设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [28407] 2020-07-12_恶意代码演化与溯源技术研究之恶意 ...
返回列表 发新帖
查看: 0|回复: 0

[28407] 2020-07-12_恶意代码演化与溯源技术研究之恶意代码溯源机理

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 4 天前 | 显示全部楼层 |阅读模式
2020-07-12_恶意代码演化与溯源技术研究之恶意代码溯源机理 恶 意 代 码 演 化 与 溯 源 技 术 研 究 之 恶 意 代 码 溯 源 机 理 O t s 安 全   2 0 2 0 - 0 7 - 1 2 点 击   -   阅 读 原 文 可 跳 转 到 原 文 作 者 ： 宋 文 纳 ,   彭 国 军 ,   傅 建 明 ,   张 焕 国 ,   陈 施 旅 O T S 安 全 学 术 界 和 产 业 界 的 恶 意 代 码 溯 源 机 理 存 在 差 异 : 在 学 术 界 ,   常 见 的 恶 意 代 码 溯 源 依 赖 于 代 码 的 相 似 性 分 析 ,   进 而 揭 示 恶 意 代 码 间 的 同 源 关 系 ,   且 其 溯 源 的 目 是 定 位 变 体 家 族 或 作 者 ;   而 产 业 界 ,   恶 意 代 码 溯 源 更 倾 向 于 恶 意 代 码 结 构 及 其 攻 击 链 的 关 联 性 分 析 ,   且 其 溯 源 目 的 是 为 了 挖 掘 攻 击 者 或 攻 击 背 后 的 真 正 意 图 . 基 于 这 种 差 异 性 ,   本 文 将 从 学 术 界 和 产 业 界 分 别 分 析 恶 意 代 码 的 溯 源 机 理 . 0 1 学 术 界 恶 意 代 码 溯 源 学 术 界 恶 意 代 码 溯 源 的 基 本 思 想 是 : 采 用 静 态 或 动 态 的 方 式 获 取 恶 意 代 码 的 特 征 信 息 ,   通 过 对 恶 意 代 码 的 特 征 学 习 ,   建 立 不 同 类 别 恶 意 代 码 的 特 征 模 型 ,   通 过 计 算 待 检 测 恶 意 代 码 针 对 不 同 特 征 类 别 的 相 似 性 度 量 ,   指 导 恶 意 代 码 的 同 源 性 判 定 [ 1 3 3 ] . 常 见 的 恶 意 代 码 溯 源 主 要 包 括 4 个 阶 段 : 特 征 提 取 、 特 征 预 处 理 、 相 似 性 计 算 、 同 源 判 定 ,   各 阶 段 间 的 流 程 关 系 如 图   1 所 示 . 图   1   恶 意 代 码 溯 源 系 统 模 型 图   1 1 所 示 的 溯 源 对 象 是 W i n d o w s 平 台 的 P E 文 件 / A n d r o i d 平 台 的 A P K 文 件 . 将 恶 意 文 件 输 入 溯 源 系 统 ,   经 过 同 源 分 析 ,   获 取 溯 源 结 果 . 溯 源 系 统 模 型 的 4 个 阶 段 中 : 实 线 框 包 围 的 特 征 提 取 和 同 源 判 定 是 溯 源 系 统 中 不 可 缺 少 的 阶 段 ;   虚 线 框 包 围 的 特 征 预 处 理 则 根 据 初 始 特 征 是 否 适 合 于 下 一 阶 段 的 输 入 来 决 定 是 否 执 行 ;   虚 线 框 包 围 的 相 似 性 计 算 是 基 于 聚 类 的 同 源 性 分 析 中 必 须 执 行 阶 段 ,   相 似 性 计 算 值 作 为 聚 类 度 量 值 使 用 ,   然 而 该 阶 段 在 基 于 神 经 网 络 的 同 源 分 析 中 省 去 ,   这 是 因 为 基 于 神 经 网 络 的 同 源 算 法 旨 在 通 过 调 整 神 经 网 络 参 数 ,   构 建 同 源 性 分 析 模 型 ,   在 调 整 好 的 模 型 中 对 样 本 进 行 同 源 处 理 ,   无 需 额 外 执 行 样 本 间 相 似 性 计 算 . 本 文 将 详 细 阐 述 4 个 阶 段 的 实 现 机 理 ,   并 评 估 其 优 势 及 缺 陷 . 0 2 特 征 提 取 特 征 提 取 是 溯 源 分 析 过 程 的 基 础 ,   具 有 同 源 性 的 恶 意 代 码 是 通 过 它 们 的 共 有 特 征 与 其 他 代 码 区 分 开 来 的 . 因 此 ,   所 提 取 的 特 征 既 要 反 映 出 恶 意 代 码 的 本 质 和 具 有 同 源 性 恶 意 代 码 之 间 的 相 似 性 ,   又 要 满 足 提 取 的 有 效 性 [ 1 3 4 ] . 依 据 溯 源 目 的 ,   溯 源 特 征 提 取 包 括 溯 源 家 族 的 特 征 提 取 和 溯 源 作 者 的 特 征 提 取 . 由 于 编 译 器 的 编 译 、 优 化 以 及 恶 意 作 者 的 混 淆 处 理 等 ,   编 译 后 的 恶 意 代 码 中 大 部 分 源 码 信 息 丢 失 ,   特 征 提 取 的 有 效 信 息 量 变 小 . 因 此 ,   有 效 地 提 取 恶 意 代 码 特 征 需 要 做 以 下 两 点 . ( 1 )   克 服 恶 意 代 码 的 对 抗 手 段 . 知 道 变 体 为 避 免 检 测 而 使 用 的 技 术 ,   以 便 识 别 在 其 逃 避 策 略 下 保 持 不 变 的 变 体 的 一 部 分 [ 6 7 ] . 例 如 在 代 码 级 别 的 变 体 上 ,   调 用 间 接 寻 址 、 代 码 重 排 序 、 垃 圾 代 码 插 入 技 术 等 ,   逃 避 使 用 字 符 串 匹 配 与 偏 移 或 A P I 调 用 匹 配 的
简 单 签 名 方 法 . 针 对 该 问 题 已 经 提 出 对 抗 逃 避 策 略 的 动 态 或 静 态 分 析 技 术 ,   例 如 污 点 分 析 、 代 码 语 义 分 析 、 动 态 分 析 等 . 文 献 [ 8 7 ] 提 出 采 用 统 计 性 方 法 获 取 常 见 的 多 个 字 符 串 作 为 签 名 ,   这 些 签 名 对 于 重 排 序 和 硬 编 码 都 是 健 壮 的 ,   因 此 可 以 在 一 定 程 度 上 克 服 恶 意 代 码 的 对 抗 手 段 . ( 2 )   相 似 性 代 码 的 片 段 提 取 . 根 据 恶 意 代 码 家 族 和 作 者 的 编 码 相 似 性 ,   恶 意 代 码 的 家 族 溯 源 中 ,   以 相 似 性 行 为 代 码 片 段 为 导 向 , 在 编 译 后 的 代 码 中 ,   提 取 同 家 族 变 体 的 相 似 性 特 征 来 识 别 同 源 样 本 ;   恶 意 代 码 的 作 者 溯 源 分 析 中 ,   在 编 译 后 的 代 码 及 其 结 构 中 ,   提 取 作 者 遗 留 的 编 码 习 惯 作 为 特 征 ,   来 识 别 同 源 样 本 . 学 术 界 常 见 的 特 征 提 取 类 型 包 括 序 列 特 征 和 代 码 结 构 特 征 ,   图   1 ,   在 恶 意 代 码 家 族 溯 源 或 作 者 溯 源 中 均 效 果 明 显 . 然 而 因 其 溯 源 目 标 存 在 差 异 ,   所 以 两 种 类 型 的 特 征 在 不 同 的 溯 源 应 用 中 表 现 不 同 . 此 外 ,   权 限 特 征 和 资 源 使 用 特 征 在 移 动 平 台 中 广 泛 采 用 . 下 面 将 揭 示 序 列 特 征 、 代 码 结 构 特 征 ,   权 限 特 征 和 资 源 使 用 特 征 在 溯 源 家 族 、 溯 源 作 者 中 的 应 用 情 况 . 图 1   恶 意 代 码 特 征 类 型 1 )   序 列 特 征 序 列 特 征 常 见 的 序 列 包 括 指 令 序 列 、 字 节 码 序 列 、 A P I 调 用 序 列 、 n - g r a m 序 列 等 . 序 列 提 取 是 一 种 语 法 分 析 方 法 ,   通 过 分 析 语 法 上 不 容 易 被 混 淆 的 序 列 作 为 特 征 . 文 献 [ 1 3 5 ] 通 过 熵 值 评 估 和 实 证 研 究 ,   提 取 统 计 性 强 的 字 节 码 序 列 作 为 特 征 ,   这 种 特 征 在 同 家 族 恶 意 代 码 中 广 泛 存 在 ,   即 使 该 样 本 被 混 淆 ,   被 混 淆 部 分 因 发 生 变 化 很 少 出 现 在 较 多 样 本 中 . 然 而 ,   如 果 文 件 被 严 重 混 淆 ,   则 无 法 通 过 静 态 分 析 方 式 获 取 特 征 . 动 态 分 析 可 以 克 服 静 态 分 析 的 此 种 缺 点 ,   文 献 [ 1 3 6 - 1 3 9 ] 利 用 动 态 分 析 ,   从 系 统 调 用 序 列 中 提 取 n - g r a m 序 列 作 为 特 征 . n - g r a m 序 列 相 对 于 整 个 的 A P I 调 用 序 列 ,   在 数 据 集 中 出 现 的 次 数 更 多 ,   稳 定 性 更 强 ,   因 此 该 特 征 相 较 于 A P I 调 用 序 列 具 有 较 好 的 统 计 特 性 ,   可 以 用 于 检 测 一 般 性 混 淆 的 变 体 . 这 些 文 献 均 是 针 对 家 族 变 体 的 分 析 ,   A P I 调 用 序 列 、 统 计 性 强 的 字 节 码 序 列 反 映 了 同 家 族 的 行 为 特 征 ,   可 以 在 家 族 变 体 分 析 中 使 用 . 然 而 在 基 于 作 者 的 溯 源 分 析 中 ,   不 能 单 纯 依 据 代 码 功 能 相 似 性 提 取 特 征 ,   因 为 即 使 同 一 个 作 者 或 团 队 也 会 编 写 出 不 同 家 族 的 恶 意 代 码 ,   但 是 特 定 类 型 的 编 码 习 惯 在 编 译 过 程 后 保 留 在 了 二 进 制 文 件 里 ,   利 用 该 类 信 息 ,   可 以 执 行 二 进 制 作 者 的 溯 源 . 文 献 [ 1 0 2 ,   1 4 0 ] 均 提 取 到 了 溯 源 到 作 者 的 特 征 ,   文 献 [ 1 4 0 ] 提 取 了 7 类 W i n A P I 调 用 模 式 作 为 作 者 的 编 码 习 惯 特 征 ,   有 效 地 溯 源 到 了 恶 意 代 码 的 作 者 . 然 而 该 特 征 是 依 据 作 者 已 有 的 样 本 进 行 提 取 , 依 赖 于 已 有 的 样 本 数 量 . C a l i s k a n - I s l a m 等 人 [ 1 0 2 ] 使 用 H e x - R a y s 反 编 译 二 进 制 文 件 为 类 似 于 C 的 伪 代 码 ,   基 于 该 代 码 构 建 模 糊 抽 象 语 法 树 ,   然 后 从 语 法 树 中 获 取 可 以 表 示 作 者 编 码 风 格 的 语 法 特 征 ,   从 而 实 现 对 恶 意 代 码 作 者 的 溯 源 . 在 恶 意 代 码 的 家 族 溯 源 和 作 者 溯 源 中 ,   由 于 恶 意 代 码 的 特 征 大 多 反 映 功 能 、 结 构 信 息 ,   反 映 作 者 与 作 者 关 系 的 特 征 较 少 ,   因 此 在 溯 源 作 者 的 特 征 提 取 中 能 够 提 取 到 的 信 息 较 少 ,   且 在 学 术 界 ,   针 对 作 者 的 溯 源 文 献 低 于 针 对 家 族 的 溯 源 文 献 . 在 序 列 特 征 提 取 中 ,   统 计 性 强 的 序 列 特 征 可 以 检 测 到 密 切 相 似 的 数 据 对 象 ,   但 检 测 恶 意 软 件 变 体 的 能 力 要 低 得 多 ,   因 此 在 同 源 性 分 析 中 ,   序 列 特 征 并 不 用 于 准 确 性 匹 配 .
2 )   代 码 结 构 特 征 代 码 结 构 特 征 代 码 结 构 提 取 是 一 种 从 代 码 逻 辑 结 构 提 取 特 征 的 方 法 ,   该 特 征 包 含 了 程 序 的 语 义 信 息 ,   属 于 细 粒 度 特 征 . 常 见 的 代 码 结 构 主 要 包 括 A P I 调 用 图 结 构 、 C F G 图 结 构 、 P D G 图 结 构 等 . 代 码 结 构 包 含 程 序 的 行 为 语 义 信 息 ,   即 使 样 本 的 语 法 被 混 淆 处 理 ,   只 要 语 义 相 同 ,   还 是 可 以 追 踪 到 . 例 如 ,   文 献 [ 1 4 6 ] 采 用 P D G 作 为 代 码 特 征 ,   通 过 计 算 两 个 样 本 间 的 相 似 性 ,   可 以 有 效 地 检 测 复 用 或 克 隆 恶 意 代 码 ,   同 时 能 够 抵 抗 多 种 类 型 的 检 测 逃 避 技 术 ,   例 如 语 句 重 排 序 、 插 入 以 及 删 除 代 码 等 . 虽 然 恶 意 代 码 的 代 码 结 构 特 征 使 得 恶 意 代 码 对 抗 性 在 检 测 系 统 中 作 用 变 小 甚 至 无 效 ,   但 在 基 于 代 码 结 构 特 征 的 同 源 分 析 中 ,   常 用 的 子 图 同 构 算 法 是 N P 问 题 , 该 问 题 使 得 系 统 计 算 复 杂 度 变 大 . 例 如 ,   文 献 [ 1 4 2 ] 提 出 加 权 的 敏 感 A P I 调 用 子 图 集 ,   作 为 恶 意 代 码 的 聚 类 特 征 ,   并 对 该 图 进 行 加 权 处 理 ,   对 加 权 后 的 敏 感 A P I 调 用 图 执 行 同 构 计 算 ,   加 大 了 系 统 分 析 的 复 杂 度 . 为 了 消 除 该 问 题 ,   文 献 [ 1 3 3 ] 提 出 利 用 卷 积 神 经 网 络 对 恶 意 代 码 A P I 调 用 图 进 行 处 理 的 方 法 ,   选 择 关 键 节 点 邻 域 构 建 感 知 野 ,   使 图 结 构 数 据 转 换 为 卷 积 神 经 网 络 能 够 处 理 的 结 构 ,   消 除 了 子 图 同 构 带 来 的 问 题 . 相 比 代 码 结 构 信 息 ,   序 列 信 息 会 丢 失 恶 意 代 码 执 行 过 程 中 的 某 些 空 间 特 征 . 但 是 基 于 代 码 结 构 的 相 似 性 分 析 由 于 要 分 析 程 序 执 行 流 程 ,   因 此 复 杂 度 比 较 高 ,   效 率 得 不 到 保 证 ;   同 时 ,   序 列 信 息 比 图 结 构 信 息 更 容 易 获 得 ,   因 此 大 多 数 研 究 者 仍 然 采 用 基 于 指 令 序 列 或 A P I 序 列 的 特 征 进 行 研 究 [ 1 3 3 ] . 3 )   权 限 特 征 权 限 特 征 权 限 是 A n d r o i d 系 统 的 三 大 保 护 机 制 之 一 ,   在 M a n i f e s t 文 件 中 ,   声 明 的 权 限 很 容 易 捕 获 应 用 程 序 的 数 据 使 用 意 图 ,   可 用 于 识 别 应 用 程 序 的 恶 意 行 为 [ 1 5 2 ] . 权 限 特 征 提 取 属 于 轻 量 级 方 法 ,   避 免 了 高 成 本 的 时 间 和 计 算 ,   但 是 它 只 能 捕 获 应 用 程 序 的 粗 粒 度 功 能 ,   通 常 需 要 结 合 序 列 特 征 、 代 码 结 构 特 征 等 使 用 ,   方 能 深 刻 地 展 示 应 用 程 序 的 行 为 信 息 . 文 献 [ 1 4 8 ] 提 出 采 用 A X M L P r i n t e r 2 工 具 解 析 A n d r o i d M a n i f e s t . x m l 文 件 获 取 权 限 ,   并 集 合 A P I 调 用 作 为 特 征 集 合 ,   用 于 A n d r o i d 恶 意 软 件 的 静 态 检 测 ,   使 用 权 限 与 A P I 结 合 的 特 征 优 于 仅 使 用 权 限 作 为 特 征 的 分 类 结 果 ,   说 明 权 限 信 息 粒 度 较 粗 ,   A P I 信 息 有 助 于 恶 意 软 件 的 分 类 . 文 献 [ 1 4 9 ] 使 用 A n d r o i d 恶 意 软 件 的 共 同 权 限 和 描 述 文 本 的 组 合 来 估 计 权 限 的 意 图 ,   该 方 法 克 服 了 良 性 应 用 有 意 、 无 意 采 用 类 似 的 权 限 所 引 起 的 错 误 检 测 问 题 ,   但 是 由 于 描 述 文 本 中 的 正 面 词 语 并 非 强 制 性 的 ,   可 以 伪 造 且 不 会 丢 失 任 何 恶 意 功 能 ,   因 此 它 仍 然 存 在 对 错 误 检 测 和 稳 健 性 的 挑 战 . 4 )   资 源 使 用 特 征 资 源 使 用 特 征 资 源 文 件 的 使 用 特 征 在 移 动 平 台 中 应 用 广 泛 ,   该 特 征 主 要 是 从 A P K 解 压 后 的 r e s o u r c e s . a r s c 文 件 以 及 r e s 文 件 中 提 取 的 信 息 . 文 献 [ 1 5 0 ] 提 出 在 重 打 包 的 A P K 中 ,   资 源 文 件 几 乎 相 同 ,   资 源 文 件 的 使 用 可 以 作 为 检 测 恶 意 代 码 变 体 的 特 征 之 一 ,   在 采 用 统 计 性 强 的 字 节 码 熵 作 为 特 征 的 过 程 中 ,   发 现 直 接 提 取 A P K 文 件 的 字 节 码 的 检 测 率 ,   高 于 仅 使 用 d e x 字 节 码 的 检 测 . 这 主 要 是 因 为 A P K 文 件 中 包 含 有 大 量 的 资 源 信 息 ,   而 恶 意 代 码 变 种 往 往 仅 对 原 始 恶 意 软 件 中 d e x 中 的 代 码 进 行 修 改 ,   对 资 源 改 变 很 少 甚 至 无 改 变 ,   因 此 采 用 包 含 资 源 文 件 的 字 节 码 特 征 ,   更 能 够 有 效 地 检 测 到 家 族 变 体 . 文 献 [ 1 5 1 ] 提 出 传 感 器 类 型 和 生 成 传 感 器 数 据 传 播 路 径 作 为 特 征 ,   以 提 供 传 感 器 使 用 模 式 的 概 述 ,   然 后 使 用 传 感 器 使 用 模 式 识 别 应 用 程 序 是 否 具 有 危 害 性 . 文 献 [ 4 1 ] 提 出 了 结 构 不 一 致 ( s t r u c t u r a l   i n c o n s i s t e n c i e s ) 和 逻 辑 不 一 致 ( l o g i c a l   i n c o n s i s t e n c i e s ) 的 资 源 特 征 ,   从 而 用 于 识 别 A n d r o i d 恶 意 软 件 的 家 族 变 体 . 但 是 文 中 的 资 源 特 征 提 取 使 用 简 单 的 启 发 式 方 法 派 生 ,   没 有 涉 及 程 序 / 资 源 分 析 ,   因 此 效 率 较 高 ;   但 是 针 对 混 淆 而 一 般 样 本 的 检 测 问 题 ,   该 文 提 出 的 资 源 特 征 不 足 以 分 析 . 0 3 特 征 预 处 理 特 征 预 处 理 在 溯 源 分 析 技 术 中 起 到 承 上 启 下 作 用 : 承 上 即 对 初 始 特 征 进 行 预 处 理 ;   启 下 则 是 为 相 似 性 计 算 提 供 基 础 数 据 . 提 取 的 原 始 特 征 存 在 不 具 有 代 表 性 、 不 能 量 化 等 问 题 ,   特 征 预 处 理 针 对 这 一 问 题 进 行 解 决 ,   以 提 取 出 适 用 于 相 似 性 计 算 的 代 表 性 特 征 ,   常 见 的 特 征 类 型 包 括 序 列 特 征 和 代 码 结 构 特 征 ,   其 中 ,   针 对 移 动 平 台 的 权 限 特 征 和 资 源 使 用 特 征 ,   在 具 体 的 表 现 形 式 上 也 以 序 列 特 征 和 代 码 结 构 特 征 为 主 ,   下 面 分 析 每 类 特 征 形 式 的 预 处 理 机 理 . 1 )   序 列 特 征 预 处 理 常 见 的 序 列 特 征 预 处 理 方 法 包 括 信 息 熵 评 估 、 正 则 表 达 式 转 换 、 N - g r a m s 序 列 、 序 列 向 量 化 、 权 重 量 化 法 等 . 序 列 特 征 预 处 理 使 得 初 始 特 征 中 冗 余 特 征 消 除 、 特 征 语 义 表 达 增 强 、 特 征 量 化 等 以 便 于 进 行 相 似 性 计 算 ,   具 体 描 述 如 下 .
●   信 息 熵 评 估 熵 是 包 含 在 数 据 中 的 信 息 量 的 非 常 广 泛 的 量 度 ,   是 提 取 稳 定 性 特 征 的 有 用 工 具 [ 1 5 3 ] . 根 据 熵 值 对 特 征 的 信 息 量 进 行 评 估 ,   进 而 选 择 出 稳 定 性 的 特 征 序 列 . 2 0 1 6 年 ,   C h e n g   W a n g 等 人 [ 1 5 4 ] 为 了 优 化 操 作 码 序 列 特 征 的 精 度 和 性 能 ,   提 出 了 基 于 信 息 熵 的 特 征 提 取 方 法 来 提 取 数 量 少 但 非 常 有 用 的 信 息 ,   来 表 示 恶 意 软 件 实 例 . 关 键 步 骤 如 下 . ( 1 )   在 汇 编 代 码 中 选 择 2 - 元 组 操 作 码 序 列 ,   见 图 3 . 图 3   汇 编 代 码 片 段 举 例 ( 2 )   利 用 变 形 信 息 熵 计 算 操 作 码 序 列 信 息 熵 ,   信 息 熵 公 式 如 ( 1 ) 所 示 . 其 中 ,   p ( o s k ,   x j ) 表 示 恶 意 代 码 x j 中 o s k 操 作 码 序 列 出 现 的 概 率 ,   y i 表 示 恶 意 软 件 家 族 的 数 目 ,   N 为 恶 意 代 码 总 数 . 设 置 阈 值 α ,   并 将 i e ( O S k )   >   α 的 操 作 码 序 列 提 取 出 来 用 于 相 似 性 比 较 中 的 特 征 数 据 . 选 择 具 有 高 信 息 熵 的 操 作 码 序 列 作 为 恶 意 软 件 实 例 的 表 示 , 结 果 表 明 : 较 少 数 量 的 具 有 高 信 息 熵 的 操 作 码 序 列 ,   比 大 量 的 操 作 码 序 列 提 供 更 好 的 准 确 性 和 性 能 ,   缓 解 了 因 操 作 码 多 样 性 导 致 恶 意 代 码 的 特 征 维 度 大 的 问 题 . ●   正 则 表 达 式 转 换 正 则 表 达 式 是 由 字 符 元 素 以 及 元 素 之 间 的 组 合 组 成 规 则 序 列 ,   以 用 来 表 达 对 字 符 串 的 过 滤 . 在 序 列 的 分 析 中 ,   将 序 列 转 换 为 基 于 序 列 元 素 和 序 列 间 关 系 的 正 则 表 达 式 ,   从 而 实 现 对 符 合 正 则 表 达 式 的 恶 意 软 件 识 别 . 该 特 征 是 一 种 启 发 式 特 征 ,   可 以 识 别 事 前 未 出 现 的 恶 意 软 件 . 例 如 ,   L . W u [ 1 5 5 ] 通 过 分 析 恶 意 软 件 敏 感 A P I 操 作 以 及 事 件 等 ,   将 A P I 序 列 特 征 转 换 为 正 则 表 达 式 ,   并 在 发 生 类 似 的 正 则 表 达 式 模 式 时 检 测 恶 意 代 码 ,   在 最 终 的 实 验 结 果 中 ,   证 明 基 于 正 则 表 达 式 的 方 法 可 以 检 测 出 部 分 新 恶 意 软 件 . ●   N - g r a m 序 列 N - g r a m 指 由 较 大 字 符 串 分 割 出 的 固 定 长 度 的 子 字 符 串 [ 1 5 6 ] ,   例 如 字 符 串 序 列 M A L W A R E ,   那 么 被 分 割 出 的 4 - g r a m s 是 M A L W , A L W A ,   L W A R ,   W A R E 等 . I B M 研 究 小 组 最 先 将 N - g r a m 方 法 应 用 于 恶 意 软 件 分 析 中 [ 1 5 7 ] ,   使 用 N - g r a m 的 统 计 属 性 可 以 预 测 给 定 序 列 中 下 个 子 序 列 . 从 恶 意 代 码 提 取 n - g r a m 序 列 ,   一 方 面 便 于 进 行 相 似 性 计 算 ;   另 一 方 面 ,   基 于 n - g r a m 序 列 相 比 原 始 序 列 统 计 性 更 强 ,   有 利 于 对 未 知 恶 意 代 码 序 列 识 别 . 文 献 [ 1 5 8 ] 提 出 对 A P I 调 用 序 列 进 行 n - g r a m 处 理 获 取 子 序 列 ,   如 果 采 用 A P I 序 列 作 为 特 征 , 此 时 序 列 相 对 较 长 ,   其 他 代 码 ( 如 附 加 功 能 ) 会 添 加 到 该 部 分 ;   然 而 基 于 N - g r a m 的 序 列 子 集 比 整 个 A P I 序 列 的 更 稳 定 . 采 用 n - g r a m 方 法 将 A P I 调 用 序 列 转 换 为 n - g r a m 序 列 ,   具 体 过 程 如 图   4 所 示 .
图   4   A P I 序 列 转 化 为 n - g r a m 序 列 S 1 ,   S 2 表 示 初 始 特 征 A P I 序 列 ,   为 了 方 便 表 示 ,   将 A P I 名 称 用 单 个 大 写 英 文 字 符 表 示 ,   并 基 于 该 字 符 序 列 提 取 对 应 的 n - g r a m 序 列 , 该 特 征 相 比 A P I 序 列 特 征 更 短 ,   且 序 列 种 类 多 样 化 ,   在 表 达 相 似 性 上 更 具 有 代 表 性 . 但 是 n - g r a m 很 难 同 时 捕 获 不 同 长 度 的 序 列 , 存 在 一 个 有 意 义 的 序 列 被 拆 开 的 可 能 ,   影 响 结 果 的 准 确 性 判 定 . ●   序 列 向 量 化 序 列 向 量 化 是 一 种 量 化 序 列 的 方 法 ,   将 具 体 的 序 列 转 换 为 可 进 行 计 算 的 数 学 模 型 . 通 过 量 化 分 析 ,   有 利 于 进 行 重 要 特 征 的 分 析 , 提 取 出 具 有 代 表 性 特 征 . 此 外 ,   量 化 的 特 征 便 于 进 行 相 似 性 计 算 . 例 如 ,   文 献 [ 1 5 8 ] 以 A P I 调 用 序 列 作 为 神 经 网 络 分 析 的 目 标 ,   经 过 分 析 ,   将 一 个 恶 意 样 本 归 属 到 某 个 恶 意 软 件 家 族 . A P I 调 用 序 列 是 由 具 体 名 称 序 列 组 成 的 序 列 ,   不 能 进 行 数 学 计 算 ,   因 此 在 将 提 取 的 A P I 调 用 序 列 特 征 输 入 到 神 经 网 络 之 前 会 进 行 预 处 理 ,   如 果 某 个 A P I 调 用 序 列 中 出 现 2 次 或 2 次 以 上 相 同 的 A P I 调 用 子 序 列 ,   则 消 除 掉 重 复 的 子 序 列 . 然 后 采 用 o n e - h o t 编 码 对 序 列 中 每 一 个 A P I 构 建 唯 一 的 二 级 制 向 量 ,   该 向 量 的 长 度 等 于 不 同 A P I 调 用 的 总 数 ,   将 A P I 调 用 名 称 构 成 的 序 列 转 换 为 二 进 制 向 量 序 列 . 由 于 字 典 中 一 共 包 含 6 0 个 不 同 的 系 统 调 用 ,   因 此 不 会 遇 到 任 何 特 征 向 量 大 小 的 挑 战 ,   实 现 了 特 征 的 量 化 表 示 ,   可 以 输 入 到 神 经 网 络 进 行 运 算 . 此 外 ,   基 于 神 经 网 络 的 训 练 向 量 往 往 面 临 维 度 高 问 题 ,   文 献 [ 1 5 9 ] 初 始 产 生 基 于 字 符 串 、 3 元 - A P I 调 用 组 合 、 A P I - 参 数 调 用 组 合 等 3 种 类 型 的 特 征 0 . 5 亿 个 ,   为 了 降 低 维 度 ,   作 者 提 出 采 用 随 机 映 射 将 输 入 的 特 征 维 度 降 低 了 4 5 倍 ,   进 而 使 得 高 纬 度 的 特 征 数 据 能 够 高 效 地 在 神 经 网 络 模 型 中 训 练 . 序 列 向 量 化 使 得 基 于 特 征 的 数 学 计 算 变 得 可 能 ,   进 而 用 于 同 源 性 分 析 的 后 续 处 理 . ●   权 重 权 重 是 一 种 统 计 分 析 方 法 ,   权 重 定 义 了 特 征 重 要 性 . 文 献 [ 1 6 0 ] 提 出 计 算 A P I 调 用 、 返 回 值 、 模 块 名 称 等 动 态 特 征 向 量 的 权 重 , 以 选 择 重 要 的 特 征 . 由 于 权 重 特 征 本 身 的 限 制 ,   该 文 构 建 了 一 种 新 的 基 于 T F - I D F 的 权 重 计 算 方 法 ,   如 公 式 ( 2 ) 所 示 . 其 中 ,   a 表 示 恶 意 软 件 变 体 ;   t 表 示 恶 意 软 件 特 征 向 量 ;   ω ( t ,   a ) 表 示 样 本 a 中 特 征 t 的 权 重 ;   T F ( t ,   a ) 表 示 变 体 a 中 包 含 该 特 征 t 的 数 目 占 该 变 体 中 所 有 特 征 数 目 的 比 例 ;   E [ P ( c | t ) ] 表 示 特 征 t 在 不 同 家 族 中 出 现 的 差 异 . ω 值 越 大 ,   说 明 该 特 征 越 能 表 达 样 本 a 的 关 键 信 息 . 根 据 该 权 重 值 可 以 选 择 具 有 强 分 辨 力 的 特 征 ,   即 ,   具 有 高 权 重 值 的 靠 前 特 征 被 选 择 ,   并 采 用 M i n - M a x 对 选 出 的 特 征 向 量 进 行 归 一 化 处 理 . 将 该 特 征 应 用 于 集 成 学 习 算 法 的 分 类 训 练 中 ,   并 与 现 有 的 恶 意 软 件 分 析 类 方 法 ,   如 卡 方 检 验 ( c h i - s q u a r e   t e s t ) [ 1 6 1 ] 和 主 成 分 分 析 ( p r i n c i p a l   c o m p o n e n t   a n a l y s i s ,   简 称 P C A ) [ 1 6 2 ] 进 行 比 较 ,   发 现 恶 意 软 件 的 分 类 工 作 比 之 前 更 加 准 确 . 2 )   代 码 结 构 特 征 预 处 理 一 方 面 ,   基 于 代 码 结 构 的 特 征 在 相 似 度 比 较 时 存 在 边 、 节 点 等 匹 配 问 题 即 子 图 同 构 算 法 复 杂 性 ;   另 一 方 面 ,   代 码 结 构 特 征 中 存 在 冗 余 结 构 ,   因 此 除 去 冗 余 、 保 留 与 恶 意 操 作 相 关 的 代 码 结 构 是 预 处 理 的 主 要 目 的 . 常 见 的 结 构 图 包 括 A P I 调 用 图 、 C F G 调 用 图 、 P D G 图 等 . 本 文 将 代 码 结 构 特 征 中 预 处 理 机 理 阐 述 如 下 . ●   A P I 调 用 图 预 处 理 A P I 调 用 图 是 由 图 中 敏 感 A P I ,   根 据 前 后 调 用 关 系 建 立 的 网 络 结 构 图 . 为 了 消 除 图 相 似 性 计 算 的 复 杂 性 问 题 ,   文 献 [ 1 3 3 ] 对 调 用 图 特 征 进 行 预 处 理 ,   以 选 择 A P I 调 用 图 中 重 要 节 点 ,   具 体 为 采 用
P a g e R a n k 算 法 计 算 A P I 调 用 节 点 的 重 要 程 度 ,   但 是 在 A P I 调 用 图 中 ,   某 个 节 点 不 需 要 用 户 随 机 访 问 ,   因 此 使 用 P a g e R a n k 算 法 的 时 ,   需 要 考 虑 每 个 A P I 对 恶 意 代 码 行 为 的 贡 献 程 度 ,   结 合 P a g e R a n k 算 法 和 贡 献 程 度 实 现 对 A P I 重 要 程 度 的 计 算 ;   同 时 对 A P I 进 行 分 类 ,   为 不 同 A P I 设 置 不 同 的 等 级 ;   然 后 计 算 各 节 点 在 图 中 重 要 程 度 ,   从 而 选 择 关 键 节 点 ,   构 建 出 适 合 于 神 经 网 络 算 法 的 输 入 值 . 2 0 1 6 年 ,   文 献 [ 9 0 ] 为 了 对 抗 重 打 包 中 正 常 代 码 部 分 对 恶 意 代 码 部 分 的 影 响 ,   以 提 取 出 更 能 代 表 家 族 恶 意 代 码 部 分 的 特 征 ,   在 基 于 家 族 恶 意 代 码 A P I 调 用 图 的 基 础 上 ,   利 用 社 区 结 构 算 法 进 一 步 提 取 A P I 调 用 图 的 敏 感 频 繁 子 图 ,   并 将 其 作 为 家 族 恶 意 代 码 特 征 ,   特 征 的 进 一 步 细 化 使 得 系 统 对 应 用 程 序 的 识 别 速 率 提 升 ,   识 别 一 个 软 件 的 时 间 减 少 到 了 4 . 4 s . ●   C F G 图 预 处 理 C F G 图 以 单 个 代 码 语 句 为 原 子 单 位 ,   细 粒 度 地 表 示 了 程 序 的 执 行 流 程 [ 1 6 3 ] . 面 对 其 在 图 同 构 方 面 的 复 杂 性 问 题 ,   文 献 [ 1 2 4 ] 采 用 H y p e r i o n [ 1 6 4 ] 二 进 制 静 态 分 析 工 具 ,   将 恶 意 软 件 的 C F G 结 构 以 正 则 表 达 式 字 符 串 的 形 式 生 成 ,   正 则 表 达 式 中 包 含 汇 编 指 令 信 息 和 程 序 的 控 制 结 构 信 息 ,   使 得 基 于 图 的 相 似 性 匹 配 转 换 为 基 于 字 符 串 的 相 似 性 匹 配 ,   解 决 了 图 匹 配 带 来 的 复 杂 度 . 此 外 ,   文 献 [ 1 6 5 ] 提 出 采 用 P o u l i k 等 人 [ 1 6 6 ] 设 计 的 方 法 将 C F G 转 化 为 基 于 一 定 语 法 的 字 符 串 ,   该 方 法 抽 象 地 表 示 了 应 用 程 序 的 信 息 ,   在 抵 抗 代 码 变 换 方 面 ,   比 基 于 n - g r a m 特 征 表 达 的 方 法 具 有 更 好 的 抵 抗 性 . 文 献 [ 1 6 7 ] 提 出 C F G 与 D F G 结 合 ,   转 化 为 矩 阵 形 式 用 于 C N N 模 型 训 练 ,   在 准 确 率 方 面 取 得 了 良 好 的 效 果 ,   针 对 M a r v i n 数 据 集 的 检 测 达 到 了 9 9 . 6 4 9 % ,   但 是 在 召 回 率 方 面 低 于 文 献 [ 1 6 5 ] . 这 可 能 是 因 为 前 者 包 含 了 数 据 流 分 析 ,   匹 配 更 加 精 准 ,   使 得 漏 报 情 况 相 对 较 重 . ●   P D G 图 预 处 理 P D G 图 是 一 种 结 合 数 据 流 和 控 制 流 分 析 的 代 码 结 构 ,   展 现 了 敏 感 操 作 的 依 赖 性 ,   包 含 程 序 语 义 信 息 . 但 是 该 特 征 结 构 在 匹 配 时 是 一 种 准 确 性 匹 配 ,   因 此 计 算 复 杂 度 比 较 高 . 文 献 [ 1 6 8 ] 对 基 于 单 个 方 法 的 P D G 进 行 预 处 理 ,   将 P D G 转 换 为 一 组 特 征 向 量 ,   并 根 据 特 征 向 量 找 到 相 似 性 引 用 程 序 集 群 . 该 方 法 对 应 用 程 序 中 所 有 方 法 进 行 处 理 以 提 取 一 组 特 征 向 量 ,   当 一 组 新 的 应 用 程 序 加 入 时 ,   它 需 要 与 以 前 的 大 量 特 征 向 量 再 次 进 行 比 较 ,   因 此 效 率 低 下 . 但 是 需 要 检 测 没 有 任 何 先 验 知 识 的 未 知 恶 意 代 码 时 ,   该 方 法 有 效 . 基 于 上 述 描 述 表 明 : 在 图 特 征 的 预 处 理 过 程 中 ,   评 估 图 中 的 关 键 节 点 、 非 图 形 化 处 理 、 排 除 图 中 非 相 关 子 图 [ 1 6 9 ] 均 是 对 图 进 行 预 处 理 ,   以 消 除 图 相 似 性 计 算 复 杂 度 的 有 效 方 法 ,   基 于 神 经 网 络 模 型 的 应 用 使 得 消 除 图 结 构 间 的 计 算 成 为 可 能 . 在 实 际 同 源 判 定 中 ,   需 要 结 合 所 构 建 的 特 征 以 及 实 际 应 用 场 景 及 目 的 ,   来 选 择 合 适 的 特 征 预 处 理 方 案 . 2 . 1   相 似 性 计 算 相 似 性 计 算 溯 源 的 目 是 通 过 分 析 样 本 的 同 源 性 定 位 到 家 族 或 作 者 ,   样 本 的 同 源 性 可 以 通 过 分 析 代 码 相 似 性 来 获 取 . 相 似 性 计 算 旨 在 衡 量 恶 意 代 码 间 相 似 度 ,   具 体 为 采 用 一 种 相 似 性 模 型 对 恶 意 代 码 的 特 征 进 行 运 算 . 根 据 预 处 理 特 征 类 型 的 不 同 以 及 溯 源 需 求 ( 效 率 、 准 确 性 等 ) 的 差 异 ,   采 用 不 同 的 相 似 性 运 算 方 法 . 目 前 比 较 流 行 的 相 似 性 计 算 方 法 主 要 集 中 在 对 集 合 、 序 列 、 向 量 、 图 等 特 征 表 现 形 式 的 处 理 . 1 )   基 于 集 合 的 相 似 性 计 算 基 于 集 合 的 相 似 性 计 算 集 合 是 多 个 元 素 的 组 合 ,   这 是 一 种 简 单 的 特 征 形 式 ,   常 见 的 相 似 性 计 算 方 法 为 J a c c a r d 系 数 等 . Q i a o 等 人 [ 8 0 ] 在 不 同 恶 意 样 本 A P I 集 合 的 相 似 性 比 较 中 采 用 了 J a c c a r d 系 数 方 法 ,   将 为 A ,   B 两 个 集 合 的 交 集 在 并 集 中 所 占 的 比 例 作 为 相 似 度 ,   比 例 值 越 大 ,   证 明 越 相 似 ,   如 公 式 所 示 . 通 过 以 上 计 算 ,   将 查 询 点 与 待 比 较 空 间 中 的 集 合 点 进 行 比 较 ,   返 回 满 足 条 件 的 结 果 . 该 算 法 思 想 简 单 ,   操 作 方 面 ,   在 基 于 集 合 形 式 的 特 征 中 广 泛 采 用 . 2 )   序 列 形 式 特 征 的 相 似 性 计 算 序 列 特 征 的 相 似 性 计 算 既 要 考 虑 序 列 元 素 的 匹 配 ,   又 要 考 虑 序 列 的 次 序 关 系 . 2 0 1 3 年 ,   F a r u k i 等 人 [ 1 3 5 ] 提 出 采 用 S D h a s h 相 似 性 散 列 技 术 构 建 样 本 的 签 名 序 列 ,   并 采 用 汉 明 距 离 法 对 序 列 进 行 相 似 性 计 算 ,   从 而 识 别 同 源 性 样 本 . 恶 意 软 件 通 常 会 将 其 恶 意 负 载 隐 藏 在 D E X 或 托 管 为 主 应 用 A P K 的 资 源 文 件 中 ,   文 献 [ 1 6 3 ] 从 D E X 或 A P K 类 型 的 应 用 程 序 中 提 取 所 有 可 用 资 源 中 的 片 段 构 建 特 征 序 列 ,   结 合 模 糊 H a s h 和 特 征 H a s h 的 方 法 [ 1 6 4 ] 计 算 样 本 之 间 的 相 似 度 . 此 外 ,   也 有 研 究 者 采 用 数 据 挖 掘 的 方 法 进 行 相 似 性 计 算 ,   例 如 ,   乔 等 人 [ 1 4 0 ] 利 用 频 繁 模 式 离 群 因 子 计 算 基 于 W i n A P I 调 用 序 列 的 相 似 性 ;   文 献 [ 1 4 3 ] 将 两 个 字 符 串 形 式 的 签 名 中 公 共 的 L C S ( l a r g e s t   c o m m o n   s u b s t r i n g ) 长 度 占 较 大 签 名 长 度 的 比 值 作 为 相 似 性 值 ,   此 种 方 法 是 一 种 简 单 的 数 学 算 法 ,   计 算 复 杂 度 低 .
3 )   基 于 向 量 形 式 特 征 的 相 似 性 计 算 向 量 是 一 种 基 于 维 度 的 几 何 表 示 方 法 ,   在 相 似 性 比 较 中 ,   需 要 明 确 各 维 度 的 特 征 类 别 ,   使 得 不 同 样 本 的 特 征 向 量 中 各 维 度 具 备 一 致 性 . 文 献 [ 1 7 0 ] 提 出 基 于 指 纹 的 特 征 ,   但 该 指 纹 是 位 特 征 向 量 ,   因 此 不 能 直 接 采 用 J a c c a r d 相 似 度 进 行 计 算 . 为 了 计 算 两 个 指 纹 之 间 的 相 似 性 ,   文 中 采 用 了 位 J a c c a r d 相 似 度 计 算 代 表 相 同 内 容 的 位 特 征 向 量 之 间 的 相 似 性 . 具 体 过 程 为 : 1 ) 计 算 两 个 向 量 并 集 的 基 数 ,   假 设 A 和 B 是 两 个 位 特 征 向 量 ,   那 么 两 个 向 量 并 集 的 基 数 是 A + B ,   按 位 求 并 的 结 果 向 量 中 “ 1 ” 的 数 目 ;   2 ) 计 算 两 个 向 量 交 集 中 基 数 ,   仍 然 基 于 上 述 假 设 ,   两 个 向 量 交 集 的 基 数 是 两 个 向 量 按 位 交 集 结 果 中 “ 1 ” 的 数 目 ;   3 ) 将 交 集 的 基 数 除 以 并 集 的 基 数 即 为 位 向 量 间 的 相 似 度 值 .   S u a r e z - T a n g i l 等 人 [ 8 9 ] 用 数 据 挖 掘 算 法 中 向 量 空 间 模 型 ,   展 示 家 族 的 恶 意 代 码 特 征 形 式 ,   将 同 家 族 提 取 出 来 的 具 有 代 表 性 的 C F G 元 素 作 为 特 征 中 维 度 ,   采 用 余 弦 算 法 对 不 同 家 族 的 向 量 空 间 模 型 进 行 相 似 度 计 算 ,   根 据 余 弦 值 来 判 断 它 们 的 相 似 性 ,   从 而 识 别 出 相 似 性 样 本 ,   进 而 归 属 到 对 应 的 家 族 . 用 于 比 较 向 量 的 余 弦 相 似 度 反 映 了 恶 意 代 码 间 的 相 似 性 ,   其 具 体 公 式 如 一 下 公 式 所 示 . 上 图 公 式 中 计 算 的 相 似 性 值 在 0 和 1 之 间 ,   并 且 基 于 阈 值 确 定 相 似 性 变 体 . 该 阈 值 与 相 似 性 分 析 结 果 的 准 确 性 密 切 相 关 ,   因 此 在 现 实 世 界 中 ,   如 果 要 寻 找 恶 意 软 件 变 体 ,   则 需 要 严 格 制 定 阈 值 . 4 )   图 特 征 的 相 似 性 计 算 图 特 征 的 相 似 性 计 算 图 特 征 的 相 似 性 计 算 涉 及 到 图 中 边 和 节 点 的 匹 配 ,   复 杂 性 比 较 高 . 文 献 [ 1 7 1 ] 提 出 采 用 的 是 最 小 距 离 匹 配 度 量 法 ,   比 较 不 同 样 本 的 C F G 图 特 征 的 相 似 性 . K i n a b l e 等 人 通 过 静 态 分 析 恶 意 代 码 的 系 统 调 用 图 ,   采 用 图 匹 配 的 方 式 计 算 图 相 似 性 得 分 ,   该 得 分 近 似 于 图 的 编 辑 距 离 . 利 用 该 得 分 比 较 样 本 的 相 似 性 ,   采 用 聚 类 算 法 将 样 本 进 行 聚 类 ,   实 现 家 族 分 类 [ 8 2 ] . F a n 等 人 [ 9 0 ] 将 A P I 调 用 图 的 敏 感 子 图 集 作 为 特 征 ,   为 了 计 算 图 之 间 的 相 似 度 ,   文 中 自 定 义 加 权 敏 感 A P I 子 图 匹 配 方 法 来 计 算 同 源 恶 意 行 为 的 图 形 之 间 的 相 似 度 ,   同 时 容 忍 较 小 的 实 现 差 异 . 文 献 [ 1 0 5 ] 采 用 两 个 匹 配 — — “ I n i t i a l   m a t c h i n g ” ,   “ s e c o n d   m a t c h i n g ” 和 统 计 模 型 来 计 算 样 本 特 征 的 相 似 性 . 在 “ I n i t i a l   m a t c h i n g ” 中 ,   匹 配 具 有 完 全 相 同 4 元 组 值 的 方 法 ;   在 “ s e c o n d   m a t c h i n g ” 中 ,   递 归 地 比 较 先 前 匹 配 方 法 的 P a r e n t / C h i l d 方 法 的 4 个 元 组 值 . P a r e n t 方 法 是 调 用 上 一 个 匹 配 方 法 的 方 法 ,   而 C h i l d 方 法 是 由 以 前 匹 配 的 方 法 调 用 的 方 法 . 基 于 上 述 描 述 表 明 : 针 对 不 同 的 特 征 形 式 可 以 采 用 同 一 种 算 法 ,   例 如 ,   J a c c a r d 系 数 既 可 以 用 于 集 合 形 式 的 相 似 性 计 算 ,   也 可 以 用 于 向 量 等 其 他 特 征 . 此 外 ,   在 实 际 的 特 征 相 似 性 分 析 中 ,   往 往 由 于 特 征 形 式 的 多 样 性 ,   会 采 用 多 种 相 似 性 计 算 方 法 结 合 使 用 . 上 述 相 似 性 比 较 方 法 中 : 基 于 集 合 的 比 较 方 法 实 现 简 单 ,   但 没 有 考 虑 变 量 间 的 相 关 性 ;   而 基 于 向 量 的 相 似 性 比 较 考 虑 了 变 量 的 位 置 关 系 ,   但 是 向 量 方 法 容 易 引 起 维 度 膨 胀 问 题 ;   基 于 序 列 的 相 似 性 比 较 考 虑 了 变 量 的 次 序 关 系 ,   但 缺 乏 元 素 间 的 相 关 性 分 析 ;   基 于 图 特 征 的 相 似 性 比 较 则 考 虑 了 变 量 间 的 语 义 相 关 性 ,   但 计 算 复 杂 度 大 ,   该 特 征 往 往 用 于 需 要 精 确 匹 配 的 场 景 中 . 上 述 相 似 性 比 较 的 粒 度 依 次 变 细 ,   在 实 际 溯 源 分 析 中 ,   需 要 结 合 应 用 需 求 ,   选 择 合 适 的 相 似 性 计 算 方 法 . 0 4 特 征 预 处 理 目 前 ,   学 术 界 常 见 的 同 源 判 定 方 法 主 要 包 括 基 于 聚 类 算 法 的 同 源 判 定 、 基 于 神 经 网 络 的 同 源 判 定 等 . 利 用 聚 类 算 法 操 作 相 似 性 值 获 取 待 测 样 本 同 源 度 ,   同 源 度 越 高 ,   溯 源 结 果 越 准 确 . 1 )   目 前 ,   在 恶 意 代 码 的 聚 类 中 ,   应 用 广 泛 的 聚 类 算 法 是 基 于 密 度 的 聚 类 算 法 、 划 分 聚 类 算 法 、 层 次 聚 类 算 法 、 近 邻 聚 类 算 法 , 具 体
图 5   聚 类 算 法 在 同 源 判 定 中 的 应 用 这 里 以 D B S C A N 聚 类 算 法 来 阐 述 其 聚 类 原 理 . D B S C A N 聚 类 搜 索 数 据 空 间 中 密 集 区 域 ,   并 与 低 密 度 区 域 分 隔 ,   低 密 度 区 域 样 本 被 认 为 是 “ 噪 音 ” ,   因 此 被 丢 弃 . D B S C A N 聚 类 一 共 包 括 4 个 阶 段 ,   步 骤 如 下 . ( 1 )   对 于 待 测 集 合 中 尚 未 检 查 过 的 对 象 p ,   如 p 未 被 处 理 过 ( 归 为 某 个 簇 或 者 标 记 为 噪 声 ) ,   则 检 查 其 邻 域 : 若 包 含 的 对 象 数 大 于 阈 值 ,   则 建 立 新 簇 C ,   将 其 中 的 所 有 点 加 入 候 选 集 N . ( 2 )   对 候 选 集 N 中 所 有 尚 未 被 处 理 的 对 象 q ,   检 查 其 邻 域 : 若 至 少 包 含 阈 值 个 对 象 ,   则 将 这 些 对 象 加 入 N ;   如 果 q 未 归 入 任 何 一 个 簇 ,   则 将 q 加 入 C . ( 3 )   重 复 步 骤 2 ) ,   继 续 检 查 N 中 未 处 理 的 对 象 ,   直 至 当 前 候 选 集 N 为 空 . ( 4 )   重 复 步 骤 1 ) ~ 步 骤 3 ) ,   直 到 所 有 对 象 都 归 入 了 某 个 簇 或 标 记 为 噪 声 . 图   6 描 述 了 在 训 练 时 间 内 子 簇 及 其 代 表 性 样 本 和 对 应 的 家 族 之 间 的 关 联 . 实 线 方 形 框 表 示 聚 出 来 的 家 族 ,   椭 圆 形 框 表 示 簇 ,   椭 圆 形 里 面 的 刺 边 圆 圈 表 示 簇 中 的 代 表 样 本 即 簇 中 心 . 新 样 本 输 入 时 ,   将 新 样 本 分 别 与 已 分 类 家 族 中 的 代 表 样 本 即 椭 圆 中 的 刺 边 圆 圈 进 行 相 似 性 计 算 ,   选 择 相 似 性 值 排 名 靠 前 的 样 本 ,   通 过 同 源 决 策 ( 选 择 相 似 性 样 本 的 平 均 值 ,   以 最 接 近 样 本 的 家 族 作 为 归 属 家 族 或 者 将 选 出 的 靠 前 几 个 候 选 样 本 交 给 人 工 分 析 等 决 策 方 法 ) ,   归 属 到 对 应 的 家 族 .
图   6   抽 象 聚 类 模 型 D B S C A N 聚 类 算 法 的 优 势 在 于 聚 类 时 不 需 要 事 先 指 定 聚 类 的 簇 数 ,   可 根 据 样 本 之 间 的 差 异 性 将 相 似 样 本 聚 为 一 类 . 此 外 ,   在 该 算 法 中 ,   高 密 度 区 域 可 以 是 任 意 形 状 ,   样 本 不 一 定 要 围 绕 单 个 中 心 ,   这 符 合 恶 意 代 码 演 化 、 衍 生 的 特 点 ,   适 用 于 同 源 性 恶 意 代 码 的 聚 类 . 基 于 聚 类 算 法 的 同 源 判 定 一 般 步 骤 如 下 . ●   设 置 聚 类 阈 值 . ●   利 用 聚 类 算 法 进 行 聚 簇 运 算 ,   使 得 同 一 簇 内 的 数 据 对 象 的 相 似 性 尽 可 能 大 ;   同 时 ,   不 在 同 一 簇 中 的 数 据 对 象 的 差 异 性 也 尽 可 能 地 大 . ●   同 源 判 定 ,   如 果 同 簇 中 属 于 同 一 家 族 或 同 一 作 者 的 多 ;   而 同 一 家 族 或 同 一 作 者 的 样 本 几 乎 很 少 出 现 的 不 同 簇 中 ,   则 表 明 聚 类 出 的 模 型 同 源 性 判 定 效 果 强 . 2 )   基 于 神 经 网 络 的 同 源 判 定 . 神 经 网 络 是 一 种 多 层 网 络 的 机 器 学 习 算 法 ,   可 以 处 理 多 特 征 以 及 复 杂 特 征 的 同 源 判 定 . 基 本 思 想 为 : 将 样 本 特 征 作 为 输 入 层 数 据 ,   然 后 不 断 调 整 神 经 网 络 参 数 ,   直 到 输 出 的 样 本 与 该 样 本 是 一 种 同 源 关 系 未 为 止 . 在 测 试 过 程 中 ,   将 恶 意 代 码 特 征 送 输 入 层 , 即 可 判 断 恶 意 代 码 的 同 源 性 . 赵 炳 麟 等 人 提 出 了 基 于 神 经 网 络 的 同 源 判 定 方 法 ,   其 整 体 实 现 框 架 如 图   7 所 示 . 图 7   基 于 C N N 的 恶 意 代 码 同 源 分 析 模 型 下 面 描 述 具 体 实 现 过 程 . ●   采 用 静 态 分 析 方 法 分 析 恶 意 代 码 ,   提 取 其 A P I 调 用 图 作 为 恶 意 代 码 样 本 的 特 征 ,   该 阶 段 操 作 为 图   7 中 的 “ 提 取 特 征 ” . ●   选 择 调 用 图 中 的 关 键 节 点 ,   使 其 能 够 与 卷 积 神 经 网 络 的 输 入 匹 配 ,   该 阶 段 为 图   7 中 的 “ 特 征 处 理 ” . 以 关 键 节 点 邻 域 构 建 感 知 野 ,   使 图 结 构 数 据 转 换 为 卷 积 神 经 网 络 能 够 处 理 的 结 构 ,   设 置 一 个 统 一 的 规 则 ,   使 图 的 邻 域 到 感 知 野 是 一 条 单 射 函 数 ,   从 而 保 证 具 有 相 似 结 构 特 征 和 属 性 的 节 点 能 够 映 射 到 感 知 野 的 相 似 区 域 . 这 个 过 程 是 对 关 键 节 点 及 其 邻 近 节 点 的 一 个 规 范 化 的 过 程 , 至 此 ,   特 征 向 量 构 建 完 毕 . ●   将 特 征 向 量 输 入 C N N 模 型 进 行 训 练 ,   直 到 模 型 处 于 稳 定 状 态 . 至 此 ,   基 于 C N N 的 恶 意 代 码 同 源 判 定 模 型 建 立 完 毕 . ●   对 8 个 家 族 的 恶 意 样 本 进 行 测 试 ,   实 验 结 果 表 明 ,   恶 意 代 码 同 源 性 分 析 的 准 确 率 达 到 9 3 % ,   并 且 针 对 恶 意 代 码 检 测 的 准 确 率 达 到 9 6 % . 根 据 上 述 研 究 发 现 ,   基 于 聚 类 算 法 的 同 源 判 定 过 程 为 不 断 调 整 聚 类 阈 值 、 测 试 其 同 源 性 强 度 的 过 程 . 在 该 过 程 中 存 在 以 下 问
题 : 1 ) 图 特 征 的 相 似 性 计 算 是 个 N P 问 题 ,   计 算 复 杂 度 大 ;   2 ) 当 出 现 多 类 型 特 征 共 存 时 ,   需 要 考 虑 不 同 类 型 特 征 带 来 的 影 响 ,   导 致 相 似 性 判 定 模 型 变 得 复 杂 ,   影 响 同 源 判 定 结 果 . 而 基 于 神 经 网 络 的 聚 类 算 法 主 要 的 运 算 是 对 其 调 参 过 程 ,   只 要 特 征 满 足 该 神 经 网 络 模 型 的 输 入 标 准 ,   即 使 包 含 多 类 型 特 征 ,   依 然 可 执 行 同 源 判 定 . 阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 07:24 , Processed in 0.370179 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表