恶意代码同源性分析及家族聚类  

Homology analysis of malicious code and family clustering

作　　者：钱雨村 彭国军[1] 王滢[1] 梁玉[1] 

机构地区：[1]武汉大学计算机学院,武汉430072

出　　处：《计算机工程与应用》2015年第18期76-81,共6页Computer Engineering and Applications

基　　金：国家自然科学基金(No.61202387;No.61202385;No.61373168);博士后基金(No.2012M510641);博士点基金(No.20120141110002)

摘　　要：针对恶意代码数量呈爆发式增长,但真正的新型恶意代码却不多,多数是已有代码变种的情况,通过研究恶意代码的行为特征,提出了一套判别恶意代码同源性的方法。从恶意代码的行为特征入手,通过敏感恶意危险行为以及产生危险行为的代码流程、函数调用,应用反汇编工具提取具体特征,计算不同恶意代码之间的相似性度量,进行同源性分析比对,利用DBSCAN聚类算法将具有相同或相似特征的恶意代码汇聚成不同的恶意代码家族。设计并实现了原型系统,实验结果表明提出的方法能够有效地对不同恶意代码及其变种进行同源性分析及判定。With the problem of the explosive growth of malicious code and many of the malicious samples are variations of previously encountered samples, this paper presents a novel approach to investigate the homology of malicious code based on behavior characteristics. To distinguish the variations of malicious code, it studies the malicious behavior of malwares,then computes the similarity of characteristics and the call graphs which are extracted by disassembly tools. It employs the clustering algorithms of DBSCAN to discover the family of malicious code. Experiments show that it effectively investigates the homology of malicious code and cluster variations into different malicious code family.

关 键 词：恶意代码 同源性 静态分析 函数调用 行为特征 聚类 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]