一种基于行为集成学习的恶意代码检测方法

为了解决变种恶意代码、未知威胁行为恶意分析等问题,研究了基于梯度提升树的恶意代码分类方法,从大量样本中学习程序行为特征和指令序列特征,实现了智能恶意代码分类功能.将GBDT算法引入恶意代码检测领域,使模型结果行为序列具有可解释性,对恶意代码的检测能力大幅提高.GBDT算法能够客观地反映恶意代码的行为和意图本质,能够准确识别恶意代码.     

基于LZW算法的未知恶意代码检测方法

为克服传统方法在特征提取上存在的缺陷,提出一种基于Lempel-Ziv-Welch(LZW)压缩算法的未知恶意代码检测方法.忽略未知恶意代码结构将其看成字符串流,依据事先确定的阈值限制抽取的字符串长度,以实现处理效率和性能间的折衷;将所抽取的字符串按照其类别建立符合统计特性的压缩字典,即正常代码和恶意代码字典;利用2个字典对待测文件进行压缩,得到不同的压缩率,依据最小描述长度原则将其归类为能取得最好压缩率的类别,达到检测未知恶意代码的目的.实验结果表明,基于LZW算法的检测方法对未知恶意代码具有较好的识别效果.     

基于肯定选择分类算法的恶意代码检测方法

针对恶意代码,尤其是顽固、隐匿的未知恶意代码危害日益加剧的问题,提出一种基于肯定选择分类算法的恶意代码检测方法.将样本文件转换成十六进制格式,提取样本文件的所有n-gram,计算具有最大信息增益的N个n-gram的词频,并做归一化处理,采用改进的肯定选择分类算法进行分类.该方法保留了肯定选择分类算法高分类准确率的优点,优化了分类器训练过程,提高了训练和检测效率.结果表明,该方法的检测效果优于朴素贝叶斯、贝叶斯网络、支持向量机和C4.5决策树等算法.     

C4．5算法在未知恶意代码识别中的应用

基于行为的分析方法是恶意代码检测技术的发展方向,但存在误报率和漏报率较高的问题,故提出一种在Windows平台下检测未知恶意代码的新方法,以PE文件动态调用的API函数为研究对象,使用足长度的滑动窗口提取代码的所有特征属性,并采用决策树C4．5算法来检测未知恶意代码．实验结果表明,与其他基于行为的恶意代码识别算法相比,该算法具有较低的漏报率和误报率．     

改进贝叶斯算法在未知恶意软件识别中的研究

为改进朴素贝叶斯(naive Bayes,NB)算法在识别未知恶意代码过程中学习速度慢的缺点,在分析研究朴素贝叶斯算法、复合贝叶斯(mu lti-naive Bayes,MNB)算法的基础上,提出了一种改进贝叶斯(half-increm entnaive Bayes,HNB)算法.算法采用特征集增量学习方式,在保证分类精度不降低的前提下,学习速度提高约30%.实际样本测试表明,分类精度达到了96%,其中对已知恶意代码的分类精度达到99%.     

字符串特征集生成方法

为提高未知恶意代码的识别精度,分析了特征集的选取方法对未知恶意代码分类精度的影响,提出了一种采用字符串描述构造特征集的方法,从恶意代码或正常文件中提取出字符串原始特征,引入频繁项目集方法进行特征选择,压缩特征集维数.经比较实验结果证明,该方法可提高分类器学习效率,同时能保证分类器具有较高的分类精度.     

基于汇编语言解析的未知病毒检出手法

病毒检测与防御是计算机安全中的一个很重要的研究课题。目前,计算机病毒的花样不断地翻新,并大量使用了多重加密壳、变形、多态,传统的恶意代码查杀技术很难进行正确的查杀,这是因为病毒代码被感染后,为了躲避检测会对自己本身的代码修改替换。即使是针对未知的恶意代码,如果只是运用简单的模式匹配算法,也会被恶意代码欺骗而逃避检测。本文介绍了一种能够检测以上未知恶意代码的方法。具体来说,首先将病毒的二进制代码进行反汇编,在汇编代码层次上进行检出以及通过汇编层次检测出的模式学习和根据学习结果的分类判定来进行检测。     

基于属性相似度的恶意代码检测方法

针对未知恶意代码数量急剧增长,现有的检测方法不能有效检测的问题,提出一种基于属性相似度的恶意代码检测方法.该方法将样本文件转换成十六进制格式,提取样本文件的所有n-gram,计算每个n-gram的信息增益,并选择具有最大信息增益的N个n-gram作为特征属性,分别计算恶意代码和正常文件每一维属性的平均值,通过比较待测样本属性与恶意代码和正常文件两类别属性均值的相似度来判断待测样本类别.结果表明,该方法对未知恶意代码的检测性能优于基于n-gram的恶意代码检测方法.     

云计算下手机人工免疫恶意代码检测模型

提出一种适用于云计算环境的基于人工免疫的手机恶意代码检测模型。提出扩展阴性选择算法,提取恶意代码的特征编码生成抗原,增加针对高亲和度检测器的克隆和变异算子,提高成熟检测器的生成效率,在特征检测和检测器生成阶段引入MapReduce并行处理机制,提高计算效率。仿真结果表明,检测模型对未知手机恶意代码具有较高的检测率和计算效率。     

未知流量数据的智能特征提取与实时分类识别算法

网络协议和应用的不断变化、网络流量的高速增长,都对流量识别方法提出越来越高的要求。为适应复杂多变的网络环境,提出一种未知流量数据的智能特征提取与实时分类识别算法。该算法通过构建深度学习卷积神经网络实现网络流量特征的自动学习,不仅能够实时识别已知流量,还能进一步对未知流量进行实时分类,并感知新出现的未知流量从而创建新的未知类。通过数据量和特征库的不断积累,达到扩充识别种类(包括已知和未知)、提高系统实时识别能力的目的。实验结果表明,该算法在已知流量和未知流量的实时分类识别上均具有较高的识别准确率。     

静态修改PE输入表注入DLL的检测方法研究

该文研究静态修改PE输入表注入DLL的检测,提出了基于合法范围的普通检测方法和基于异常回溯的深度检测方法。第一种方法从静态的角度,对所有DLL的数据结构排列范围进行计算,无需解析DLL的功能来推断其是否恶意。第二种方法将调试的思想用于恶意DLL检测,控制目标程序的运行,跟踪目标程序初始化阶段中的DLL加载过程,并将调试API用于异常捕获,以实现检测。使用C++设计DLL检测实验,将编写的具有下载功能的DLL注入到目标程序,设计开发检测工具DLL Detector进行检测;实验成功地从静态阶段和程序初始化阶段检测出可疑模块。两种方法均支持32位和64位可执行文件,可防御恶意代码。     

面向Android支付破解应用的检测方法

Android破解应用存在侵犯合法软件权益和传播恶意代码的风险.为有效检测Android平台上的支付破解应用,提出一种基于机器学习的检测方法.针对反汇编的字节码文件构建了支付语义信息调用控制流和支付数据库操作函数集,通过n-gram和重复代码子块长度统计方法构造相应特征集,最后构建带决策机制的多分类器检测模型以识别Android应用中不同的支付破解行为.实验结果表明,所提检测方法的模型检测精确率为85.24%,AUC值为0.87,与同类方法相比,对支付破解类应用的检测率有显著提高,有效解决了支付破解应用的检测问题.     

基于机器学习的网页恶意代码检测方法

网络中大量的恶意网页已经成为网络用户的主要安全威胁。本文提出了一种基于机器学习分类器的网页恶意JavaScript代码分析方法。通过对训练样本训练学习,建立分类模型,最后对测试样本检测。实验表明,本方法能够有效的检测出大部分恶意网页JavaScript代码,检测准确率达到88．5％     

Android界面劫持攻击检测

Android界面劫持是一种通过劫持用户使用过程中的界面输入流窃取用户隐私信息的攻击方式。本文首先通过实验验证了该攻击在安卓多个版本上的有效性,继而分析了包含界面劫持攻击的恶意应用的4个必备特征,提出了一种基于代码特征以及多组件数据流跟踪的静态检测方法AHDetector（activity hijacking detector）。AHDetector方法包括4个步骤：通过分析manifest配置文件,判断被检测应用是否申请了外传数据的敏感权限;根据代码特征判断被检测应用中是否同时存在界面劫持攻击必备的3种功能组件：后台扫描组件,劫持界面组件以及隐私外传组件;通过分析组件间的调用关系,判断应用中具有扫描功能的组件与接受界面输入的组件之间是否存在调用关系;通过组件间数据流分析,确定劫持界面组件和隐私外传组件之间是否存在隐私数据的传递。继而判定被检测应用是否包含界面劫持攻击。为了验证AHDetector的检测效果,本文设计实现了覆盖界面劫持功能组件所有逻辑路径的18个样例来测试方法的有效性,同时采用了4个应用锁样例来检测误判性。测试结果表明,AHDetector能够有效的检测出应用中所有的界面劫持攻击行为,同时不会误判,而6个常见的恶意应用在线检测平台（Andrubis、VirusTotal、visualThreat、安全管家在线检测、腾讯安全实验室在线检测、网秦安全）则不能检测出界面劫持攻击行为。     

手机恶意代码分析及预防

从恶意代码的定义引入手机恶意代码的概念,比较手机恶意代码与计算机恶意代码的异同,总结其特征和攻击方式,从中简析其机理和关键,并预测其发展趋势.