WO2015135286A1 - 提取pe文件特征的方法及装置 - Google Patents

提取pe文件特征的方法及装置 Download PDF

Info

Publication number
WO2015135286A1
WO2015135286A1 PCT/CN2014/084391 CN2014084391W WO2015135286A1 WO 2015135286 A1 WO2015135286 A1 WO 2015135286A1 CN 2014084391 W CN2014084391 W CN 2014084391W WO 2015135286 A1 WO2015135286 A1 WO 2015135286A1
Authority
WO
WIPO (PCT)
Prior art keywords
code
feature
file
target
hash
Prior art date
Application number
PCT/CN2014/084391
Other languages
English (en)
French (fr)
Inventor
王鑫
姚辉
刘桂峰
Original Assignee
珠海市君天电子科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 珠海市君天电子科技有限公司 filed Critical 珠海市君天电子科技有限公司
Publication of WO2015135286A1 publication Critical patent/WO2015135286A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection

Definitions

  • the present invention relates to the field of data security technologies, and in particular, to a method and apparatus for extracting features of a PE file. Background technique
  • PE Portable Execute files are called portable executables. For example, exe files, dll files, ocx files, sys files, and com files are all PE files. As the PE file is infected with computer viruses in the actual application, it is more and more common. Therefore, after obtaining a PE file, the user usually first checks whether the PE file has been infected by the computer virus through the anti-virus software.
  • the feature of the PE file to be tested is first extracted.
  • extracting the full-text hash feature of the PE file to be detected is a common PE file feature extraction method.
  • its calculation range is all the bytes in the PE file to be detected. Therefore, the feature can accurately describe the characteristics of the file to be detected.
  • the full-text hash feature is sensitive to data. Even changing one byte in a file will result in a change in the full-text hash feature. For example, the core code of two PE files is the same, but the non-core code is slightly different. The hash characteristics of the full text may be very different.
  • the versatility of the full-text hash feature is weak.
  • there are many structures in the general PE file that can be modified at will but do not affect the normal operation of the file, for example, slot gaps, etc. Therefore, in practical applications, the virus program can change the full-text hash feature of the file to be detected by modifying these places. , thus bypassing the detection of anti-virus software.
  • the full-text hash feature is extracted, all the bytes in the PE file to be detected need to be covered. Therefore, when the full-text hash feature is extracted, the speed is slow and the resource consumption is high.
  • the embodiment of the invention discloses a method and a device for extracting the characteristics of a PE file, so that the antivirus software is not easily bypassed when using the feature for virus detection, and the versatility of using the feature for virus detection is improved, and the target PE is extracted.
  • the speed of the file feature is not easily bypassed when using the feature for virus detection, and the versatility of using the feature for virus detection is improved, and the target PE is extracted.
  • an embodiment of the present invention discloses a method for extracting a feature of a PE file, where the method includes:
  • the source code of the target PE file is analyzed to obtain the feature code in the source code;
  • the feature code is a combination of any one or more of the following, the code section of the target PE file, and the attachment of the target PE file.
  • the extracting the hash value of the feature code includes:
  • the hash feature of the feature code is generated according to the hash feature of each subcode segment.
  • the preset location includes:
  • the length of the code is the preset second threshold
  • the length is the code interval of the preset third threshold.
  • the analysis indicates that the target PE file includes multiple code sections
  • the obtaining the feature code in the source code includes:
  • the obtaining a code section in the source code includes:
  • an embodiment of the present invention discloses an apparatus for extracting features of a PE file, and the apparatus includes:
  • a feature code obtaining module configured to analyze source code of the target PE file to obtain a feature code in the source code;
  • the feature code is a combination of any one or more of the following, the code of the target PE file Section, additional data of the target PE file or resource section of the target PE file;
  • a hash feature extraction module configured to extract a hash feature of the feature code
  • the PE file feature generating module is configured to generate a feature of the target PE file according to the hash feature of the feature code, where the feature of the target PE file is used to detect whether the target PE file is infected by a virus.
  • the hash feature extraction module includes: a feature code segmentation submodule, a subcode segment extraction submodule, a subcode segment hash feature extraction submodule, and a hash feature generation submodule;
  • the feature code segment sub-module is configured to segment the feature code according to a preset rule
  • the subcode segment extracting submodule is configured to extract a subcode corresponding to a preset position of each code segment after the segmentation
  • the sub-code segment extraction sub-module is specifically configured to extract a sub-code segment corresponding to a position below each segment of the segment,
  • the length of the code is the preset second threshold
  • the length is the code interval of the preset third threshold.
  • the feature code obtaining module is specifically configured to analyze source code of the target PE file, and obtain the source when analyzing that the source code of the target PE file includes multiple code sections. One or more code sections in the code.
  • the feature code obtaining module Preferably, the feature code obtaining module,
  • the source code of the target PE file is analyzed to obtain the code section with the longest length in the source code;
  • the source code of the target PE file is analyzed, and a code section containing the entry code in the source code is obtained.
  • the feature of the target PE file is generated by extracting the hash feature of the target PE file feature code, so that the antivirus software uses the feature of the target PE file to detect whether the target PE file is infected by the computer virus.
  • Embodiments of the present invention also provide a computer readable storage medium comprising computer instructions that, when executed, cause a method of extracting features of a PE file in accordance with an embodiment of the present invention.
  • FIG. 1 is a schematic flowchart of a method for extracting a feature of a PE file according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of a method for extracting a hash feature of a feature code according to an embodiment of the present invention
  • FIG. 4 is a schematic structural diagram of an apparatus for extracting features of a PE file according to an embodiment of the present invention
  • FIG. 5 is a schematic structural diagram of a hash feature extraction module according to an embodiment of the present invention. detailed description
  • the feature of the PE file to be detected is often obtained by extracting the hash feature of the full text.
  • the full-text hash feature can accurately describe the characteristics of the PE file to be detected, it is sensitive to the data, and the antivirus software uses the feature to perform the virus.
  • the versatility is poor and easy to be bypassed by the virus, and since the full-text hash feature is extracted, all the bytes of the PE file to be detected are covered, so the method of extracting the characteristics of the PE file is slow.
  • the embodiments of the present invention provide a method and a device for extracting features of a PE file, so that the antivirus software is not easily bypassed when using the feature for virus detection, and the use of the device is improved.
  • FIG. 1 is a schematic flowchart of a method for extracting a feature of a PE file according to an embodiment of the present invention, where the method includes the following steps:
  • S101 analyzing source code of the target PE file to obtain a feature code in the source code.
  • the feature code may include: a combination of any one or more of the following, a code section of the target PE file, an additional data of the target PE file, or a resource section of the target PE file, etc., the application does not identify the target PE file.
  • the specific form of the code is defined and can be determined according to the specific code structure of the target PE file.
  • the code section of the commonly used PE file belongs to the key code of the PE file, it is easy to cause the file to run incorrectly after being modified arbitrarily. Therefore, in general, the code section of the PE file is not easily modified by the automation tool. You can select the code section as the feature code of the PE file.
  • a PE file may include a code section or multiple code sections.
  • one or more code sections may be selected as the feature code of the current target PE file.
  • the source code of the current PE file includes multiple code sections, and only one of the code sections is selected as the feature code, the code section with the longest length in each code section may be selected as the feature code, or the entry code may be selected.
  • the code section is used as the feature code.
  • one or more code sections may also be combined with the header information or additional data of the PE file as the feature code of the PE file.
  • the additional data refers to the data corresponding to the area between the end of the last section of the PE file and the end of the file.
  • PE file contains a large amount of frame code.
  • the PE header information and the data of all sections are almost the same between different files, but the contents of the additional data are different, for example: script Drive type PE file.
  • This type of PE file can select additional data or resource sections or a combination of the two as the feature code.
  • the resource section refers to the section of the PE file used to store the peripheral data.
  • the compiler usually stores the icon, version information, interface dialog, and the like of the PE file in the resource section area.
  • FIG. 2 is a schematic flowchart of a method for extracting a hash feature of a feature code according to an embodiment of the present invention, where the method includes The following steps:
  • S 102A Segment the feature code according to a preset rule.
  • the preset rule may be that the feature code is sequentially segmented according to a fixed value from the start position of the feature code, and the segments do not overlap. For example: Select a code section with a length of 0x10000 as the feature code, starting from the start position of the feature code, and each code segment of 0x1000 length is a segment, segmenting the feature code, ie: [0x0000, OxOFFF] [0x1000, 0xlFFF ] [0x2000, 0x2FFF]
  • the preset rule may also be that the feature code is sequentially segmented according to a fixed value from the start position of the feature code, and the segments overlap partially.
  • the interval of each segment of the above feature code segmented according to the preset rule is: [0x0000, 0xl00F] [0x0FF5, 0x200F]
  • the present application is only described by taking the above as an example.
  • the specific form of the preset rule in the actual application is not limited to this, for example: the segmentation interval may also be a non-fixed value or the like.
  • S102B Extract the subcode segment corresponding to the preset position of each code segment after the segmentation.
  • the preset position can be:
  • the length of the code is the preset second threshold
  • the length is a preset third threshold code interval and so on.
  • the intermediate position of each code segment after segmentation and the code interval of length 0x100 may be selected as the subcode segment.
  • S102C Extracting hash features of each subcode segment.
  • S102D Generate a hash feature of the feature code according to the hash feature of each subcode segment.
  • the hash feature of the feature code of the target PE file may be generated by calculating a hash feature of the hash feature of each subcode segment.
  • the feature of the target PE file is generated by extracting the hash feature of the target PE file feature code, so that the antivirus software uses the feature of the target PE file to detect whether the target PE file is infected by the computer virus.
  • the full-text hash feature is sensitive to data, changing one byte in the file can cause a change in the full-text hash feature, and the feature code portion of the PE file is the core code of the PE file, and cannot be Feel free to modify, therefore, using the hash feature of the feature code to generate the characteristics of the target PE file, can make the anti-virus software use this feature for virus detection is not easily bypassed, and can improve the versatility of anti-virus software using this feature for virus detection, Moreover, since only the feature code of the target PE file is extracted in the present scheme instead of the feature of the full text, the speed of extracting the feature of the target PE file is improved.
  • the anti-virus software When the anti-virus software performs virus detection, it first needs to extract the characteristics of the PE file to be detected, and then perform virus detection on the PE file to be detected according to the extracted features.
  • the feature for extracting the PE file to be detected may be performed by using the method for extracting the characteristics of the PE file provided by the embodiment shown in FIG.
  • antivirus software for virus detection can be divided into the following three cases:
  • the PE file to be detected is stored in the client, and the client extracts the feature of the PE file to be detected by using the method for extracting the PE file provided in the embodiment shown in FIG. 1 , and the feature is stored in the client preset.
  • the PE file to be detected is stored in the client, and the client extracts the feature of the PE file to be detected by using the method for extracting the PE file provided by the embodiment shown in FIG. 1 , and sends the feature to the server, and the server After receiving the feature, matching the feature with a preset signature virus database stored on the server side for virus detection;
  • the PE file to be detected is stored in the server, and the server extracts the feature of the PE file to be detected by using the method for extracting the PE file provided in the embodiment shown in FIG. 1, and the feature is stored in the server-side preset.
  • the signature virus database matches and performs virus detection.
  • the feature in the preset feature virus database is obtained by extracting the sample PE file by the method for extracting PE file features provided by the embodiment shown in FIG.
  • FIG. 3 is a schematic flowchart of a virus detection method according to an embodiment of the present disclosure, where the method includes:
  • S301 Determine characteristic information of the PE file to be detected.
  • the feature information of the PE file to be detected may be that the client extracts the to-be-checked stored in the client. After the characteristic information of the PE file is measured, the feature information sent to the server, the feature information of the PE file to be detected stored on the server end extracted by the server, or the feature information of the PE file to be detected stored by the client and extracted by the client.
  • the feature information of the PE file to be detected may be obtained by using the method provided in the embodiment shown in FIG. 1 .
  • the feature information of the PE file to be detected refers to: the feature information corresponding to the feature code of the PE file to be detected.
  • the source code of each PE file to be detected can be divided into different code segments according to the different functions of each part of the code. Among them, some code segments can be modified at will without affecting the normal operation of the file, and some code segments are modified once Can cause the file to run incorrectly. The code segment to be detected in the source code of the PE file will cause the file to run incorrectly, which is called the feature code of the PE file to be detected.
  • the feature code of the PE file to be detected may be a code section of the PE file to be detected, an additional data of the PE file to be detected, or a resource section of the PE file to be detected, and the like, or any combination of the foregoing.
  • S302 Match the feature information with a feature in the preset feature virus database to obtain a first matching result.
  • the preset feature virus database includes feature information of a plurality of virus-infected sample files. After determining the feature information of the PE file to be detected in S301, the feature information is matched with the preset feature virus database. The characteristics are matched one by one. If any of the features in the virus database are matched, the PE file to be detected has been infected by the virus corresponding to the feature matching the feature of the PE file to be detected. Otherwise, the PE to be detected is indicated. The file is not infected by the virus corresponding to the feature in the preset signature virus database.
  • the feature in the preset feature virus database is obtained by extracting the sample PE file by the method for extracting PE file features provided by the embodiment shown in FIG.
  • the virus detection report generated in this step may include: whether the PE file to be detected has been infected by a virus, the type of the infected virus, the processing suggestion of the PE file to be detected, and the like, of course, in actual application, the virus detection report includes The content is not limited to the above.
  • virus detection is performed by matching the feature of the PE file to be detected with the feature in the preset signature virus database. Due to the existing full-text hash feature matching method, the full-text hash feature is sensitive to data, and changing one byte in the file can cause the change of the full-text hash feature. Therefore, the full-text hash feature is weak, and the application of Figure 1 is weak.
  • the feature of the PE file to be detected extracted by the method for extracting the characteristics of the PE file provided by the embodiment is highly versatile, and using the feature for virus detection can reduce the false positive rate of virus detection.
  • FIG. 4 is a schematic structural diagram of an apparatus for extracting features of a PE file according to an embodiment of the present invention.
  • the apparatus includes: a feature code obtaining module 401, a hash feature extraction module 402, and a PE file feature generating module 403.
  • the feature code obtaining module 401 is configured to analyze source code of the target PE file to obtain a feature code in the source code; the feature code is a combination of any one or more of the following, the target PE The code section of the file, the additional data of the target PE file, or the resource section of the target PE file;
  • the hash feature extraction module 402 is configured to extract a hash feature of the feature code.
  • the PE file feature generation module 403 is configured to generate a feature of the target PE file according to the hash feature, where the feature of the target PE file is used to detect whether the target PE file is infected by a virus.
  • FIG. 5 is a schematic structural diagram of a hash feature extraction module according to an embodiment of the present invention, which specifically includes: a feature code segmentation sub- The module 4021, the subcode segment extraction submodule 4022, the subcode segment hash feature extraction submodule 4023, and the hash feature generation submodule 4024.
  • the feature code segment sub-module 4021 is configured to segment the feature code according to a preset rule; the sub-code segment extraction sub-module 4022 is configured to extract a sub-code segment corresponding to the preset position of each code segment after the segmentation;
  • the sub-code segment hash feature extraction sub-module 4023 is configured to extract a hash feature of each sub-code segment.
  • the hash feature generation sub-module 4024 is configured to generate a hash feature of the feature code according to the hash feature of each sub-code segment.
  • the sub-code segment extraction sub-module 4022 may be specifically configured to extract a sub-code segment corresponding to a position below each segment of the segment.
  • the length of the code is the preset second threshold
  • the length is the code interval of the preset third threshold.
  • the feature code obtaining module 401 may be specifically configured to analyze source code of the target PE file, and obtain, when analyzing, that the source code of the target PE file includes multiple code sections, One or more code sections in the source code.
  • the feature code obtaining module 401 the feature code obtaining module 401
  • It can be specifically used to analyze the source code of the target PE file to obtain a code section containing the entry code in the source code.
  • the feature of the target PE file is generated by extracting the hash feature of the feature code of the target PE file, so that the antivirus software uses the feature of the target PE file to detect whether the target PE file is infected by the computer virus.
  • the full-text hash feature is sensitive to data, change One byte in the file can cause the change of the full-text hash feature, and the feature code part of the PE file is the core code of the PE file, and cannot be modified arbitrarily. Therefore, the feature of the target PE file is generated by the hash feature of the feature code.
  • the anti-virus software can make the anti-virus software not easy to be bypassed when using the feature for virus detection, and can improve the versatility of the anti-virus software to use the feature for virus detection, and because only the feature code of the target PE file is extracted in the solution, instead of The characteristics of the full text, thus improving the speed of extracting the characteristics of the target PE file.
  • the description is relatively simple, and the relevant parts can be referred to the description of the method embodiment.
  • Embodiments of the present invention also provide a computer readable storage medium comprising computer instructions that, when executed, cause a method of extracting features of a PE file in accordance with an embodiment of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Stored Programmes (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

公开了一种提取PE文件特征的方法及装置，所述方法包括：对目标PE文件的源代码进行分析，获得所述源代码中的特征代码；所述特征代码为以下几种中任意一种或几种的组合，目标PE文件的代码节、目标PE文件的附加数据或目标PE文件的资源节；提取所述特征代码的hash特征；根据所述特征代码的hash特征生成目标PE文件的特征，所述目标PE文件的特征用于检测所述目标PE文件是否被病毒感染。杀毒软件利用上述方法提取的特征进行病毒检测时不易被绕过，且能够提高杀毒软件利用该特征进行病毒检测时的通用性，并可以提高提取目标PE文件特征的速度。

Description

提取 PE文件特征的方法及装置 技术领域
本发明涉及数据安全技术领域， 特别涉及一种提取 PE文件特征的方法及装置。 背景技术
PE ( Portable Execute) 文件被称为可移植的执行体， 例如， exe文件、 dll文件、 ocx文件、 sys文件和 com文件等均为 PE文件。 由于实际应用中 PE文件感染计算机 病毒的现象越来越常见， 因此， 用户在获得某一 PE文件后， 通常先通过杀毒软件检 测该 PE文件是否已被计算机病毒感染。
应用杀毒软件检测待检测 PE文件是否已被计算机病毒感染时， 首先要提取待检 测 PE文件的特征。 现有技术中， 提取待检测 PE文件的全文 hash (哈希） 特征是较 常见的一种 PE 文件特征提取方法。 在提取全文 hash特征时， 其计算范围为待检测 PE 文件中的所有字节， 因此， 该特征可以精确的描述待检测文件的特征。 但是， 全 文 hash特征对数据比较敏感， 即使改变文件中的一个字节也会带来全文 hash特征的 改变， 例如， 两个 PE文件的核心代码是一样的， 但是非核心代码稍有区别， 则全文 hash特征可能存在很大差别， 因此， 杀毒软件利用全文 hash特征匹配法进行病毒检 测时， 全文 hash特征的通用性较弱。 另外， 一般 PE文件中会存在多处可以随意修改 但是不影响文件正常运行的结构， 例如， 节缝隙等等， 因此， 实际应用中病毒程序可 以通过修改这些地方而改变待检测文件的全文 hash特征， 从而绕过杀毒软件的检测。 再者， 由于提取全文 hash特征时， 需覆盖待检测 PE文件中的所有字节， 因此， 提取 全文 hash特征时， 速度慢、 消耗资源高。 发明内容
本发明实施例公开了一种提取 PE文件特征的方法及装置， 以使得杀毒软件利用 该特征进行病毒检测时不易被绕过， 且提高利用该特征进行病毒检测时的通用性， 及 提取目标 PE文件特征的速度。
为达到上述目的， 本发明实施例公开了一种提取 PE文件特征的方法， 所述方法 包括：
对目标 PE文件的源代码进行分析， 获得所述源代码中的特征代码； 所述特征代 码为以下几种中任意一种或几种的组合， 目标 PE文件的代码节、 目标 PE文件的附加 数据或目标 PE文件的资源节；
提取所述特征代码的 hash特征；
根据所述特征代码的 hash特征生成目标 PE文件的特征， 所述目标 PE文件的特征 用于检测所述目标 PE文件是否被病毒感染。
较佳的， 所述提取所述特征代码的 hash值， 包括：
根据预设规则对特征代码进行分段；
提取分段后各个代码段预设位置对应的子代码段；
提取各个子代码段的 hash特征；
根据各个子代码段的 hash特征生成特征代码的 hash特征。
较佳的， 所述预设位置， 包括：
从代码段的开始位置， 向后， 长度为预设的第一阈值的代码区间； 或
从代码段的结束位置， 向前， 长度为预设的第二阈值的代码区间； 或
从代码段的中间位置， 向前和向后， 长度均为预设的第三阈值的代码区间。 较佳的， 在分析得知所述目标 PE文件包括多个代码节的情况下，
所述获得所述源代码中的特征代码， 包括：
获得所述源代码中的一个或多个代码节。
较佳的， 所述获得所述源代码中的一个代码节， 包括：
获得所述源代码中长度最长的代码节； 或
获得所述源代码中包含入口代码的代码节。
为达到上述目的， 本发明实施例公开了一种提取 PE文件特征的装置， 所述装置 包括：
特征代码获得模块， 用于对目标 PE文件的源代码进行分析， 获得所述源代码中 的特征代码； 所述特征代码为以下几种中任意一种或几种的组合， 目标 PE文件的代 码节、 目标 PE文件的附加数据或目标 PE文件的资源节；
hash特征提取模块， 用于提取所述特征代码的 hash特征；
PE文件特征生成模块， 用于根据所述特征代码的 hash特征生成目标 PE文件的特 征， 所述目标 PE文件的特征用于检测所述目标 PE文件是否被病毒感染。
较佳的， 所述 hash特征提取模块， 包括： 特征代码分段子模块、 子代码段提取子 模块、 子代码段 hash特征提取子模块和 hash特征生成子模块；
所述特征代码分段子模块， 用于根据预设规则对特征代码进行分段；
所述子代码段提取子模块， 用于提取分段后各个代码段预设位置对应的子代码 所述子代码段 hash特征提取子模块， 用于提取各个子代码段的 hash特征； 所述 hash特征生成子模块， 用于根据各个子代码段的 hash特征生成特征代码的 hash特征。
较佳的， 所述子代码段提取子模块， 具体用于提取分段后各个代码段以下位置对 应的子代码段，
从代码段的开始位置， 向后， 长度为预设的第一阈值的代码区间； 或
从代码段的结束位置， 向前， 长度为预设的第二阈值的代码区间； 或
从代码段的中间位置， 向前和向后， 长度均为预设的第三阈值的代码区间。 较佳的， 所述特征代码获得模块， 具体用于对目标 PE文件的源代码进行分析， 在分析得知所述目标 PE文件的源代码中包括多个代码节的情况下， 获得所述源代码 中的一个或多个代码节。
较佳的， 所述特征代码获得模块，
具体用于对目标 PE文件的源代码进行分析， 获得所述源代码中长度最长的代码 节； 或
具体用于对目标 PE文件的源代码进行分析， 获得所述源代码中包含入口代码的 代码节。
由以上可见， 本方案中， 通过提取目标 PE文件特征代码的 hash特征来生成该目 标 PE文件的特征， 以使得杀毒软件利用该目标 PE文件的特征检测该目标 PE文件是 否被计算机病毒感染。 与现有技术相比， 由于全文 hash特征对数据比较敏感， 改变 文件中的一个字节即可引起全文 hash特征的改变， 而 PE文件的特征代码部分为 PE 文件的核心代码， 且不能够被随意修改， 因此， 用特征代码的 hash特征生成目标 PE 文件的特征， 可以使得杀毒软件利用该特征进行病毒检测时不易被绕过， 且能够提高 杀毒软件利用该特征进行病毒检测时的通用性， 又由于本方案中只提取目标 PE文件 的特征代码的特征而非全文的特征， 因此提高了提取目标 PE文件特征的速度。 本发 明实施例还提供了一种计算机可读存储介质， 包括计算机指令， 当所述计算机指令被执行 时， 使得执行根据本发明实施例的提取 PE文件特征的方法。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现 有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图仅仅 是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动的前提 下， 还可以根据这些附图获得其他的附图。 图 1为本发明实施例提供的一种提取 PE文件特征的方法的流程示意图； 图 2为本发明实施例提供的提取特征代码的 hash特征方法的流程示意图； 图 3为本发明实施例提供的一种病毒检测方法的流程示意图；
图 4为本发明实施例提供的一种提取 PE文件特征的装置的结构示意图； 图 5为本发明实施例提供的一种 hash特征提取模块的结构示意图。 具体实施方式
现有技术中， 常通过提取全文 hash特征的方法获得待检测 PE文件的特征， 虽然 全文 hash特征能够精确的描述待检测 PE文件的特征， 但是其对数据比较敏感， 杀毒 软件利用该特征进行病毒检测时， 通用性差且易被病毒绕过， 又由于提取全文 hash 特征时， 需覆盖待检测 PE文件的所有字节， 因此该提取 PE文件特征的方法速度慢。 鉴于现有提取 PE文件的方法中存在上述问题， 本发明实施例提供了一种提取 PE文 件特征的方法及装置， 以使得杀毒软件利用该特征进行病毒检测时不易被绕过， 且提 高利用该特征进行病毒检测时的通用性， 及提取目标 PE文件特征的速度。
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完 整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。 基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的 所有其他实施例， 都属于本发明保护的范围。
图 1为本发明实施例提供的一种提取 PE文件特征的方法的流程示意图， 该方法 包括以下步骤：
S 101 : 对目标 PE文件的源代码进行分析， 获得所述源代码中的特征代码。
其中， 特征代码可以包括： 以下几种中任意一种或几种的组合， 目标 PE文件的 代码节、 目标 PE文件的附加数据或目标 PE文件的资源节等等， 本申请不对目标 PE文 件特征代码的具体表现形式进行限定， 可以根据目标 PE文件的具体代码结构确定。
实际应用中， 由于常用的 PE文件的代码节属于 PE文件的关键代码， 其被随意修 改后， 很容易导致文件运行错误， 所以， 通常情况下， PE文件的代码节部分不易被 自动化工具修改， 可以选取代码节作为 PE文件的特征代码。
一个 PE文件中可以包括一个代码节也可以包括多个代码节， 当分析得知当前 PE 文件包括多个代码节时， 可以选取其中的一个或多个代码节作为当前目标 PE文件的 特征代码。 当当前 PE文件的源代码中包括多个代码节， 而只选取其中的一个代码节 作为特征代码时， 可以选取各个代码节中长度最长的代码节作为特征代码， 也可以选 取包含入口代码的代码节作为特征代码。 除了选取上述的一个或多个代码节作为 PE文件的特征代码外， 一个或多个代码 节还可以与 PE文件的头信息或附加数据组合作为 PE文件的特征代码。
其中， 附加数据是指 PE文件的源代码中最后一个节的末尾至文件末尾之间的区 域对应的数据。
实际应用中， 还存在另外一种类型的 PE文件， 该类型的 PE文件含有大量框架代 码， 不同文件之间 PE头信息和所有节的数据几乎一样， 但是其附加数据的内容不同， 例如： 脚本驱动类型的 PE文件。 这一类型的 PE文件可以选取附加数据或者资源节或 者两者的组合等作为特征代码。
其中， 资源节是指 PE文件中用于存放外围数据的节区域， 例如， 编译器通常将 PE文件的图标、 版本信息、 界面对话框等等信息存放于资源节区域内。
S 102: 提取所述特征代码的 hash特征。
在本发明的一个具体实施例中， 提供了一种提取所述特征代码的 hash特征的具体 实现方式， 图 2为本发明实施例提供的提取特征代码的 hash特征方法的流程示意图， 该方法包括以下步骤：
S 102A: 根据预设规则对特征代码进行分段。
上述的预设规则可以是从特征代码的起始位置开始，按照固定值依次对特征代码 进行分段， 各段之间不重叠。 例如： 选取长度为 0x10000的代码节作为特征代码， 则 可以从特征代码的起始位置开始， 每 0x1000长度的代码段为一段， 将特征代码分段， 即： [0x0000, OxOFFF] [0x1000, 0xlFFF] [0x2000, 0x2FFF]
上述的预设规则还可以是从特征代码的起始位置开始，按照固定值依次对特征代 码进行分段， 各段之间部分重叠。 例如： 上述特征代码按照该预设规则分段后各段的 区间为： [0x0000， 0xl00F] [0x0FF5 , 0x200F]
当然， 本申请只是以上述为例进行说明， 实际应用中预设规则的具体形式不仅限 于此， 例如： 分段间隔还可以是非固定值等等。
S 102B : 提取分段后各个代码段预设位置对应的子代码段。
其中， 预设位置， 可以是：
从代码段的开始位置， 向后， 长度为预设的第一阈值的代码区间； 或
从代码段的结束位置， 向前， 长度为预设的第二阈值的代码区间； 或
从代码段的中间位置， 向前和向后， 长度均为预设的第三阈值的代码区间等等。 具体的， 上述按照固定值对特征代码分段， 且各段之间不重叠的情况， 可以选择 分段后各个代码段的中间位置、 长度为 0x100的代码区间作为子代码段。
S 102C: 提取各个子代码段的 hash特征。 S 102D: 根据各个子代码段的 hash特征生成特征代码的 hash特征。
本步骤中， 可以通过计算各个子代码段的 hash特征的 hash特征， 生成目标 PE文件 的特征代码的 hash特征。
S 103 : 根据所述特征代码的 hash特征生成目标 PE文件的特征。
由以上可见， 本方案中， 通过提取目标 PE文件特征代码的 hash特征来生成该目 标 PE文件的特征， 以使得杀毒软件利用该目标 PE文件的特征检测该目标 PE文件是 否被计算机病毒感染。 与现有技术相比， 由于全文 hash特征对数据比较敏感， 改变 文件中的一个字节即可引起全文 hash特征的改变， 而 PE文件的特征代码部分为 PE 文件的核心代码， 且不能够被随意修改， 因此， 用特征代码的 hash特征生成目标 PE 文件的特征， 可以使得杀毒软件利用该特征进行病毒检测时不易被绕过， 且能够提高 杀毒软件利用该特征进行病毒检测时的通用性， 又由于本方案中只提取目标 PE文件 的特征代码的特征而非全文的特征， 因此提高了提取目标 PE文件特征的速度。
杀毒软件进行病毒检测时， 首先需提取待检测 PE文件的特征， 再根据所提取的 特征对待检测 PE文件进行病毒检测。其中， 提取待检测 PE文件的特征可以采用图 1 所示实施例提供的提取 PE文件特征的方法进行。 具体的， 杀毒软件进行病毒检测， 可以分为以下三种情况：
第一种情况， 待检测 PE文件存储于客户端， 客户端通过图 1所示实施例提供的 提取 PE文件特征的方法提取待检测 PE文件的特征， 并将该特征与存储于客户端的 预设的特征病毒库匹配， 进行病毒检测；
第二种情况， 待检测 PE文件存储于客户端， 客户端通过图 1所示实施例提供的 提取 PE文件特征的方法提取待检测 PE文件的特征， 并将该特征发送给服务器端， 服务器端接收到该特征后， 将该特征与存储于服务器端的预设的特征病毒库匹配， 进 行病毒检测；
第三种情况， 待检测 PE文件存储于服务器端， 服务器端通过图 1所示实施例提 供的提取 PE文件特征的方法提取待检测 PE文件的特征， 并将该特征与存储于服务 器端的预设的特征病毒库匹配， 进行病毒检测。
其中， 预设的特征病毒库中的特征是通过图 1所示实施例提供的提取 PE文件特 征的方法提取样本 PE文件得到的。
下面通过具体实施例进行详细说明。
图 3为本发明实施例提供的一种病毒检测方法的流程示意图， 该方法包括：
S301 : 确定待检测 PE文件的特征信息。
实际应用中， 待检测 PE文件的特征信息可以是客户端提取存储于客户端的待检 测 PE文件的特征信息后， 发送给服务器端的特征信息、 服务器端提取的存储于服务 器端的待检测 PE文件的特征信息或客户端提取的存储于客户端的待检测 PE文件的 特征信息。 其中， 提取待检测 PE文件的特征信息可以通过图 1所示实施例提供的方 法实现。
待检测 PE文件的特征信息是指： 待检测 PE文件的特征代码对应的特征信息。 每一个待检测 PE文件的源代码都可以按照各部分代码的不同的功能划分为不同的代 码段， 其中， 有些代码段可以随意修改而不会影响文件的正常运行， 而有些代码段一 旦修改即可导致文件运行错误。 待检测 PE文件源代码中修改后会导致文件运行错误 的代码段， 称为待检测 PE文件的特征代码。
具体的， 待检测 PE文件的特征代码可以是待检测 PE文件的代码节、 待检测 PE 文件的附加数据或待检测 PE文件的资源节等等， 也可以是上述几种的任意组合。
S302: 将所述特征信息与预设的特征病毒库中的特征进行匹配， 获得第一匹配结 果。
通常情况下，预设的特征病毒库中会包含多个已被病毒感染的样本文件的特征信 息， 在 S301 确定待检测 PE文件的特征信息后， 将该特征信息与预设的特征病毒库 中的特征逐个进行匹配， 若与该病毒库中的任一特征相匹配， 则说明待检测 PE文件 已被与待检测 PE文件的特征相匹配的特征对应的病毒感染， 否则， 则说明待检测 PE 文件未被预设的特征病毒库中特征对应的病毒感染。
其中， 预设的特征病毒库中的特征是通过图 1所示实施例提供的提取 PE文件特 征的方法提取样本 PE文件得到的。
S 103 : 根据第一匹配结果生成病毒检测报告。
本步骤中生成的病毒检测报告中可以包括： 待检测 PE文件是否已被病毒感染、 已感染病毒的类型、 对待检测 PE文件的处理建议等等， 当然， 实际应用中， 病毒检 测报告所包括的内容不仅限于上述几种。
由以上可见， 本方案中， 通过将待检测 PE文件的特征与预设的特征病毒库中的 特征相匹配的方法进行病毒检测。 由于现有的全文 hash特征匹配法中， 全文 hash特 征对数据比较敏感， 改变文件中的一个字节即可引起全文 hash特征的改变， 因此， 全文 hash特征通用性较弱，而应用图 1所示实施例提供的提取 PE文件特征的方法提 取的待检测 PE文件的特征通用性较强， 用该特征进行病毒检测， 可以降低病毒检测 的误报率。
图 4为本发明实施例提供的一种提取 PE文件特征的装置的结构示意图， 该装置 包括： 特征代码获得模块 401、 hash特征提取模块 402和 PE文件特征生成模块 403。 其中， 特征代码获得模块 401， 用于对目标 PE文件的源代码进行分析， 获得所述 源代码中的特征代码； 所述特征代码为以下几种中任意一种或几种的组合， 目标 PE 文件的代码节、 目标 PE文件的附加数据或目标 PE文件的资源节；
hash特征提取模块 402， 用于提取所述特征代码的 hash特征；
PE文件特征生成模块 403， 用于根据所述 hash特征生成目标 PE文件的特征， 所述 目标 PE文件的特征用于检测所述目标 PE文件是否被病毒感染。
在本发明的一个具体实施例中， 提供了一种 hash特征提取模块 402的具体实现方 式， 图 5为本发明实施例提供的一种 hash特征提取模块的结构示意图， 具体包括： 特 征代码分段子模块 4021、 子代码段提取子模块 4022、 子代码段 hash特征提取子模块 4023和 hash特征生成子模块 4024。
所述特征代码分段子模块 4021， 用于根据预设规则对特征代码进行分段； 所述子代码段提取子模块 4022，用于提取分段后各个代码段预设位置对应的子代 码段；
所述子代码段 hash特征提取子模块 4023， 用于提取各个子代码段的 hash特征； 所述 hash特征生成子模块 4024， 用于根据各个子代码段的 hash特征生成特征代码 的 hash特征。
其中， 所述子代码段提取子模块 4022， 可以具体用于提取分段后各个代码段以下 位置对应的子代码段，
从代码段的开始位置， 向后， 长度为预设的第一阈值的代码区间； 或
从代码段的结束位置， 向前， 长度为预设的第二阈值的代码区间； 或
从代码段的中间位置， 向前和向后， 长度均为预设的第三阈值的代码区间。 本实施例中， 所述特征代码获得模块 401， 可以具体用于对目标 PE文件的源代码 进行分析， 在分析得知所述目标 PE文件的源代码中包括多个代码节的情况下， 获得 所述源代码中的一个或多个代码节。
本实施例中， 所述特征代码获得模块 401，
可以具体用于对目标 PE文件的源代码进行分析， 获得所述源代码中长度最长的 代码节； 或
可以具体用于对目标 PE文件的源代码进行分析， 获得所述源代码中包含入口代 码的代码节。
由以上可见， 本方案中， 通过提取目标 PE文件特征代码的 hash特征来生成该目 标 PE文件的特征， 以使得杀毒软件利用该目标 PE文件的特征检测该目标 PE文件是 否被计算机病毒感染。 与现有技术相比， 由于全文 hash特征对数据比较敏感， 改变 文件中的一个字节即可引起全文 hash特征的改变， 而 PE文件的特征代码部分为 PE 文件的核心代码， 且不能够被随意修改， 因此， 用特征代码的 hash特征生成目标 PE 文件的特征， 可以使得杀毒软件利用该特征进行病毒检测时不易被绕过， 且能够提高 杀毒软件利用该特征进行病毒检测时的通用性， 又由于本方案中只提取目标 PE文件 的特征代码的特征而非全文的特征， 因此提高了提取目标 PE文件特征的速度。
对于装置实施例而言， 由于其基本相似于方法实施例， 所以描述的比较简单， 相 关之处参见方法实施例的部分说明即可。
本发明实施例还提供了一种计算机可读存储介质， 包括计算机指令， 当所述计算机指 令被执行时， 使得执行根据本发明实施例的提取 PE文件特征的方法。
需要说明的是， 在本文中， 诸如第一和第二等之类的关系术语仅仅用来将一个实 体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之 间存在任何这种实际的关系或者顺序。 而且， 术语"包括"、 "包含 "或者其任何其他变 体意在涵盖非排他性的包含， 从而使得包括一系列要素的过程、 方法、 物品或者设备 不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、 方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句 "包括一个 ... ... " 限定的要素， 并不排除在包括所述要素的过程、 方法、 物品或者设备中还存在另外的 相同要素。
本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可 以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机可读取存储介质 中， 这里所称得的存储介质， 如： ROM/RAM, 磁碟、 光盘等。
以上所述仅为本发明的较佳实施例而已， 并非用于限定本发明的保护范围。 凡在 本发明的精神和原则之内所作的任何修改、 等同替换、 改进等， 均包含在本发明的保 护范围内。

Claims

权利要求书
1、 一种提取 PE文件特征的方法， 其特征在于， 所述方法包括：
对目标 PE文件的源代码进行分析， 获得所述源代码中的特征代码； 所述特征代 码为以下几种中任意一种或几种的组合， 目标 PE文件的代码节、 目标 PE文件的附加 数据或目标 PE文件的资源节；
提取所述特征代码的 hash特征；
根据所述特征代码的 hash特征生成目标 PE文件的特征， 所述目标 PE文件的特征 用于检测所述目标 PE文件是否被病毒感染。
2、根据权利要求 1所述的方法， 其特征在于， 所述提取所述特征代码的 hash特征， 包括：
根据预设规则对特征代码进行分段；
提取分段后各个代码段预设位置对应的子代码段；
提取各个子代码段的 hash特征；
根据各个子代码段的 hash特征生成特征代码的 hash特征。
3、 根据权利要求 2所述的方法， 其特征在于， 所述各个代码段预设位置， 包括： 从代码段的开始位置， 向后， 长度为预设的第一阈值的代码区间； 或
从代码段的结束位置， 向前， 长度为预设的第二阈值的代码区间； 或
从代码段的中间位置， 向前和向后， 长度均为预设的第三阈值的代码区间。
4、 根据权利要求 1-3中任一项所述的方法， 其特征在于， 在分析得知所述目标 PE 文件包括多个代码节的情况下，
所述获得所述源代码中的特征代码， 包括：
获得所述源代码中的一个或多个代码节。
5、 根据权利要求 4所述的方法， 其特征在于，
所述获得所述源代码中的一个代码节， 包括：
获得所述源代码中长度最长的代码节； 或
获得所述源代码中包含入口代码的代码节。
6、 一种提取 PE文件特征的装置， 其特征在于， 所述装置包括：
特征代码获得模块， 用于对目标 PE文件的源代码进行分析， 获得所述源代码中 的特征代码； 所述特征代码为以下几种中任意一种或几种的组合， 目标 PE文件的代 码节、 目标 PE文件的附加数据或目标 PE文件的资源节；
hash特征提取模块， 用于提取所述特征代码的 hash特征；
PE文件特征生成模块， 用于根据所述特征代码的 hash特征生成目标 PE文件的特 征， 所述目标 PE文件的特征用于检测所述目标 PE文件是否被病毒感染。
7、 根据权利要求 6所述的装置， 其特征在于， 所述 hash特征提取模块， 包括： 特 征代码分段子模块、 子代码段提取子模块、 子代码段 hash特征提取子模块和 hash特征 生成子模块；
所述特征代码分段子模块， 用于根据预设规则对特征代码进行分段；
所述子代码段提取子模块， 用于提取分段后各个代码段预设位置对应的子代码 段；
所述子代码段 hash特征提取子模块， 用于提取各个子代码段的 hash特征； 所述 hash特征生成子模块， 用于根据各个子代码段的 hash特征生成特征代码的 hash特征。
8、 根据权利要求 7所述的装置， 其特征在于， 所述子代码段提取子模块， 具体用 于提取分段后各个代码段以下位置对应的子代码段，
从代码段的开始位置， 向后， 长度为预设的第一阈值的代码区间； 或
从代码段的结束位置， 向前， 长度为预设的第二阈值的代码区间； 或
从代码段的中间位置， 向前和向后， 长度均为预设的第三阈值的代码区间。
9、根据权利要求 6-8中任一项所述的装置， 其特征在于， 所述特征代码获得模块， 具体用于对目标 PE文件的源代码进行分析， 在分析得知所述目标 PE文件的源代码中 包括多个代码节的情况下， 获得所述源代码中的一个或多个代码节。
10、 根据权利要求 9所述的装置， 其特征在于， 所述特征代码获得模块， 具体用于对目标 PE文件的源代码进行分析， 获得所述源代码中长度最长的代码 节； 或
具体用于对目标 PE文件的源代码进行分析， 获得所述源代码中包含入口代码的 代码节。
11、 一种计算机可读存储介质， 包括计算机指令， 当所述计算机指令被执行时， 使得执 行权利要求 1-5中任一项所述的提取 PE文件特征的方法。
PCT/CN2014/084391 2014-03-10 2014-08-14 提取pe文件特征的方法及装置 WO2015135286A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410086803.3 2014-03-10
CN201410086803.3A CN103886229B (zh) 2014-03-10 2014-03-10 一种提取pe文件特征的方法及装置

Publications (1)

Publication Number Publication Date
WO2015135286A1 true WO2015135286A1 (zh) 2015-09-17

Family

ID=50955118

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/084391 WO2015135286A1 (zh) 2014-03-10 2014-08-14 提取pe文件特征的方法及装置

Country Status (2)

Country Link
CN (1) CN103886229B (zh)
WO (1) WO2015135286A1 (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103886229B (zh) * 2014-03-10 2017-01-04 珠海市君天电子科技有限公司 一种提取pe文件特征的方法及装置
CN104991893A (zh) * 2014-11-06 2015-10-21 哈尔滨安天科技股份有限公司 一种启发式自解压包和安装包检测方法及系统
CN105488403A (zh) * 2014-12-23 2016-04-13 哈尔滨安天科技股份有限公司 基于pe文件中未使用字段的恶意代码检测方法及系统
CN104700000B (zh) * 2015-03-05 2017-12-08 中国科学技术大学苏州研究院 一种基于pe文件的隐蔽信道的检测和限制方法
CN104700033B (zh) * 2015-03-30 2019-01-29 北京瑞星网安技术股份有限公司 病毒检测的方法及装置
CN105653940B (zh) * 2015-07-14 2019-02-26 哈尔滨安天科技股份有限公司 一种基于pe文件分析攻击者来源的方法及系统
CN106682505B (zh) * 2016-05-04 2020-06-12 腾讯科技（深圳）有限公司 一种病毒检测方法、终端、服务器及系统
CN106650453B (zh) * 2016-12-30 2019-11-05 北京启明星辰信息安全技术有限公司 一种检测方法和装置
CN107977574A (zh) * 2017-12-19 2018-05-01 深圳豪客互联网有限公司 病毒识别方法和装置
CN111310184A (zh) * 2020-03-05 2020-06-19 北京安码科技有限公司 基于rich头部标识的pe文件特征码生成方法、系统、电子设备及存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060026569A1 (en) * 2004-07-29 2006-02-02 Microsoft Corporation Portion-level in-memory module authentication
CN102024112A (zh) * 2010-12-17 2011-04-20 四川大学 基于静态特征的pe文件加壳检测方法
CN102509049A (zh) * 2011-11-14 2012-06-20 任子行网络技术股份有限公司 一种程序合法性验证方法和系统
CN103268445A (zh) * 2012-12-27 2013-08-28 武汉安天信息技术有限责任公司 一种基于OpCode的android恶意代码检测方法及系统
CN103886229A (zh) * 2014-03-10 2014-06-25 珠海市君天电子科技有限公司 一种提取pe文件特征的方法及装置

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090032701A (ko) * 2007-09-28 2009-04-01 에스케이 텔레콤주식회사 하드웨어 고유번호에 기반한 소프트웨어 보호 방법 및 그를위한 저장매체
CN102930206B (zh) * 2011-08-09 2015-02-25 腾讯科技（深圳）有限公司 病毒文件的聚类划分处理方法和装置
CN103559438A (zh) * 2013-10-31 2014-02-05 上海上讯信息技术有限公司 进程识别方法及系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060026569A1 (en) * 2004-07-29 2006-02-02 Microsoft Corporation Portion-level in-memory module authentication
CN102024112A (zh) * 2010-12-17 2011-04-20 四川大学 基于静态特征的pe文件加壳检测方法
CN102509049A (zh) * 2011-11-14 2012-06-20 任子行网络技术股份有限公司 一种程序合法性验证方法和系统
CN103268445A (zh) * 2012-12-27 2013-08-28 武汉安天信息技术有限责任公司 一种基于OpCode的android恶意代码检测方法及系统
CN103886229A (zh) * 2014-03-10 2014-06-25 珠海市君天电子科技有限公司 一种提取pe文件特征的方法及装置

Also Published As

Publication number Publication date
CN103886229B (zh) 2017-01-04
CN103886229A (zh) 2014-06-25

Similar Documents

Publication Publication Date Title
WO2015135286A1 (zh) 提取pe文件特征的方法及装置
US9876812B1 (en) Automatic malware signature extraction from runtime information
Zhang et al. Repocoder: Repository-level code completion through iterative retrieval and generation
US11188650B2 (en) Detection of malware using feature hashing
US10339315B2 (en) Apparatus and method for detecting malicious mobile app
US9621571B2 (en) Apparatus and method for searching for similar malicious code based on malicious code feature information
Rad et al. Opcodes histogram for classifying metamorphic portable executables malware
US20180025153A1 (en) Method and device for detecting malicious code in an intelligent terminal
WO2015101097A1 (zh) 特征提取的方法及装置
JP4732484B2 (ja) 仮想環境を利用した非実行ファイル内のエクスプロイトコード分析方法及び装置
US9916448B1 (en) Detection of malicious mobile apps
WO2015135291A1 (zh) 病毒检测方法及装置
KR20120105759A (ko) 악성 코드 시각화 장치와 악성 코드 탐지 장치 및 방법
US10237285B2 (en) Method and apparatus for detecting macro viruses
CN109670318B (zh) 一种基于核控制流图循环验证的漏洞检测方法
US11526608B2 (en) Method and system for determining affiliation of software to software families
US11250129B2 (en) Method and system for determining affiliation of software to software families
EP3079091B1 (en) Method and device for virus identification, nonvolatile storage medium, and device
Pandey et al. Performance of malware detection tools: A comparison
WO2018121464A1 (zh) 一种病毒检测方法及装置、存储介质
US20080016573A1 (en) Method for detecting computer viruses
Grégio et al. Tracking memory writes for malware classification and code reuse identification
Namanya et al. Evaluation of automated static analysis tools for malware detection in Portable Executable files
CN114254069A (zh) 域名相似度的检测方法、装置和存储介质
CN106919503A (zh) 应用程序的测试方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14885243

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205 DATED 11/01/2017)

122 Ep: pct application non-entry in european phase

Ref document number: 14885243

Country of ref document: EP

Kind code of ref document: A1