基于Win32API的未知病毒检测  

Unknown virus detection based on Win32 API

作　　者：陈亮[1] 郑宁[1] 郭艳华[1] 徐明[1] 胡永涛[2] 

机构地区：[1]杭州电子科技大学计算机学院,杭州310018 [2]公安部第三研究所,上海201204

出　　处：《计算机应用》2008年第11期2829-2831,共3页journal of Computer Applications

基　　金：浙江省自然科学基金资助项目(Y106176);浙江省科技厅计划项目(2007C33058);上海市科委基金资助项目(06511502)

摘　　要：提出了一个基于行为特征向量的病毒检测方法。特征向量的每一维用于表示一种恶意行为事件,每一事件由相应的Win32应用程序编程接口(API)调用及其参数表示,并实现了一个自动化行为追踪系统(Argus)用于行为特征的提取。试验中,通过对样本数据的分析,利用互信息对特征向量进行属性约简,减少特征维数。试验结果表明,约简后的模型对于发生行为事件数大于1的病毒程序仍有着较好的检测效果。This paper proposed a virus detection method using behavior feature vector. Each dimension of the vector stood for a malicious behavior event represented by corresponding Win32 API calls and their certain parameters. An automatic executable behavior tracing system （Argus） was also implemented to dynamically capture the events. In the experiment, attribute reduction was applied to mutual information to decrease the number of dimension after an analysis of the sample dataset. Experimental result suggests that model after attribute reduction is still efficient in detecting unknown virus which has more than one event captured.

关 键 词：恶意行为 Win32应用程序编程接口 互信息 属性约简 

分 类 号：TP309.5[自动化与计算机技术—计算机系统结构]