基于行为依赖特征的恶意代码相似性比较方法

• 作者: 冯登国 应凌云 杨轶 苏璞睿
• 来源期刊: 软件学报
• 学科: 工学
• 关键词: 恶意代码 相似性比较 动态分析 污点传播
• 年，卷（期）: 2011,（10）
• 所属期刊栏目: 计算机网络与信息安全
• 页码范围: 2438-2453
• 分类号: TP309
• 字数: 13917字
• 语种: 中文
• DOI: 10.3724/SP.J.1001.2011.03888

摘要

恶意代码相似性比较是恶意代码分析和检测的基础性工作之一,现有方法主要是基于代码结构或行为序列进行比较.但恶意代码编写者常采用代码混淆、程序加壳等手段对恶意代码进行处理,导致传统的相似性比较方法失效.提出了一种基于行为之间控制依赖关系和数据依赖关系的恶意代码相似性比较方法,该方法利用动态污点传播分析识别恶意行为之间的依赖关系,然后,以此为基础构造控制依赖图和数据依赖图,根据两种依赖关系进行恶意代码的相似性比较.该方法充分利用了恶意代码行为之间内在的关联性,提高了比较的准确性,具有较强的抗干扰能力;通过循环消除、垃圾行为删除等方法对依赖图进行预处理,降低了相似性比较算法的复杂度,加快了比较速度.实验结果表明,与现有方法相比,该方法的准确性和抗干扰能力均呈现明显优势.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	冯登国	信息安全国家重点实验室中国科学院软件研究所	60	2071	22.0	45.0
5	苏璞睿	信息安全国家重点实验室中国科学院软件研究所	6	309	6.0	6.0
6	杨轶	信息安全国家重点实验室中国科学院软件研究所	2	48	2.0	2.0
10	应凌云	信息安全国家重点实验室中国科学院软件研究所	2	82	2.0	2.0