基于线程融合特征的Windows恶意代码检测与分析

doi:10.3778/j.issn.1002-8331.2002-0353

计算机工程与应用 ›› 2020, Vol. 56 ›› Issue (23): 103-108.DOI: 10.3778/j.issn.1002-8331.2002-0353

基于线程融合特征的Windows恶意代码检测与分析

周杨，芦天亮，杜彦辉，郭蕊，暴雨轩，李默

中国人民公安大学警务信息工程与网络安全学院，北京 100038

出版日期:2020-12-01 发布日期:2020-11-30

Detection and Analysis of Windows Malicious Code Based on Thread Fusion Feature

ZHOU Yang, LU Tianliang, DU Yanhui, GUO Rui, BAO Yuxuan, LI Mo

School of Police Information Engineering and Cyber Security, People’s Public Security University of China, Beijing 100038, China

Online:2020-12-01 Published:2020-11-30

摘要/Abstract

摘要：

针对当前恶意代码动态分析中存在的提取特征方式单一、检测率低、误报率高等问题，提出一种线程融合特征分析检测方法。基于传统沙箱分析报告，该方法利用线程号分别建立样本API调用序列，将API线程内的调用顺序及返回值作为API参数构建特征，在特征处理阶段分别用统计、计算两种方法构建两类特征，并将LR（Logistic Regression）算法改进的Vec-LR算法用于二分类判断，并与其他算法及软件进行比较。经实验证明，该方法准确率优于当前主流检测方法，可达94.37%。

关键词: 恶意代码, 动态分析, 线程融合特征

Abstract:

Aiming at the problems of single feature extraction, low detection rate and high false alarm rate in the current dynamic analysis of malicious code, a thread fusion feature analysis and detection method is proposed. Based on the traditional sandbox analysis report, this method uses the thread number to establish the sample API call sequence, takes the call sequence and return value in the API thread as the characteristics of API parameter construction, uses the statistical and computational methods to construct the two types of characteristics in the feature processing stage, and uses the Vec-LR algorithm improved by LR algorithm for binary judgment, and compares it with other algorithms and software. Experimental results show that the accuracy of this method is better than the current mainstream detection method, up to 94.37%.

Key words: malicious code, dynamic analysis, thread fusion feature

周杨，芦天亮，杜彦辉，郭蕊，暴雨轩，李默. 基于线程融合特征的Windows恶意代码检测与分析[J]. 计算机工程与应用, 2020, 56(23): 103-108.

ZHOU Yang, LU Tianliang, DU Yanhui, GUO Rui, BAO Yuxuan, LI Mo. Detection and Analysis of Windows Malicious Code Based on Thread Fusion Feature[J]. Computer Engineering and Applications, 2020, 56(23): 103-108.

[1]	杜垚. 结合局部优化匹配的Android恶意家族检测算法[J]. 计算机工程与应用, 2021, 57(8): 84-90.
[2]	陈小寒，魏书宁，覃正泽. 基于深度学习可视化的恶意软件家族分类[J]. 计算机工程与应用, 2021, 57(22): 131-138.
[3]	任卓君，陈光，卢文科. 恶意软件的操作码可视化方法研究[J]. 计算机工程与应用, 2021, 57(18): 130-134.
[4]	王国栋，芦天亮，尹浩然，张建岭. 基于CNN-BiLSTM的恶意代码家族检测技术[J]. 计算机工程与应用, 2020, 56(24): 72-77.
[5]	王鹏，努尔布力，苏芮. 恶意代码检测研究前沿与发展趋势的计量分析[J]. 计算机工程与应用, 2019, 55(8): 92-101.
[6]	张翔飞1，2，彭国军1，2，朱泽瑾1，2. 基于多层次行为差异的沙箱逃逸检测及其实现[J]. 计算机工程与应用, 2018, 54(13): 111-116.
[7]	陈琪1，蒋国平2，夏玲玲3. 基于静态结构的恶意代码同源性分析[J]. 计算机工程与应用, 2017, 53(14): 93-98.
[8]	任卓君，韩秀玲，孔德凤，陈光. 像素归一化方法在恶意代码可视分析中的应用[J]. 计算机工程与应用, 2016, 52(21): 121-125.
[9]	钱雨村，彭国军，王滢，梁玉. 恶意代码同源性分析及家族聚类[J]. 计算机工程与应用, 2015, 51(18): 76-81.
[10]	姜政伟1，2，王晓箴1，2，刘宝旭2. 基于最小攻击树的UEFI恶意行为检测模型[J]. 计算机工程与应用, 2012, 48(32): 14-17.
[11]	李志勇¹，薛亮²，陶然¹，张昊¹. 跨安全域网页恶意代码运行机理与防范[J]. 计算机工程与应用, 2010, 46(21): 135-137.
[12]	戴航,慕德俊,张慧翔. VCP拥塞控制协议公平性收敛的动态分析[J]. 计算机工程与应用, 2009, 45(13): 130-132.
[13]	陈超,李俊,孔德光,帅建梅. 模型检测迷惑二进制恶意代码[J]. 计算机工程与应用, 2008, 44(15): 61-64.
[14]	陈泽茂¹,柳景超¹,周立兵¹,沈昌祥². 开放系统的恶意代码防御模型[J]. 计算机工程与应用, 2007, 43(33): 127-128.
[15]	王飞¹,刘威鹏²,沈昌祥³. 应用可信传递模型研究[J]. 计算机工程与应用, 2007, 43(29): 1-3.

基于线程融合特征的Windows恶意代码检测与分析

Detection and Analysis of Windows Malicious Code Based on Thread Fusion Feature

PDF

可视化

摘要/Abstract

引用本文

使用本文

参考文献

相关文章 15

编辑推荐

Metrics