CN112861135A - 基于注意力机制的恶意代码检测方法 - Google Patents

基于注意力机制的恶意代码检测方法 Download PDF

Info

Publication number
CN112861135A
CN112861135A CN202110390469.0A CN202110390469A CN112861135A CN 112861135 A CN112861135 A CN 112861135A CN 202110390469 A CN202110390469 A CN 202110390469A CN 112861135 A CN112861135 A CN 112861135A
Authority
CN
China
Prior art keywords
layer
malicious code
gram
malicious
channel
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202110390469.0A
Other languages
English (en)
Other versions
CN112861135B (zh
Inventor
汪洁
殷雪峰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Central South University
Original Assignee
Central South University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Central South University filed Critical Central South University
Priority to CN202110390469.0A priority Critical patent/CN112861135B/zh
Publication of CN112861135A publication Critical patent/CN112861135A/zh
Application granted granted Critical
Publication of CN112861135B publication Critical patent/CN112861135B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/045—Combinations of networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Computer Security & Cryptography (AREA)
  • Biophysics (AREA)
  • Computer Hardware Design (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • Biomedical Technology (AREA)
  • Computational Linguistics (AREA)
  • Data Mining & Analysis (AREA)
  • Evolutionary Computation (AREA)
  • Molecular Biology (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Virology (AREA)
  • Image Analysis (AREA)

Abstract

本发明公开了一种基于注意力机制的恶意代码检测方法，包括获取恶意代码及正常程序并构建特征库；将恶意代码进行区块划分和处理得到双通道恶意代码图片；构建恶意代码检测初步模型并训练得到最终的恶意代码检测模型；采用恶意代码检测模型进行恶意代码检测。本发明使用3‑gram模型处理并构建3‑gram特征库，再将操作码按照函数划分块，通过将块映射成图像中的不同行得到一个单通道图像；然后增加一个新的图像通道并根据3‑gram特征库填入当前位置操作码的权重值，该通道可以有效的展现出恶意代码中关键的代码区域；最后针对该恶意代码图像，采用改进的识别模型进行恶意代码识别；因此，本发明方法可靠性高、实用性好且识别效率高。

Description

基于注意力机制的恶意代码检测方法
技术领域
本发明属于信息技术领域，具体涉及一种基于注意力机制的恶意代码检测方法。
背景技术
随着经济技术的发展和人们生活水平的提高，由恶意代码所引发的安全问题也越来越多。根据国家互联网应急中心的报告，近几年恶意代码的数量迅速增长，恶意代码带来的威胁也日益严重。如何快速有效的检测恶意代码，成为当前信息安全不可回避的挑战之一。
早期的恶意代码检测方法，主要是根据这些特征信息生成特征签名或者启发式规则来判断恶意代码。然而，随着恶意代码的演化，早期的检测方法并不能有效的识别恶意代码。
近年来，随着深度学习算法的兴起，研究人员提出了不少基于深度学习的恶意代码检测模型。尽管目前基于深度学习的检测方法在一定程度上提升了恶意代码的识别率，但是深度学习主要应用于图像识别和自然语言处理方面，因此无法直接将恶意代码输入至神经网络并进行训练，而是需要首先将恶意代码转换成特征向量或者图像的形式。目前，恶意代码转换为图像的方法，通常是将其中的操作码或者字节码映射成数字作为图像中的像素值；然而，这种方法生成的图像包含信息比较单一，而且容易受到混淆的干扰，从而导致神经网络的识别率下降。
发明内容
本发明的目的在于提供一种可靠性高、实用性好且识别效率高的基于注意力机制的恶意代码检测方法。
本发明提供的这种基于注意力机制的恶意代码检测方法，包括如下步骤：
S1.获取恶意代码及正常程序作为基础数据，并构建特征库；
S2.将步骤S1得到的恶意代码进行区块划分；
S3.将步骤S2得到的划分后的恶意代码进行处理，从而得到双通道恶意代码图片；
S4.构建恶意代码检测初步模型；
S5.采用步骤S3得到的双通道恶意代码图片，以及步骤S1获取的正常程序，对步骤S4构建的恶意代码检测初步模型进行训练，从而得到最终的恶意代码检测模型；
S6.采用步骤S5得到的恶意代码检测模型进行恶意代码检测。
步骤S1所述的获取恶意代码及正常程序作为基础数据，并构建特征库，具体为从采用如下步骤构建特征库：
A.获取恶意代码数据集和正常程序数据集；
B.对获取的恶意代码进行反汇编，并按照函数进行分块；
C.采用3-gram模型对每个函数内的操作码进行切分，从而得到3-gram特征；
D.采用如下算式计算每个3-gram特征的频率fy(Di)：
Figure BDA0003016525510000021
式中D为3-gram特征集合；Di为所有3-gram特征中的第i个特征；y为恶意代码样本；S(Di,y)为样本y中特征Di的总数；样本中每个3-gram特征的频率在区间[0,1]内；
E.对步骤D计算得到的每个3-gram特征的频率fy(Di)进行离散化处理；
F.采用如下算式计算每个3-gram特征的信息熵H(X)：
Figure BDA0003016525510000031
式中p(xi)为3-gram特征X的取值属于xi区间的概率；n为对连续3-gram特征X离散化后得到的取值区间的总数；log()为取底数为2的对数操作；
G.采用如下算式计算每个3-gram特征的条件熵H(Y|X)：
H(Y|X)＝∑x∈Xp(x)H(Y|X＝x)
式中Y为样本标签，用于表示代码是否为恶意代码；
H.计算3-gram特征X的信息增益G(X)为G(X)＝H(X)-H(Y|X)；
I.得到每个3-gram特征的信息增益后，保留信息增益值最大的前若干个3-gram特征和对应的信息增益值，并将剩余的3-gram特征的信息增益值直接设置为0，从而构成最终的特征库。
步骤S2所述的将步骤S1得到的恶意代码进行区块划分，具体为将恶意代码按照函数划分为若干个区块，并根据特征库去掉无用函数。
步骤S3所述的将步骤S2得到的划分后的恶意代码进行处理，从而得到双通道恶意代码图片，具体为采用如下步骤得到双通道恶意代码图片：
a.计算每个函数内所包含的3-gram特征的信息增益总和，并删除信息增益总和为0的函数；
b.获取步骤a得到的每个函数的操作码；
c.将操作码映射到设定的整数区间，保证每一个整数代表一种操作码；
d.将每个函数中的操作码进行转换得到一维向量，将得到的一维向量进行拼接得到单通道恶意代码图片；
e.针对步骤d得到的单通道恶意代码图片，将图片中每一个像素与其之后的两个像素重新组成新的3-gram特征，并与步骤S1构建的特征库进行比较，从而得到像素所对应的新的信息增益值；
f.将步骤e得到的像素所对应的新的信息增益值与设定值yy相乘，得到像素权重值；
Figure BDA0003016525510000041
xx为特征库中信息增益的最大值；
g.在步骤d得到的单通道恶意代码图片上，添加一个新的图像通道，图像通道的值为对应像素的像素权重值，从而得到最终的双通道恶意代码图片。
步骤S4所述的构建恶意代码检测初步模型，具体为采用如下步骤构建恶意代码检测初步模型：
恶意代码检测初步模型包括输入层、第一卷积层、第一池化层、第二卷积层、第二池化层、第三卷积层、第三池化层、压缩操作层、激励操作层、全连接层和softmax函数层；
输入层：用于接收双通道恶意代码图片；
第一卷积层：用于对输入层的数据进行二维卷积，并输出到第一池化层；第一卷积层中卷积核的大小为1*3，步长为1；
第一池化层：用于对第一卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
第二卷积层：用于对第一池化层的数据进行二维卷积，并输出到第二池化层；第二卷积层中卷积核的大小为3*3，步长为1；
第二池化层：用于对第二卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
第三卷积层：用于对第二池化层的数据进行二维卷积，并输出到第三池化层；第一卷积层中卷积核的大小为3*3，步长为1；
第三池化层：用于对第三卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
压缩操作层：对第三池化层输出的H*W*C特征进行压缩和global averagepooling，从而得到1*1*C大小的特征向量；H为特征通道的高；W为特征通道的宽；C为特征通道的数量；
激励操作层：包括两个全连接层和两个激活函数，第一全连接层的神经元个数和两个激活函数均自行设定；第二全连接层的神经元个数为C；将权重值分别和原特征通道的二维矩阵相乘，从而得到加权后的大小为H*W*C的特征，并进行扁平化处理，并输出到全连接层；
全连接层：用于对上述步骤得到的特征进行拟合；
softmax函数层：用于完成对恶意代码的识别。
本发明提供的这种基于注意力机制的恶意代码检测方法，使用3-gram模型处理操作码并通过计算其信息增益构建3-gram特征库，再将操作码按照函数划分成多个块，通过将这些块映射成图像中的不同行得到一个单通道图像；然后提出增加一个新的图像通道并根据3-gram特征库填入当前位置操作码的权重值，该通道可以有效的展现出恶意代码中关键的代码区域；最后针对该恶意代码图像，采用改进的识别模型进行恶意代码识别；因此，本发明方法可靠性高、实用性好且识别效率高。
附图说明
图1为本发明方法的方法流程示意图。
图2为本发明方法的恶意代码图片的生成过程示意图。
图3为本发明方法的检测模型的结构示意图。
具体实施方式
如图1所示为本发明方法的方法流程示意图：本发明提供的这种基于注意力机制的恶意代码检测方法，包括如下步骤：
S1.获取恶意代码及正常程序作为基础数据，并构建特征库；具体为从采用如下步骤构建特征库：数据来自VXHeaven等网站下载的恶意代码数据集与从portableapps等网站下载的正常程序。通过工具IDA pro对这些程序进行反汇编并按照函数将其分块，然后使用3-gram模型对每个函数内的操作码进行切分，并计算这些3-gram特征的信息增益；
A.获取恶意代码数据集和正常程序数据集；
B.对获取的恶意代码进行反汇编，并按照函数进行分块；
C.采用3-gram模型对每个函数内的操作码进行切分，从而得到3-gram特征；
D.采用如下算式计算每个3-gram特征的频率fy(Di)：
Figure BDA0003016525510000061
式中D为3-gram特征集合；Di为所有3-gram特征中的第i个特征；y为恶意代码样本；S(Di,y)为样本y中特征Di的总数；样本中每个3-gram特征的频率在区间[0,1]内；
E.对步骤D计算得到的每个3-gram特征的频率fy(Di)进行离散化处理(比如，采用CART算法)；
F.采用如下算式计算每个3-gram特征的信息熵H(X)：
Figure BDA0003016525510000071
式中p(xi)为3-gram特征X的取值属于xi区间的概率；n为对连续3-gram特征X离散化后得到的取值区间的总数；log()为取底数为2的对数操作；
G.采用如下算式计算每个3-gram特征的条件熵H(Y|X)：
H(Y|X)＝∑x∈Xp(x)H(Y|X＝x)
式中Y为样本标签，用于表示代码是否为恶意代码；
H.计算3-gram特征X的信息增益G(X)为G(X)＝H(X)-H(Y|X)；
I.得到每个3-gram特征的信息增益后，保留信息增益值最大的前若干个(比如800个)3-gram特征和对应的信息增益值，并将剩余的3-gram特征的信息增益值直接设置为0，从而构成最终的特征库；该步骤的目的在于使得后续模型在训练时更加关注关键的3-gram特征，信息增益值较低的3-gram特征部分来自一些常用的函数内部，它们对提升模型的准确率并没有帮助；
S2.将步骤S1得到的恶意代码进行区块划分；具体为将恶意代码按照函数划分为若干个区块，并根据特征库去掉无用函数；
S3.将步骤S2得到的划分后的恶意代码进行处理，从而得到双通道恶意代码图片(如图2所示)；具体为采用如下步骤得到双通道恶意代码图片：
a.计算每个函数内所包含的3-gram特征的信息增益总和，并删除信息增益总和为0的函数；从而去掉非关键函数，减少生成图片的大小；
b.获取步骤a得到的每个函数的操作码；
c.将操作码映射到设定的整数区间(比如0～255区间)，保证每一个整数代表一种操作码；
d.将每个函数中的操作码进行转换得到一维向量，将得到的一维向量进行拼接得到单通道恶意代码图片；
e.针对步骤d得到的单通道恶意代码图片，将图片中每一个像素与其之后的两个像素重新组成新的3-gram特征，并与步骤S1构建的特征库进行比较，从而得到像素所对应的新的信息增益值；
f.将步骤e得到的像素所对应的新的信息增益值与设定值yy相乘，得到像素权重值；
Figure BDA0003016525510000081
xx为特征库中信息增益的最大值；
g.在步骤d得到的单通道恶意代码图片上，添加一个新的图像通道，图像通道的值为对应像素的像素权重值，从而得到最终的双通道恶意代码图片；
S4.构建恶意代码检测初步模型；具体为采用如下步骤构建恶意代码检测初步模型(如图3所示)：
恶意代码检测初步模型包括输入层、第一卷积层、第一池化层、第二卷积层、第二池化层、第三卷积层、第三池化层、压缩操作层、激励操作层、全连接层和softmax函数层；
输入层：用于接收双通道恶意代码图片；
其中Wchannel1表示操作码通道，Wchannel2为操作码权重值通道；用如下两式表示两个通道的矩阵(其中Vec_1i和Vec_2i分别表示操作码通道与操作码权重通道中的每一行像素)
Wchannel1＝[Vec_11,Vec_12,...,Vec_1n]
Wchannel2＝[Vec_21,Vec_22,...,Vec_2n]
第一卷积层：用于对输入层的数据进行二维卷积，并输出到第一池化层；第一卷积层中卷积核的大小为1*3，步长为1；
第一池化层：用于对第一卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
第二卷积层：用于对第一池化层的数据进行二维卷积，并输出到第二池化层；第二卷积层中卷积核的大小为3*3，步长为1；
第二池化层：用于对第二卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
第三卷积层：用于对第二池化层的数据进行二维卷积，并输出到第三池化层；第一卷积层中卷积核的大小为3*3，步长为1；
第三池化层：用于对第三卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
间距后的向量采用如下两式进行表示：
Figure BDA0003016525510000091
Figure BDA0003016525510000092
池化层的具体池化方法可以自行设定，比如max-pooling、K-Max Pooling、average-pooling等；移动步长和窗口大小均可自行确定；
压缩操作层：对第三池化层输出的H*W*C特征进行压缩和global averagepooling，从而得到1*1*C大小的特征向量；H为特征通道的高；W为特征通道的宽；C为特征通道的数量；
激励操作层：包括两个全连接层和两个激活函数，第一全连接层的神经元个数和两个激活函数均自行设定；第二全连接层的神经元个数为C；将权重值分别和原特征通道的二维矩阵相乘，从而得到加权后的大小为H*W*C的特征，并进行扁平化处理，并输出到全连接层；
全连接层：用于对上述步骤得到的特征进行拟合；
softmax函数层：用于完成对恶意代码的识别；
S5.采用步骤S3得到的双通道恶意代码图片，以及步骤S1获取的正常程序，对步骤S4构建的恶意代码检测初步模型进行训练，从而得到最终的恶意代码检测模型；
S6.采用步骤S5得到的恶意代码检测模型进行恶意代码检测。

Claims (5)

1.一种基于注意力机制的恶意代码检测方法，包括如下步骤：
S1.获取恶意代码及正常程序作为基础数据，并构建特征库；
S2.将步骤S1得到的恶意代码进行区块划分；
S3.将步骤S2得到的划分后的恶意代码进行处理，从而得到双通道恶意代码图片；
S4.构建恶意代码检测初步模型；
S5.采用步骤S3得到的双通道恶意代码图片，以及步骤S1获取的正常程序，对步骤S4构建的恶意代码检测初步模型进行训练，从而得到最终的恶意代码检测模型；
S6.采用步骤S5得到的恶意代码检测模型进行恶意代码检测。
2.根据权利要求1所述的基于注意力机制的恶意代码检测方法，其特征在于步骤S1所述的获取恶意代码及正常程序作为基础数据，并构建特征库，具体为从采用如下步骤构建特征库：
A.获取恶意代码数据集和正常程序数据集；
B.对获取的恶意代码进行反汇编，并按照函数进行分块；
C.采用3-gram模型对每个函数内的操作码进行切分，从而得到3-gram特征；
D.采用如下算式计算每个3-gram特征的频率fy(Di)：
Figure FDA0003016525500000011
式中D为3-gram特征集合；Di为所有3-gram特征中的第i个特征；y为恶意代码样本；S(Di,y)为样本y中特征Di的总数；样本中每个3-gram特征的频率在区间[0,1]内；
E.对步骤D计算得到的每个3-gram特征的频率fy(Di)进行离散化处理；
F.采用如下算式计算每个3-gram特征的信息熵H(X)：
Figure FDA0003016525500000021
式中p(xi)为3-gram特征X的取值属于xi区间的概率；n为对连续3-gram特征X离散化后得到的取值区间的总数；log()为取底数为2的对数操作；
G.采用如下算式计算每个3-gram特征的条件熵H(Y|X)：
H(Y|X)＝∑x∈Xp(x)H(Y|X＝x)
式中Y为样本标签，用于表示代码是否为恶意代码；
H.计算3-gram特征X的信息增益G(X)为G(X)＝H(X)-H(Y|X)；
I.得到每个3-gram特征的信息增益后，保留信息增益值最大的前若干个3-gram特征和对应的信息增益值，并将剩余的3-gram特征的信息增益值直接设置为0，从而构成最终的特征库。
3.根据权利要求2所述的基于注意力机制的恶意代码检测方法，其特征在于步骤S2所述的将步骤S1得到的恶意代码进行区块划分，具体为将恶意代码按照函数划分为若干个区块，并根据特征库去掉无用函数。
4.根据权利要求3所述的基于注意力机制的恶意代码检测方法，其特征在于步骤S3所述的将步骤S2得到的划分后的恶意代码进行处理，从而得到双通道恶意代码图片，具体为采用如下步骤得到双通道恶意代码图片：
a.计算每个函数内所包含的3-gram特征的信息增益总和，并删除信息增益总和为0的函数；
b.获取步骤a得到的每个函数的操作码；
c.将操作码映射到设定的整数区间，保证每一个整数代表一种操作码；
d.将每个函数中的操作码进行转换得到一维向量，将得到的一维向量进行拼接得到单通道恶意代码图片；
e.针对步骤d得到的单通道恶意代码图片，将图片中每一个像素与其之后的两个像素重新组成新的3-gram特征，并与步骤S1构建的特征库进行比较，从而得到像素所对应的新的信息增益值；
f.将步骤e得到的像素所对应的新的信息增益值与设定值yy相乘，得到像素权重值；
Figure FDA0003016525500000031
xx为特征库中信息增益的最大值；
g.在步骤d得到的单通道恶意代码图片上，添加一个新的图像通道，图像通道的值为对应像素的像素权重值，从而得到最终的双通道恶意代码图片。
5.根据权利要求4所述的基于注意力机制的恶意代码检测方法，其特征在于步骤S4所述的构建恶意代码检测初步模型，具体为采用如下步骤构建恶意代码检测初步模型：
恶意代码检测初步模型包括输入层、第一卷积层、第一池化层、第二卷积层、第二池化层、第三卷积层、第三池化层、压缩操作层、激励操作层、全连接层和softmax函数层；
输入层：用于接收双通道恶意代码图片；
第一卷积层：用于对输入层的数据进行二维卷积，并输出到第一池化层；
第一卷积层中卷积核的大小为1*3，步长为1；
第一池化层：用于对第一卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
第二卷积层：用于对第一池化层的数据进行二维卷积，并输出到第二池化层；第二卷积层中卷积核的大小为3*3，步长为1；
第二池化层：用于对第二卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
第三卷积层：用于对第二池化层的数据进行二维卷积，并输出到第三池化层；第一卷积层中卷积核的大小为3*3，步长为1；
第三池化层：用于对第三卷积层输出的数据进行池化处理，从而更好的捕获局部特征；
压缩操作层：对第三池化层输出的H*W*C特征进行压缩和global average pooling，从而得到1*1*C大小的特征向量；H为特征通道的高；W为特征通道的宽；C为特征通道的数量；
激励操作层：包括两个全连接层和两个激活函数，第一全连接层的神经元个数和两个激活函数均自行设定；第二全连接层的神经元个数为C；将权重值分别和原特征通道的二维矩阵相乘，从而得到加权后的大小为H*W*C的特征，并进行扁平化处理，并输出到全连接层；
全连接层：用于对上述步骤得到的特征进行拟合；
softmax函数层：用于完成对恶意代码的识别。
CN202110390469.0A 2021-04-12 2021-04-12 基于注意力机制的恶意代码检测方法 Active CN112861135B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110390469.0A CN112861135B (zh) 2021-04-12 2021-04-12 基于注意力机制的恶意代码检测方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110390469.0A CN112861135B (zh) 2021-04-12 2021-04-12 基于注意力机制的恶意代码检测方法

Publications (2)

Publication Number Publication Date
CN112861135A true CN112861135A (zh) 2021-05-28
CN112861135B CN112861135B (zh) 2024-05-31

Family

ID=75992523

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110390469.0A Active CN112861135B (zh) 2021-04-12 2021-04-12 基于注意力机制的恶意代码检测方法

Country Status (1)

Country Link
CN (1) CN112861135B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113468531A (zh) * 2021-07-15 2021-10-01 杭州电子科技大学 基于深度残差网络和混合注意力机制的恶意代码分类方法
CN114896594A (zh) * 2022-04-19 2022-08-12 东北大学 基于图像特征多注意力学习的恶意代码检测装置及方法

Citations (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060037080A1 (en) * 2004-08-13 2006-02-16 Georgetown University System and method for detecting malicious executable code
EP2182458A1 (en) * 2008-11-03 2010-05-05 Deutsche Telekom AG Acquisition of malicious code using active learning
CN106096415A (zh) * 2016-06-24 2016-11-09 康佳集团股份有限公司 一种基于深度学习的恶意代码检测方法及系统
CN106951782A (zh) * 2017-03-22 2017-07-14 中南大学 一种面向安卓应用的恶意代码检测方法
CN108021806A (zh) * 2017-11-24 2018-05-11 北京奇虎科技有限公司 一种恶意安装包的识别方法和装置
US20180144130A1 (en) * 2016-11-21 2018-05-24 Cylance Inc. Icon based malware detection
CN108416213A (zh) * 2018-03-14 2018-08-17 中国人民解放军陆军炮兵防空兵学院郑州校区 一种基于图像纹理指纹的恶意代码分类方法
US10133865B1 (en) * 2016-12-15 2018-11-20 Symantec Corporation Systems and methods for detecting malware
CN109165510A (zh) * 2018-09-04 2019-01-08 中国民航大学 基于双通道卷积神经网络的Android恶意应用程序检测方法
CN109271788A (zh) * 2018-08-23 2019-01-25 北京理工大学 一种基于深度学习的Android恶意软件检测方法
US20190163904A1 (en) * 2017-05-24 2019-05-30 Estsecurity Corp. Apparatus for detecting variants of malicious code based on neural network learning, method therefor and computer readable recording medium storing program for performing the method
CN109829306A (zh) * 2019-02-20 2019-05-31 哈尔滨工程大学 一种优化特征提取的恶意软件分类方法
CN110458239A (zh) * 2019-08-15 2019-11-15 东北大学秦皇岛分校 基于双通道卷积神经网络的恶意软件分类方法及系统
CN110704842A (zh) * 2019-09-27 2020-01-17 山东理工大学 一种恶意代码家族分类检测方法
KR20200071822A (ko) * 2018-11-30 2020-06-22 단국대학교 산학협력단 애플리케이션의 동적 특징정보 및 머신러닝을 이용하여 멀웨어를 탐지 분류하는 시스템 및 방법
US20210004472A1 (en) * 2018-09-10 2021-01-07 John Almeida Storing and using multipurpose secret data
US20210067544A1 (en) * 2018-04-18 2021-03-04 TrafficGuard Pty Ltd System and Methods for Mitigating Fraud in Real Time Using Feedback

Patent Citations (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060037080A1 (en) * 2004-08-13 2006-02-16 Georgetown University System and method for detecting malicious executable code
EP2182458A1 (en) * 2008-11-03 2010-05-05 Deutsche Telekom AG Acquisition of malicious code using active learning
CN106096415A (zh) * 2016-06-24 2016-11-09 康佳集团股份有限公司 一种基于深度学习的恶意代码检测方法及系统
US20180144130A1 (en) * 2016-11-21 2018-05-24 Cylance Inc. Icon based malware detection
US10133865B1 (en) * 2016-12-15 2018-11-20 Symantec Corporation Systems and methods for detecting malware
CN106951782A (zh) * 2017-03-22 2017-07-14 中南大学 一种面向安卓应用的恶意代码检测方法
US20190163904A1 (en) * 2017-05-24 2019-05-30 Estsecurity Corp. Apparatus for detecting variants of malicious code based on neural network learning, method therefor and computer readable recording medium storing program for performing the method
CN108021806A (zh) * 2017-11-24 2018-05-11 北京奇虎科技有限公司 一种恶意安装包的识别方法和装置
CN108416213A (zh) * 2018-03-14 2018-08-17 中国人民解放军陆军炮兵防空兵学院郑州校区 一种基于图像纹理指纹的恶意代码分类方法
CN109241741A (zh) * 2018-03-14 2019-01-18 中国人民解放军陆军炮兵防空兵学院郑州校区 一种基于图像纹理指纹的恶意代码分类方法
US20210067544A1 (en) * 2018-04-18 2021-03-04 TrafficGuard Pty Ltd System and Methods for Mitigating Fraud in Real Time Using Feedback
CN109271788A (zh) * 2018-08-23 2019-01-25 北京理工大学 一种基于深度学习的Android恶意软件检测方法
CN109165510A (zh) * 2018-09-04 2019-01-08 中国民航大学 基于双通道卷积神经网络的Android恶意应用程序检测方法
US20210004472A1 (en) * 2018-09-10 2021-01-07 John Almeida Storing and using multipurpose secret data
KR20200071822A (ko) * 2018-11-30 2020-06-22 단국대학교 산학협력단 애플리케이션의 동적 특징정보 및 머신러닝을 이용하여 멀웨어를 탐지 분류하는 시스템 및 방법
CN109829306A (zh) * 2019-02-20 2019-05-31 哈尔滨工程大学 一种优化特征提取的恶意软件分类方法
CN110458239A (zh) * 2019-08-15 2019-11-15 东北大学秦皇岛分校 基于双通道卷积神经网络的恶意软件分类方法及系统
CN110704842A (zh) * 2019-09-27 2020-01-17 山东理工大学 一种恶意代码家族分类检测方法

Non-Patent Citations (10)

* Cited by examiner, † Cited by third party
Title
HAO, ZS等: "A Novel Android Application Penetration Analysis Method", 2ND JOINT INTERNATIONAL INFORMATION TECHNOLOGY, MECHANICAL AND ELECTRONIC ENGINEERING CONFERENCE (JIMEC), pages 29 - 35 *
MCLAUGHLIN, N等: "Deep Android Malware Detection", 7TH ACM CONFERENCE ON DATA AND APPLICATION SECURITY AND PRIVACY (CODASPY), pages 301 - 308 *
REN ZHUOJUN等: "Pixel normalization method applied in malware visualization analysis", COMPUTER ENGINEERING AND APPLICATIONS, pages 121 - 125 *
修扬;刘嘉勇;: "基于操作码序列频率向量和行为特征向量的恶意软件检测", 信息安全与通信保密, no. 09, pages 97 - 101 *
刘恒讯;艾中良;: "一种基于词向量的恶意代码分类模型", 电子设计工程, no. 06, pages 16 - 22 *
李玉等: "基于抽象汇编指令的恶意软件家族分类方法", 北京航空航天大学学报, pages 348 - 355 *
杨宏宇等: "一种Android恶意软件检测模型", 西安电子科技大学学报, pages 45 - 51 *
柳卓明: "基于深度学习的恶意代码检测", 中国优秀硕士学位论文全文数据库 (信息科技辑), pages 139 - 58 *
汪洁等: "子图相似性的恶意程序检测方法", 软件学报, pages 3436 - 3447 *
王婷婷: "基于操作码序列的恶意软件变体检测研究", 中国优秀硕士学位论文全文数据库 (信息科技辑), pages 139 - 124 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113468531A (zh) * 2021-07-15 2021-10-01 杭州电子科技大学 基于深度残差网络和混合注意力机制的恶意代码分类方法
CN114896594A (zh) * 2022-04-19 2022-08-12 东北大学 基于图像特征多注意力学习的恶意代码检测装置及方法
CN114896594B (zh) * 2022-04-19 2024-08-23 东北大学 基于图像特征多注意力学习的恶意代码检测装置及方法

Also Published As

Publication number Publication date
CN112861135B (zh) 2024-05-31

Similar Documents

Publication Publication Date Title
EP3483767B1 (en) Device for detecting variant malicious code on basis of neural network learning, method therefor, and computer-readable recording medium in which program for executing same method is recorded
US10692218B2 (en) Method and system of detecting image tampering, electronic device and storage medium
EP3882820A1 (en) Node classification method, model training method, device, apparatus, and storage medium
CN108171663B (zh) 基于特征图最近邻替换的卷积神经网络的图像填充系统
CN111192292A (zh) 基于注意力机制与孪生网络的目标跟踪方法及相关设备
CN108133188A (zh) 一种基于运动历史图像与卷积神经网络的行为识别方法
CN112580643B (zh) 一种基于深度学习的车牌识别方法、装置及存储介质
CN111488985A (zh) 深度神经网络模型压缩训练方法、装置、设备、介质
CN112861135B (zh) 基于注意力机制的恶意代码检测方法
CN112883983B (zh) 特征提取方法、装置和电子系统
CN114266894A (zh) 一种图像分割方法、装置、电子设备及存储介质
CN116232694A (zh) 轻量级网络入侵检测方法、装置、电子设备及存储介质
CN115761888A (zh) 基于nl-c3d模型的塔吊操作人员异常行为检测方法
CN109784154B (zh) 基于深度神经网络的情绪识别方法、装置、设备及介质
CN111428612A (zh) 行人重识别方法、终端、装置及存储介质
CN113408571B (zh) 一种基于模型蒸馏的图像分类方法、装置、存储介质及终端
CN113298017B (zh) 一种针对视频行为检测的行为提议生成方法
CN115798004A (zh) 基于局部区域的人脸打卡方法、装置、电子设备及介质
CN114612979A (zh) 一种活体检测方法及装置、电子设备、存储介质
WO2022086728A1 (en) Multi-task learning via gradient split for rich human analysis
CN111813975A (zh) 一种图像检索方法、装置及电子设备
CN111061774A (zh) 搜索结果准确性判断方法、装置、电子设备及存储介质
CN114869241B (zh) 睡眠呼吸事件预测方法、装置、设备及可读存储介质
CN118247696B (zh) 一种多通道视频流分析的目标异常行为识别方法
CN118155270B (zh) 模型训练方法、人脸识别方法及相关设备

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant