基于行为依赖特征的恶意代码相似性比较方法

摘要：

恶意代码相似性比较是恶意代码分析和检测的基础性工作之一,现有方法主要是基于代码结构或行为序列进行比较.但恶意代码编写者常采用代码混淆、程序加壳等手段对恶意代码进行处理,导致传统的相似性比较方法失效.提出了一种基于行为之间控制依赖关系和数据依赖关系的恶意代码相似性比较方法,该方法利用动态污点传播分析识别恶意行为之间的依赖关系,然后,以此为基础构造控制依赖图和数据依赖图,根据两种依赖关系进行恶意代码的相似性比较.该方法充分利用了恶意代码行为之间内在的关联性,提高了比较的准确性,具有较强的抗干扰能力;通过循环消除、垃圾行为删除等方法对依赖图进行预处理,降低了相似性比较算法的复杂度,加快了比较速度.实验结果表明,与现有方法相比,该方法的准确性和抗干扰能力均呈现明显优势.

关键词：恶意代码、相似性比较、动态分析、污点传播

所属期刊栏目：22

分类号：TP309(计算技术、计算机技术)

资助基金：国家自然科学基金60703076;国家高技术研究发展计划8632007AA012451,2009AA01Z435

在线出版日期：2012-02-21（万方平台首次上网日期，不代表论文的发表时间）

页数：共16页

页码：2438-2453