基于模糊模式识别的未知病毒检测

提出了一种基于模糊模式识别的检测方法来实现对计算机病毒的近似判别。该方法可以克服病毒特征代码扫描法不能识别未知病毒的缺点。在该检测方法的基础上,文中设计了一个病毒检测网络模型,此模型既可以实现对已知病毒的查杀,又可以对可疑程序行为进行分析评判,最终实现对未知病毒的识别。     

面向PE病毒检测的行为特征分析方法研究

目前,计算机病毒的存在成为了信息安全的一大威胁,其中以Windows32 PE文件为感染目标的PE病毒最为盛行,功能最强,分析难度也最大。对此,本文研究了一种面向PE病毒检测的行为特征分析方法,详细分析PE病毒执行过程中的关键行为特征、一般行为特征等,并以其十六进制行为字符串特征码作为PE病毒的检测依据,通过对可疑PE文件中字符串的匹配实现PE病毒的启发式检测。     

基于多重朴素贝叶斯算法的未知病毒检测

提出了一种基于多重朴素贝叶斯分类算法的检测方法来实现对计算机病毒的近似判别。该法可以克服病毒特征代码扫描法不能识别未知病毒的缺点。在该检测方法的基础上，设计了一个病毒检测网络模型，该模型既可以实现对已知病毒的查杀，又可以对可疑程序行为进行分析评判，最终实现对未知病毒的识别。     

基于K-最近邻算法的未知病毒检测

因为准确检测计算机病毒是不可判定的,故该文提出了一种基于实例学习的k-最近邻算法来实现对计算机病毒的近似检测。该法可以克服病毒特征代码扫描法不能识别未知病毒的缺点。在该检测方法的基础上,文章设计了一个病毒检测网络模型,此模型适用于实时在线系统中的病毒检测,既可以实现对已知病毒的查杀,又可以对可疑程序行为进行分析评判,最终实现对未知病毒的识别。     

一种未知病毒智能检测系统的研究与实现

设计了一种用于检测未知计算机病毒的查毒系统,其检测引擎基于模糊模式识别的算法实现,检测过程中选用的特征向量是被测试程序所引用的API函数调用序列.该系统既可以实现对已知病毒的查杀,又可以对可疑程序行为进行分析评判,最终实现对未知病毒的识别.最后,收集了423个Windows PE格式的正常程序和209个病毒程序组成样本空间进行实验以测试系统的性能.     

基于PE文件结构异常的未知病毒检测

目前基于行为分析的未知病毒检测方法,需要可执行文件运行后才能检测到,无法检测出以静态形式存在计算机中的病毒文件.文中提出了一种基于静态文件的未知病毒检测新技术,通过分析PE文件结构中的异常值,运用贝叶斯方法和支持向量机来识别静态和非静态的未知病毒.相比基于行为分析的未知病毒检测方法,在不需要运行可执行文件的情况下即可检测出是否可能为未知病毒文件.本方法相比基于函数调用API序列的数据挖掘方法的病毒检测方法,不需要对文件进行脱壳等复杂计算处理,明显提高了检测速度.试验结果表明,该方法对未知病毒有较快的检测速度、较高的识别率和较低的误判率.     

一种基于指令的PE病毒检测策略

分析PE文件的格式和PE病毒的感染方法,然后讨论PE病毒常用的指令,进而指出一种能检测PE病毒的方法:指令检测法,该方法能有效地检测到已知和未知的PE病毒.     

Web恶意代码主动检测与分析系统的设计与实现

在深入研究了客户端蜜罐的基础上,提出了动态与静态相结合的Web恶意代码检测方法,实现了Web恶意代码主动检测与分析系统(HoneyCat).该系统主动对指定的网站进行检测,并对可疑的页面进行分析,通过动态跟踪检测IE进程对注册表和文件的操作以及其网络行为,发现是否存在可疑行为,然后对有可疑行为的网页进行静态分析.静态分析利用漏洞特征库定位恶意代码的准确位置和所利用的漏洞.对于无法识别所利用漏洞的页面生成一个分析文件,为手工分析提供帮助,有助于对漏洞的研究,并有机会发掘未知漏洞.经过测试发现该系统运行稳定,准确率高,能有效地检测出页面中的恶意代码.     

基于分类的未知病毒检测方法研究

文章提出了一种以PE文件静态信息作为特征,通过分类来对未知病毒进行检测的方法。采用初始聚类中心优化的K—means聚类算法实现对病毒文件的相似度检测,无需运行PE文件即可判定是否为病毒。该方法可以克服病毒特征码扫描技术无法识别未知病毒的缺点,且相对于API序列检测方法免去了对文件进行脱壳等复杂操作,明显提高了检测速度。实验结果表明分类检测方法具有较好的准确性,有一定的应用价值。     

一种新型病毒主动防御技术与检测算法

在已有的病毒行为分析和模式识别技术的基础上,提出以用户行为模式为核心的主动防御策略,即识别用户的正常行为模式,在检测到异常行为时,判断出系统是否遭受到了恶意攻击。这种策略不依赖于恶意程序的繁衍和变迁,可以使防御技术不受制于恶意程序。对该防御策略进行了实现,并在虚拟执行环境下进行了实验,实验结果表明,该策略对未知病毒有较高的识别度。     

采用Win32 API相关行为分析的未知病毒检测方法

针对目前基于行为分析的未知病毒检测方法需要运行可执行程序,无法检测出以静态形式存在计算机中的滴管等病毒的问题,提出了一种基于Win32 API相关行为检测PE未知病毒的方法。首先解析PE文件提取其调用的敏感Win32 API函数,然后将这些API函数按相关的恶意行为分类并形成维数固定的特征行为向量存入数据库。采用基于判别熵最小化的特征提取法自适应的精简特征项,最后利用改进的K-最近邻算法进行分类。实验结果表明,该方法具有较高的命中率和较低的漏判率,适用于"云安全"系统中未知病毒的检测。     

基于API序列分析和支持向量机的未知病毒检测

提出了一种在Windows平台下检测未知病毒的新方法,以PE文件调用的WinAPI序列为特征，运用支持向量机分类来检测未知病毒。实验结果表明，所实现BK 50系统对未知病毒具有较好的识别效果。     

基于神经网络集成的Windows病毒检测方法研究

该文针对Win32PE病毒种类多,破坏力强的特点,提出一种基于神经网络集成的病毒检测方法。神经网络集成采用负相关学习方法进行训练,采用n-gram特征字统计方法得到病毒特征字,计算特征字信息条件熵,来选择作为训练样本的特征字。实验结果表明,神经网络集成改善了传统的特征字比对法不能识别新的病毒,容易被病毒制造者克服的缺点,在保证对Win32PE病毒较高的检测率的同时保持了较低的误检率。     

一种基于双层语义的Android原生库安全性检测方法

原生代码已在Android应用中广泛使用,为恶意攻击者提供了新的攻击途径,其安全问题不容忽视。当前已有Android恶意应用检测方案,主要以Java代码或由Java代码编译得到的Dalvik字节码为分析对象,忽略了对原生代码的分析。针对这一不足,提出了一种基于双层语义的原生库安全性检测方法。首先分析原生方法Java层语义,提取原生方法函数调用路径,分析原生方法与Java层的数据流依赖关系以及原生方法函数调用路径的入口点。对于原生代码语义,定义了数据上传、下载、敏感路径读写、敏感字符串、可疑方法调用5类可疑行为,基于IDA Pro和IDA Python对原生代码内部行为进行自动分析。使用开源机器学习工具Weka,以两层语义作为数据特征,对5336个普通应用和3426个恶意应用进行了分析,最佳检测率达到92.4%,表明所提方法能够有效检测原生库的安全性。     

TLSmell: Direct Identification on Malicious HTTPs Encryption Traffic with Simple Connection-Specific Indicators

Internet traffic encryption is a very common traffic protection method. Most internet traffic is protected by the encryption protocol called transport layer security (TLS). Although traffic encryption can ensure the security of communication, it also enables malware to hide its information and avoid being detected. At present, most of the malicious traffic detection methods are aimed at the unencrypted ones. There are some problems in the detection of encrypted traffic, such as high false positive rate, difficulty in feature extraction, and insufficient practicability. The accuracy and effectiveness of existing methods need to be improved. In this paper, we present TLSmell, a framework that conducts malicious encrypted HTTPs traffic detection with simple connection-specific indicators by using different classifiers based online training. We perform deep packet analysis of encrypted traffic through data pre-processing to extract effective features, and then the online training algorithm is used for training and prediction. Without decrypting the original traffic, high-precision malicious traffic detection and analysis are realized, which can guarantee user privacy and communication security. At the same time, since there is no need to decrypt the traffic in advance, the efficiency of detecting malicious HTTPs traffic will be greatly improved. Combined with the traditional detection and analysis methods, malicious HTTPs traffic is screened, and suspicious traffic is further analyzed by the expert through the context of suspicious behaviors, thereby improving the overall performance of malicious encrypted traffic detection.     

采用行为分析的单机木马防护系统设计与实现

针对基于特征代码的静态木马检测技术的不足,通过实时监控程序的可疑行为,运用贝叶斯算法分析程序行为特征进而发现木马程序,并对恶意木马程序的非授权操作进行修复,设计并实现了一个基于行为分析的单机木马防护系统。实验表明:该木马防护系统在对检测率影响较小的前提下,显著降低了误报率。     

受免疫启发的未知病毒检测技术(英文)

受免疫原理在入侵检测系统中成功应用的启发,提出了一种基于免疫的检测未知病毒的通用检测技术。由于病毒需要重定位模块来访问自己的资源,而这在正常程序中不常见,故可利用重定位模块来生成检测未知病毒的检测器。分析了计算机病毒的逻辑结构,建立了自体和非自体的演化方程、抗原提呈及抗体生成方法。实验表明,该技术不仅可检测已知病毒,还能有效检测未知病毒,且有自适应和自学习能力。     

基于人工免疫原理的未知病毒检测方法

提出了一种基于人工免疫原理的未知病毒检测方法。通过对进程行为的检测来提呈抗原，进而定义了自体，并给出了一个基于免疫细胞机制的检测算法来检测未知病毒。实验结果表明这是一种有效地检测未知病毒的方法。