基于二进制操作码语义优化的静态病毒检测

《基于二进制操作码语义优化的静态病毒检测》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、２７０ＴＰ３９：１３学校代码：１０分类号：学号５２５０２８４上善岬汔大ｆ硕士专业学位论文基于二进制操作码语义优化的静态病毒检测：信息与机电工程学院学院：工程硕士专业学位类别专业领域：．计算机技术．研究生姓名：许国宁：洪璇指导教师－０－２０完成日期：２１８５上海师范大学硕士学位论文摘要摘要恶意软件往往利用计算机系统漏洞和安全防御机制的落后来达到恶意破坏或窃取资料等目的。安全防御机制的目标就是能检测出恶意软件、查杀并恢复其已经造成的破坏、同时制定预防措施，其中最基本的任务就是检测恶意软件。传统的检测一般都是基于人工提取形成的特征库。但是随着恶意

2、软件数量与日俱增，人工分析检测远远不能达到安全防御机制的目标。现阶段提取特征结合分类算法检测恶意软件取得了较好的效果，这些特征能够反映恶意软件行为功能和信息，包括文件结构的信息、系统调用API、操作码、十六进制字节等。本文主要做了如下两项工作：1.针对软件保护技术对样本进行预处理后，提取并对二进制操作码特征进行语义上的去混淆和去冗余，形成N-Gram序列，计算信息增益以筛选分类效果更好的特征序列，并使用支持向量机算法计算最终的检测效果。2.在第一项工作的预处理、特征形式、筛选算法和分类算法的基础上，动态的提取基于线程的NativeApiN-gram序列作为特征对比一般的NativeA

3、pi序列参与恶意软件检测。实验证明了：1.二进制操作码语义优化的特征参与分类计算获得了不错的检测效果，且优化语义的二进制操作码特征的参与的检测效果明显好于二进制操作码特征，并且总体上略好于常用的汇编形式的操作码特征参与的分类计算。2.基于线程的NativeApiN-gram序列作为特征参与恶意软件检测的效果明显好于一般的NativeApi序列参与的分类效果。关键词：恶意软件；二进制操作码；软件保护；NativeApi；N-Gram；信息增益；支持向量机IAbstractShanghaiNormalUniversityMasterofScienceAbstractMalwareofte

4、nusescomputersystemvulnerabilitiesandsecuritydefensemechanismstoachievethepurposeofmaliciousdestructionortheftofinformation.Thegoalofthesecuritydefensemechanismistodetectmalware,tokillandrestorethedamageithascaused,andtodeveloppreventivemeasures,themostbasictaskofwhichistodetectmalware.Traditio

5、naldetectionisusuallybasedonthefeaturelibraryformedbymanualextraction.However,withtheincreasingnumberofmalware,manualanalysisanddetectionisfarfromachievingthegoalofsecuritydefensemechanism.Atthisstage,thecombinationoffeatureextractionandclassificationalgorithmhasagoodeffectinmalwaredetection.Th

6、esefeaturescanreflectmalware'sbehaviorandinformation,includingfilestructureinformation,systemcallAPI,operatingcode,sixteenbyteandsoon.Thisarticlemainlydoesthefollowingtwotasks:1.Afterthesampleispreprocessedbysoftwareprotectiontechnology,thesemanticobfuscationandredundancyofthebinaryoperatingcod

7、efeaturesareextractedandtheN-Gramsequenceisformed,theinformationgainiscalculatedtoscreenthebetterfeaturesequenceoftheclassificationeffect,andthefinaldetectioneffectiscalculatedusingthesupportvectormachinealgorithm.2.Onthebasisofth