括：

降噪单元，用于舍弃恶意软件中不包含有攻击代码的数据。

上述实施例提供的一种恶意软件处理装置中，判断模块可以包括：

判断单元，用于：获取与待测软件对应的静态信息，及与待测软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成待测静态签名；捕获待测软件的动态轨迹，并生成对应的待测动态签名；判断恶意软件比对表中是否存在目标恶意软件，目标恶意软件的动态签名与待测动态签名匹配，静态签名与待测静态签名匹配，如果是，则确定待测软件为与目标恶意软件对应的恶意软件。

上述实施例提供的一种恶意软件处理装置中，还可以包括：

发送模块，用于如果恶意软件比对表中不存在目标恶意软件，则将待测软件发送至云端，由云端通过判断其预先存储的全文病毒签名库中是否存在目标恶意软件，确定待测软件是否为恶意软件。

由于本发明实施例提供的一种恶意软件处理装置为与上述实施例提供的一种恶意软件处理方法相对应，因此，对于本发明提供的一种恶意软件处理装置的实施例中的具体说明请参见上述一种恶意软件处理方法的实施例中对应内容的说明。

另外需要说明的是，基于本发明实施例提供的一种恶意软件处理方法及装置，通过对超过千万正常软件和取自40个病毒族近35k的恶意软件的采样识别实验，得到了该系统的恶意软件识别率近80％，如附图4所示，且，识别速度较快。对于更大的试验样本集合，其识别率会更高，错误率设置可以仅仅为0.001％。即，发明实施例提供的一种恶意软件识别方法及装置，能够有效对待测软件进行识别。

对所公开的实施例的上述说明，使本领域技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (8)

1.一种恶意软件处理方法，其特征在于，包括：

对恶意软件进行降噪处理；

获取与所述恶意软件对应的静态信息，及与所述恶意软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成静态签名；

捕获所述恶意软件的动态轨迹，并生成对应的动态签名；

将所述恶意软件的动态签名及静态签名保存至预先设置的恶意软件比对表中；

基于所述恶意软件比对表判断待测软件是否为恶意软件。

2.根据权利要求1所述的方法，其特征在于，所述对恶意软件进行去噪处理，包括：

舍弃所述恶意软件中不包含有攻击代码的数据。

3.根据权利要求1所述的方法，其特征在于，基于所述恶意软件比对表判断待测软件是否为恶意软件，包括：

获取与待测软件对应的静态信息，及与所述待测软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成待测静态签名；

捕获所述待测软件的动态轨迹，并生成对应的待测动态签名；

判断所述恶意软件比对表中是否存在目标恶意软件，所述目标恶意软件的动态签名与所述待测动态签名匹配，静态签名与所述待测静态签名匹配，如果是，则确定所述待测软件为与所述目标恶意软件对应的恶意软件。

4.根据权利要求3所述的方法，其特征在于，还包括：

如果所述恶意软件比对表中不存在所述目标恶意软件，则将所述待测软件发送至云端，由所述云端通过判断其预先存储的全文病毒签名库中是否存在所述目标恶意软件，确定所述待测软件是否为恶意软件。

5.一种恶意软件处理装置，其特征在于，包括：

降噪模块，用于对恶意软件进行降噪处理；

静态签名生成模块，用于获取与所述恶意软件对应的静态信息，及与所述恶意软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及所述静态信息生成静态签名；

动态签名生成模块，用于捕获所述恶意软件的动态轨迹，并生成对应的动态签名；

保存模块，用于将所述恶意软件的动态签名及静态签名保存至预先设置的恶意软件比对表中；

判断模块，用于基于所述恶意软件比对表判断待测软件是否为恶意软件。

6.根据权利要求5所述的装置，其特征在于，降噪模块包括：

降噪单元，用于舍弃所述恶意软件中不包含有攻击代码的数据。

7.根据权利要求5所述的装置，其特征在于，判断模块包括：

判断单元，用于：获取与待测软件对应的静态信息，及与所述待测软件对应的信号中包含的互不相交的二进制序列，并基于该二进制序列及该静态信息生成待测静态签名；捕获所述待测软件的动态轨迹，并生成对应的待测动态签名；判断所述恶意软件比对表中是否存在目标恶意软件，所述目标恶意软件的动态签名与所述待测动态签名匹配，静态签名与所述待测静态签名匹配，如果是，则确定所述待测软件为与所述目标恶意软件对应的恶意软件。

8.根据权利要求7所述的装置，其特征在于，还包括：

发送模块，用于如果所述恶意软件比对表中不存在所述目标恶意软件，则将所述待测软件发送至云端，由所述云端通过判断其预先存储的全文病毒签名库中是否存在所述目标恶意软件，确定所述待测软件是否为恶意软件。