基于调用习惯的恶意代码自动化同源判定方法  

An Automatic Malware Homology Identification Method Based on Calling Habits

作　　者：乔延臣 云晓春[1,3] 张永铮[3] 李书豪[3] 

机构地区：[1]中国科学院计算技术研究所,北京100190 [2]中国科学院大学,北京100049 [3]中国科学院信息工程研究所,北京100093

出　　处：《电子学报》2016年第10期2410-2414,共5页Acta Electronica Sinica

基　　金：国家自然科学基金(No.61303261);国家863高技术研究发展计划(No.2013AA014703;No.2012AA012803);国家242信息安全计划(No.2014A094);中国科学院战略性科技先导专项(No.XDA06030200)

摘　　要：恶意代码同源判定对作者溯源、攻击事件责任判定、攻击场景还原等研究工作具有重要作用.目前恶意代码同源判定方法往往依赖人工分析,效率低下,为此,提出一种基于调用习惯的恶意代码自动化同源判定方法.该方法基于7类调用行为,使用数据挖掘算法构建作者编程习惯模型,基于频繁项离群检测算法计算同源度,利用K均值聚类算法选择同源判定阈值,进而实现恶意代码同源判定.实验结果表明,该方法具有99%以上的准确率和可接受的召回率.Malware homology identification is useful for malware authorship attribution,attack scenario restoration,and so on. Current malware homology identification methods still rely on manual analysis,which is inefficient and time-consuming. In order to improve the effectiveness and efficiency,an automatic malware homology identification method is proposed. Based on 7-class calling behaviors,this method constructs a model of calling habits using data mining algorithms.Then it calculates the degree of homology based on Frequent Pattern Outlier Factor. Finally,it chooses the threshold values using k-means clustering algorithm to identify homology. The experimental evaluations on real-world malwares showour method achieves high accuracy（ over 99%） and acceptable recall rate.

关 键 词：网络安全 恶意代码 同源判定 调用习惯 自动化 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]