CN106446687B - 恶意样本的检测方法及装置 - Google Patents

Abstract

本发明公开了一种恶意样本的检测方法及装置，至少能够解决现有技术中的检测方式无法有效地检测出各类恶意软件的技术问题。该恶意样本的检测方法包括：获取已知恶意样本中包含的特征图标；查询预设的图标关联数据库，确定所述特征图标对应的相似图标；其中，所述图标关联数据库用于存储各个样本中包含的图标；查询预设的图标样本数据库，确定包含所述相似图标的待测样本；其中，所述图标样本数据库用于存储与各个图标相对应的样本；检测所述待测样本是否为恶意样本。

Description

恶意样本的检测方法及装置

技术领域

本发明涉及网络通信技术领域，具体涉及一种恶意样本的检测方法及装 置。

背景技术

随着移动互联网时代的到来，智能终端得到了广泛发展。与此同时，恶 意软件也不断泛滥、网络安全正遭受着日益严峻的威胁。为了应对这一问题， 现有技术中提出了多种用于检测恶意软件的方式，目前常用的两种检测方式 分别为动态分析法和静态分析法：

动态分析法主要通过模拟软件运行环境，并在该环境下监测软件运行过 程中的各类行为，包括系统调用行为、网络访问行为、文件和内存修改行为、 信息的访问模式和处理行为，以实现检测软件是否具有恶意行为的目的。发 明人在实现本发明的过程中发现，动态分析法至少具备如下弊端：由于恶意 行为很容易被绕开，从而使得检测结果不够准确。

静态分析法主要是在不运行软件的情况下，通过对软件中的程序代码的 控制流、语义以及文件清单中的访问权限和触发动作等静态信息进行分析， 以实现检测软件是否具有恶意行为的目的。发明人在实现本发明的过程中发 现，静态分析法至少具备如下弊端：难以应对代码混淆和多态变形技术且难 以识别漏洞攻击。

由此可见，在恶意软件日益多变的当下，现有的用于检测恶意软件的方 式显然已经无法有效地检测出各类恶意软件，亟需一种新的恶意软件检测方 式。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分 地解决上述问题的恶意样本的检测方法及装置。

依据本发明的一个方面，提供了一种恶意样本的检测方法，包括：获取已 知恶意样本中包含的特征图标；查询预设的图标关联数据库，确定所述特征 图标对应的相似图标；其中，所述图标关联数据库用于存储各个样本中包含 的图标；查询预设的图标样本数据库，确定包含所述相似图标的待测样本； 其中，所述图标样本数据库用于存储与各个图标相对应的样本；检测所述待 测样本是否为恶意样本。

可选地，所述获取已知恶意样本中包含的特征图标的步骤具体包括：查 询预设的样本图标数据库，确定所述已知恶意样本中包含的全部图标，从所 述全部图标中筛选出所述特征图标；其中，所述样本图标数据库用于存储与 各个样本相对应的图标。

可选地，所述确定所述特征图标对应的相似图标的步骤具体包括：通过 第一类相似度算法确定所述图标关联数据库中与所述特征图标之间的相似度 大于预设的第一阈值的图标，将所述与所述特征图标之间的相似度大于预设 的第一阈值的图标作为待匹配图标；通过第二类相似度算法确定所述待匹配 图标中与所述特征图标之间的相似度大于预设的第二阈值的图标，将所述与 所述特征图标之间的相似度大于预设的第二阈值的图标作为所述特征图标对 应的相似图标。

可选地，所述确定所述特征图标对应的相似图标的步骤具体包括：根据 所述图标关联数据库中存储的图标关联信息确定所述特征图标对应的相似图 标；其中，所述图标关联信息包括：各个图标与其对应的相似图标之间的对 应关系；并且，所述图标关联信息预先通过下述方式确定：针对所述图标关 联数据库中的每个图标，通过第一类相似度算法确定所述图标关联数据库中 与该图标之间的相似度大于预设的第一阈值的图标，将所述与该图标之间的 相似度大于预设的第一阈值的图标作为待匹配图标；通过第二类相似度算法 确定所述待匹配图标中与该图标之间的相似度大于预设的第二阈值的图标， 将所述与该图标之间的相似度大于预设的第二阈值的图标作为与该图标对应 的相似图标。

可选地，所述获取已知恶意样本中包含的特征图标的步骤之前，进一步 包括：获取增量样本，将所述增量样本中包含的图标确定为待选图标；根据 预设的历史图标数据库，将所述待选图标中未包含在所述历史图标数据库中 的图标作为增量图标；将所述增量图标添加到所述历史图标数据库中；以及， 将所述增量图标存储到分布式数据库中，以供所述图标关联数据库根据所述 分布式数据库进行更新。

可选地，所述样本为安卓安装包。

依据本发明的另一方面，提供了一种恶意样本的检测系统，包括：图标 关联数据库，适于存储各个样本中包含的图标；图标样本数据库，适于存储 与各个图标相对应的样本；获取模块，适于获取已知恶意样本中包含的特征 图标；图标关联查询模块，适于查询所述图标关联数据库，确定所述特征图 标对应的相似图标；图标样本查询模块，适于查询所述图标样本数据库，确 定包含所述相似图标的待测样本；检测模块，适于检测所述待测样本是否为 恶意样本。

可选地，进一步包括：样本图标数据库，用于存储与各个样本相对应的 图标，则所述获取模块具体用于：查询所述样本图标数据库，确定所述已知 恶意样本中包含的全部图标，从所述全部图标中筛选出所述特征图标。

可选地，所述图标关联查询模块具体用于：通过第一类相似度算法确定 所述图标关联数据库中与所述特征图标之间的相似度大于预设的第一阈值的 图标，将所述与所述特征图标之间的相似度大于预设的第一阈值的图标作为 待匹配图标；通过第二类相似度算法确定所述待匹配图标中与所述特征图标 之间的相似度大于预设的第二阈值的图标，将所述与所述特征图标之间的相 似度大于预设的第二阈值的图标作为所述特征图标对应的相似图标。

可选地，进一步包括：相似度计算模块，用于计算所述图标关联数据库 中的各个图标之间的相似度，根据计算结果在所述图标关联数据库中生成图 标关联信息，以供所述图标关联查询模块根据所述图标关联信息确定所述特 征图标对应的相似图标；其中，所述图标关联信息包括：各个图标与其对应 的相似图标之间的对应关系。

可选地，所述相似度计算模块具体用于：针对所述图标关联数据库中的 每个图标，通过第一类相似度算法确定所述图标关联数据库中与该图标之间 的相似度大于预设的第一阈值的图标，将所述与该图标之间的相似度大于预 设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与该图标之间的相似度大 于预设的第二阈值的图标，将所述与该图标之间的相似度大于预设的第二阈 值的图标作为与该图标对应的相似图标。

可选地，进一步包括：增量图标获取模块、历史图标数据库以及分布式 数据库，其中，所述增量图标获取模块，适于获取增量样本，将所述增量样 本中包含的图标确定为待选图标，根据所述历史图标数据库，将所述待选图 标中未包含在所述历史图标数据库中的图标作为增量图标，并且，将所述增 量图标添加到所述历史图标数据库中；以及，将所述增量图标存储到所述分 布式数据库中，以供所述图标关联数据库根据所述分布式数据库进行更新。

可选地，进一步包括：第一查询模块，适于通过预设的第一查询接口接 收样本图标查询请求，根据所述样本图标查询请求中包含的样本标识，查询 所述样本图标数据库，并返回该样本标识对应的样本中包含的图标；第二查 询模块，适于通过预设的第二查询接口接收图标样本查询请求，根据所述图 标样本查询请求中包含的图标标识，查询所述图标样本数据库，并返回包含 该图标标识对应的图标的样本；和/或，第三查询模块，适于通过预设的第三 查询接口接收图标关联查询请求，根据所述图标关联查询请求中包含的图标标识，查询所述图标关联数据库，并返回与该图标标识对应的相似图标。

可选地，所述样本为安卓安装包。

在本发明提供的恶意样本的检测方法及装置中，能够根据已知恶意样本 中包含的特征图标确定对应的相似图标，并进一步确定包含相似图标的待测 样本，通过对待测样本进行检测来发现恶意样本。由此可见，本发明提供了 一种全新的恶意样本检测方法，通过相似图标能够快速便捷地建立相似样本 之间的关联关系，进而根据该关联关系实现根据已知恶意样本检测未知恶意 样本的目的。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技 术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它 目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本 领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的， 而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示 相同的部件。在附图中：

图1示出了本发明一个实施例提供的恶意样本的检测方法的流程图；

图2示出了本发明另一个具体实施例提供的恶意样本的检测方法的流程 图；

图3a至图3c示出了通过特征图标查询到的相似图标以及包含相似图标的 样本数量的查询结果示意图；

图4a示出了特征图标的示意图；

图4b示出了查询相似图标时的查询结果示意图；

图4c示出了根据相似图标反向查找与恶意样本相似的样本的查询结果示 意图；

图5示出了本发明实施例提供的一种恶意样本的检测系统的结构示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示 了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不 应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地 理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

本发明实施例提供了一种恶意样本的检测方法及装置，至少能够解决现 有技术中的检测方式无法有效地检测出各类恶意软件的技术问题。

图1示出了本发明一个实施例提供的恶意样本的检测方法的流程图。如 图1所示，该方法包括以下步骤：

步骤S110：获取已知恶意样本中包含的特征图标。

具体地，可以通过各种方式来获取已知恶意样本中包含的特征图标。例 如，可以直接从已知恶意样本中提取图标，并从提取到的图标中选择具有标 识性的图标作为特征图标。又如，还可以通过查询预设的样本图标数据库的 方式来确定已知恶意样本中包含的特征图标，其中，样本图标数据库用于存 储与各个样本相对应的图标。

步骤S120：查询预设的图标关联数据库，确定特征图标对应的相似图标； 其中，图标关联数据库用于存储各个样本中包含的图标。

具体地，图标关联数据库中存储了所有样本中包含的全部图标，通过查 询，能够确定与特征图标对应的相似图标。具体实现时，可以通过一种或多 种相似度算法计算特征图标与图标关联数据库中存储的所有其他图标之间的 相似度，将相似度大于预设阈值的图标作为与特征图标对应的相似图标。在 本步骤中，一个特征图标对应的相似图标可能为一个，也可能为多个。

步骤S130：查询预设的图标样本数据库，确定包含相似图标的待测样本； 其中，图标样本数据库用于存储与各个图标相对应的样本。

由于图标样本数据库中预先存储了与各个图标相对应的样本，因此，通 过查询该数据库，能够快捷方便地确定出包含相似图标的待测样本。其中， 对于某一个相似图标而言，包含该相似图标的待测样本的数量可能为一个， 也可能为多个。

步骤S140：检测待测样本是否为恶意样本。

由于待测样本中包含与已知恶意样本中的特征图标相似的图标，因此， 待测样本与已知恶意样本之间很可能为相似样本，甚至还可能为家族相关样 本，因此，通过对待测样本进行检测能够显著提高恶意样本的检出率，提高 恶意样本的检测效率。具体检测时，本领域技术人员可灵活通过各种检测方 式实现，本发明对具体的检测方式不做限定。

由此可见，在本发明提供的恶意样本的检测方法中，能够根据已知恶意 样本中包含的特征图标确定对应的相似图标，并进一步确定包含相似图标的 待测样本，通过对待测样本进行检测来发现恶意样本。由此可见，本发明提 供了一种全新的恶意样本检测方法，通过相似图标能够快速便捷地建立相似 样本之间的关联关系，进而根据该关联关系实现根据已知恶意样本检测未知 恶意样本的目的。

图2示出了本发明另一个具体实施例提供的恶意样本的检测方法的流程 图。如图2所示，该方法包括以下步骤：

步骤S210：查询预设的样本图标数据库，确定已知恶意样本中包含的全 部图标，从全部图标中筛选出特征图标。

其中，样本图标数据库用于存储与各个样本相对应的图标，也就是说， 样本图标数据库中存储了样本与图标之间的对应关系。例如，假设样本1中 共包含图标a、图标b以及图标c；样本2中共包含图标a、图标d以及图标e； 样本3中共包含图标a、图标b以及图标f；则样本图标数据库中至少存储有 如下三条数据记录：

样本1——图标a、图标b、图标c；

样本2——图标a、图标d、图标e；

样本3——图标a、图标b、图标f。

其中，本实施例中的样本主要是指APK样本，当然，其他的各类程序样 本也可以应用于本发明，本发明对样本的类型和来源不做限定。假设已知恶 意样本为样本1，通过查询样本图标数据库可以确定样本1中包含的全部图标 为图标a、图标b、以及图标c，相应地，可以将图标a、图标b、以及图标c 全部作为特征图标，也可以从图标a、图标b、以及图标c中筛选一个或两个 图标作为特征图标，本发明对特征图标的筛选方式及具体数量不做限定。

步骤S220：查询预设的图标关联数据库，确定特征图标对应的相似图标； 其中，图标关联数据库用于存储各个样本中包含的图标。

具体地，图标关联数据库可通过如下方式创建：首先，获取增量样本并 对样本进行解包处理，将增量样本中包含的图标确定为待选图标；然后，根 据预设的历史图标数据库，将待选图标中未包含在历史图标数据库中的图标 作为增量图标；接下来，将增量图标添加到历史图标数据库中，以及将增量 图标存储到分布式数据库中；最后，根据分布式数据库创建并更新图标关联 数据库。其中，历史图标数据库用于按照时间周期存储每隔预设时间后新增 的图标，例如，可以按照日期为单位记录每天产生的所有图标，通过历史图 标数据库可以过滤掉已经录入分布式数据库的图标，避免出现重复录入的情 况发生，进而减少后续的存储及计算成本。由此可见，图标关联数据库中存 储了所有样本中包含的全部图标，因此，通过查询图标关联数据库能够确定 与特征图标对应的相似图标。

在本实施例中，可以通过以下两种方式中的任一方式确定特征图标对应 的相似图标：在第一种方式中，首先，通过第一类相似度算法确定图标关联 数据库中与特征图标之间的相似度大于预设的第一阈值的图标，将与特征图 标之间的相似度大于预设的第一阈值的图标作为待匹配图标；然后，通过第 二类相似度算法确定待匹配图标中与特征图标之间的相似度大于预设的第二 阈值的图标，将与特征图标之间的相似度大于预设的第二阈值的图标作为特 征图标对应的相似图标。在第二种方式中，图标关联数据库中进一步存储了 图标关联信息，该图标关联信息具体包括：各个图标与其对应的相似图标之 间的对应关系，相应地，直接查询该图标关联信息即可确定特征图标对应的 相似图标。由此可见，第二种方式预先计算并保存了图标关联数据库中的各 个相似图标之间的对应关系，从而在后续使用过程中节省了实时计算的时间 成本，提升了查询效率。在第二种方式中，也可以采用与第一种方式类似的 方法计算图标关联信息：针对图标关联数据库中的每个图标，通过第一类相 似度算法确定图标关联数据库中与该图标之间的相似度大于预设的第一阈值 的图标，将与该图标之间的相似度大于预设的第一阈值的图标作为待匹配图 标；通过第二类相似度算法确定待匹配图标中与该图标之间的相似度大于预 设的第二阈值的图标，将与该图标之间的相似度大于预设的第二阈值的图标 作为与该图标对应的相似图标。

具体实现时，上述的两种方式可以单独使用，也可以结合使用，第二种 方式能够显著提升查询的速度，但是，为了避免图标关联信息更新不及时的 情况，可以将上述两种方式相结合，即：在每次查询过程中，不仅通过第二 种方式查询图标关联信息，还进一步采用第一种方式实时计算特征图标与图 标关联数据库中已存储的各个图标之间的相似度，从而确保最新增加到图标 关联数据库中的图标也能被查询到。

在上述两种方式中，同时采用两类相似度算法能够显著提升计算的准确 率。具体地，在本实施例中，第一类相似度算法采用ahash(average hash)算 法以及phash(perceptual hash)算法的组合实现。其中，ahash算法以及phash 算法同属于哈希类算法，其优点在于：简单、易于实现、且计算速度快。但 时，由于哈希类算法的精度有待提高，而且，哈希类算法对于含低频成分较 少的图标的区分度不甚理想，因此，在本实施例中，将哈希类算法作为第一 重过滤机制，以实现快速高效地过滤掉大量非相似图标的效果；第二类相似 度算法通过SIFT(Scale Invariant Feature Transform)算法实现，该算法属于 特征提取类算法，其优点在于：精度较高，对于含低频成分较少的图标的区 分度较好。由此可见，在本实施例中，充分利用了各种相似度算法的优势， 实现了取长补短的技术效果：具体地，首先由ahash算法和phash算法组成第 一层协同过滤器，该层过滤器可以快速地过滤掉大量不相似的图标，并且精 确度可以达到90％左右，显著降低了后续的过滤环节的计算量；然后，由sift 算法形成第二层过滤器，该层过滤器用于对第一层过滤后保留下来的小批量 图标进行第二次筛选，从而进一步提高精度。由此可见，虽然特征提取类算 法的计算量比哈希类算法的计算量大，且消耗时间比哈希类算法长，并且计 算出来的特征无法存储，但是，在本实施例中将特征提取类算法作为第二重 过滤机制，充分利用了该算法适合于小批量图标计算的优势。

通过实验测试发现，通过上述方式计算图标相似度时的计算精度高达 99％以上。具体地，为了测量图标相似度的计算精度，发明人在预设时间内， 每天随机抽取一定数量的图标，查询经上述方式计算得出的相似图标，然后 目测源图标与搜索到的相似图标是否相似。表1示出了每天抽检的图标总数、 查询出来的合适图标数量、不合适图标数量、以及正确率和错误率的统计信 息：

表1

从表1中可以看出，通过上述方式计算图标相似度时的计算精度可达到 99％以上。并且，由3种算法形成的两层过滤器可以极大地解决使用单一算法 精度低的问题，也为后续通过相似图标关联相似样本的过程提供了可靠保障。

步骤S230：查询预设的图标样本数据库，确定包含相似图标的待测样本； 其中，图标样本数据库用于存储与各个图标相对应的样本。

由于图标样本数据库中预先存储了与各个图标相对应的样本，因此，通 过查询该数据库，能够快捷方便地确定出包含相似图标的待测样本。其中， 对于某一个相似图标而言，包含该相似图标的待测样本的数量可能为一个， 也可能为多个。例如，仍然假设样本1中共包含图标a、图标b以及图标c； 样本2中共包含图标a、图标d以及图标e；样本3中共包含图标a、图标b 以及图标f；则图标样本数据库中至少存储有如下数据记录：

图标a——样本1、样本2、样本3；

图标b——样本1、样本2；

图标c——样本1；

图标d——样本2；

图标e——样本2；

图标f——样本3。

图3a至图3c示出了通过特征图标查询到的相似图标以及包含相似图标的 样本数量的查询结果示意图。在每幅图中，左上角示出了特征图标的图标图 案以及图标ID，右下角示出了与特征图标对应的相似图标的图案，并且，还 示出了每个相似图标的相似评分以及包含该相似图标的APK个数。

步骤S240：检测待测样本是否为恶意样本。

由于待测样本中包含与已知恶意样本中的特征图标相似的图标，因此， 待测样本与已知恶意样本之间很可能为相似样本，甚至还可能为家族相关样 本，因此，通过对待测样本进行检测能够显著提高恶意样本的检出率，提高 恶意样本的检测效率。具体检测时，本领域技术人员可灵活通过各种检测方 式实现，本发明对具体的检测方式不做限定。

为了便于理解本发明，下面给出本发明的一个具体应用场景。假设分析 人员发现一个恶意样本，该已知恶意样本的md5值为 f60b826b3e2230b2c14ce2bf1aeeb3cd，其中包含的一幅特征图标的md5值为 e20857a4adc483f756ec2b654a4563a4，图4a示出了该幅特征图标的示意图。为 了通过特征图标关联起与该已知恶意样本相似的样本，首先，通过本发明提 供的查询界面查询出与该特征图标对应所有相似图标，然后，再点击相似图 标，反向查找出包含相似图标的样本。具体步骤如下：首先，在查询界面输 入特征图标的md5值，查找出该特征图标对应的所有相似图标，图4b示出了 查询相似图标时的查询结果示意图。如图4b所示，该特征图标对应的相似图 标有三个，在图中除列出了相似图标的图案之外，还示出了相似图标的md5 值、相似评分以及包含该相似图标的APK个数。然后，通过相似图标的md5 值即可反向查找相似的样本，例如，可以进一步点击查找出来的相似图标的 md5值从而反向查找与该恶意样本相似的样本，图4c示出了点击图4b中md5 值为28c6c18c0056b90e97ca82843cffb041的相似图标后反向查找到的所有与该 恶意样本相似的样本的查询结果示意图。

由此可见，通过本发明的技术方案，为追踪恶意样本以及发现相似样本 提供了一种全新的解决思路。具体地，使用3种算法组合成两层过滤器，可 以极大提升图标检测的精度(通过手工检索1000多组图标证实最终的检索合 适率高达99％以上)。另外，在本发明的技术方案中，能够通过分布式存储 和计算框架来有效解决海量图标存储以及海量图标计算的压力。而且，在本 发明的技术方案中，能够提供从数据存储到查询的一体化流程，可供分析人 员实时查询、跟踪相应的样本。

图5示出了本发明实施例提供的一种恶意样本的检测系统的结构示意 图，如图5所示，该系统包括：

图标关联数据库51，适于存储各个样本中包含的图标；

图标样本数据库52，适于存储与各个图标相对应的样本；

获取模块53，适于获取已知恶意样本中包含的特征图标；

图标关联查询模块54，适于查询所述图标关联数据库，确定所述特征图 标对应的相似图标；

图标样本查询模块55，适于查询所述图标样本数据库，确定包含所述相 似图标的待测样本；

检测模块56，适于检测所述待测样本是否为恶意样本。

可选地，该系统中进一步包括：样本图标数据库57，用于存储与各个样 本相对应的图标，则所述获取模块53具体用于：查询所述样本图标数据库， 确定所述已知恶意样本中包含的全部图标，从所述全部图标中筛选出所述特 征图标。

其中，所述图标关联查询模块54具体用于：通过第一类相似度算法确定 所述图标关联数据库中与所述特征图标之间的相似度大于预设的第一阈值的 图标，将所述与所述特征图标之间的相似度大于预设的第一阈值的图标作为 待匹配图标；通过第二类相似度算法确定所述待匹配图标中与所述特征图标 之间的相似度大于预设的第二阈值的图标，将所述与所述特征图标之间的相 似度大于预设的第二阈值的图标作为所述特征图标对应的相似图标。或者， 系统进一步包括：相似度计算模块，用于计算所述图标关联数据库中的各个 图标之间的相似度，根据计算结果在所述图标关联数据库中生成图标关联信 息，以供所述图标关联查询模块根据所述图标关联信息确定所述特征图标对 应的相似图标；其中，所述图标关联信息包括：各个图标与其对应的相似图 标之间的对应关系。其中，所述相似度计算模块具体用于：针对所述图标关 联数据库中的每个图标，通过第一类相似度算法确定所述图标关联数据库中 与该图标之间的相似度大于预设的第一阈值的图标，将所述与该图标之间的 相似度大于预设的第一阈值的图标作为待匹配图标；通过第二类相似度算法 确定所述待匹配图标中与该图标之间的相似度大于预设的第二阈值的图标， 将所述与该图标之间的相似度大于预设的第二阈值的图标作为与该图标对应 的相似图标。

另外，该系统还可以进一步包括：增量图标获取模块、历史图标数据库 以及分布式数据库，其中，所述增量图标获取模块，适于获取增量样本，将 所述增量样本中包含的图标确定为待选图标，根据所述历史图标数据库，将 所述待选图标中未包含在所述历史图标数据库中的图标作为增量图标，并且， 将所述增量图标添加到所述历史图标数据库中；以及，将所述增量图标存储 到所述分布式数据库中，以供所述图标关联数据库根据所述分布式数据库进 行更新。

另外，为了便于查询，该系统还可以进一步包括：

第一查询模块，适于通过预设的第一查询接口接收样本图标查询请求， 根据所述样本图标查询请求中包含的样本标识，查询所述样本图标数据库， 并返回该样本标识对应的样本中包含的图标；

第二查询模块，适于通过预设的第二查询接口接收图标样本查询请求， 根据所述图标样本查询请求中包含的图标标识，查询所述图标样本数据库， 并返回包含该图标标识对应的图标的样本；和/或，

第三查询模块，适于通过预设的第三查询接口接收图标关联查询请求， 根据所述图标关联查询请求中包含的图标标识，查询所述图标关联数据库， 并返回与该图标标识对应的相似图标。其中，各个查询模块可提供web界面 并通过web接口进行查询。

上述系统中的各个模块的具体结构和工作原理可参照方法实施例中相应 步骤的描述，此处不再赘述。

综上所述，在本发明提供的恶意样本的检测方法及装置中，能够根据已 知恶意样本中包含的特征图标确定对应的相似图标，并进一步确定包含相似 图标的待测样本，通过对待测样本进行检测来发现恶意样本。由此可见，本 发明提供了一种全新的恶意样本检测方法，通过相似图标能够快速便捷地建 立相似样本之间的关联关系，进而根据该关联关系实现根据已知恶意样本检 测未知恶意样本的目的。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固 有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述， 构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定 编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容， 并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本 发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未 详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个 或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时 被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开 的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求 中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映 的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循 具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自 适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以 把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可 以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者 单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴 随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或 者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴 随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相 似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此的一些实施例包括其它实 施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意 味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要 求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理 器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当 理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本 发明实施例的装置中的一些或者全部部件的一些或者全部功能。本发明还可 以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序 (例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存 储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信 号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他 形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并 且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施 例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求 的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之 前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有 若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装 置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体 体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

本发明公开了：A1、一种恶意样本的检测方法，包括：

获取已知恶意样本中包含的特征图标；

查询预设的图标关联数据库，确定所述特征图标对应的相似图标；其中， 所述图标关联数据库用于存储各个样本中包含的图标；

查询预设的图标样本数据库，确定包含所述相似图标的待测样本；其中， 所述图标样本数据库用于存储与各个图标相对应的样本；

检测所述待测样本是否为恶意样本。

A2、根据A1所述的方法，其中，所述获取已知恶意样本中包含的特征 图标的步骤具体包括：

查询预设的样本图标数据库，确定所述已知恶意样本中包含的全部图标， 从所述全部图标中筛选出所述特征图标；

其中，所述样本图标数据库用于存储与各个样本相对应的图标。

A3、根据A1所述的方法，其中，所述确定所述特征图标对应的相似图 标的步骤具体包括：

通过第一类相似度算法确定所述图标关联数据库中与所述特征图标之间 的相似度大于预设的第一阈值的图标，将所述与所述特征图标之间的相似度 大于预设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与所述特征图标之间的相 似度大于预设的第二阈值的图标，将所述与所述特征图标之间的相似度大于 预设的第二阈值的图标作为所述特征图标对应的相似图标。

A4、根据A1所述的方法，其中，所述确定所述特征图标对应的相似图 标的步骤具体包括：根据所述图标关联数据库中存储的图标关联信息确定所 述特征图标对应的相似图标；其中，所述图标关联信息包括：各个图标与其 对应的相似图标之间的对应关系；

并且，所述图标关联信息预先通过下述方式确定：

针对所述图标关联数据库中的每个图标，通过第一类相似度算法确定所 述图标关联数据库中与该图标之间的相似度大于预设的第一阈值的图标，将 所述与该图标之间的相似度大于预设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与该图标之间的相似度大 于预设的第二阈值的图标，将所述与该图标之间的相似度大于预设的第二阈 值的图标作为与该图标对应的相似图标。

A5、根据A1所述的方法，其中，所述获取已知恶意样本中包含的特征 图标的步骤之前，进一步包括：

获取增量样本，将所述增量样本中包含的图标确定为待选图标；

根据预设的历史图标数据库，将所述待选图标中未包含在所述历史图标 数据库中的图标作为增量图标；

将所述增量图标添加到所述历史图标数据库中；以及，

将所述增量图标存储到分布式数据库中，以供所述图标关联数据库根据 所述分布式数据库进行更新。

A6、根据A1所述的方法，其中，所述样本为安卓安装包。

本发明还公开了：B7、一种恶意样本的检测系统，包括：

图标关联数据库，适于存储各个样本中包含的图标；

图标样本数据库，适于存储与各个图标相对应的样本；

获取模块，适于获取已知恶意样本中包含的特征图标；

图标关联查询模块，适于查询所述图标关联数据库，确定所述特征图标 对应的相似图标；

图标样本查询模块，适于查询所述图标样本数据库，确定包含所述相似 图标的待测样本；

检测模块，适于检测所述待测样本是否为恶意样本。

B8、根据B7所述的系统，其中，进一步包括：

样本图标数据库，用于存储与各个样本相对应的图标，则所述获取模块 具体用于：查询所述样本图标数据库，确定所述已知恶意样本中包含的全部 图标，从所述全部图标中筛选出所述特征图标。

B9、根据B7所述的系统，其中，所述图标关联查询模块具体用于：

通过第一类相似度算法确定所述图标关联数据库中与所述特征图标之间 的相似度大于预设的第一阈值的图标，将所述与所述特征图标之间的相似度 大于预设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与所述特征图标之间的相 似度大于预设的第二阈值的图标，将所述与所述特征图标之间的相似度大于 预设的第二阈值的图标作为所述特征图标对应的相似图标。

B10、根据B7所述的系统，其中，进一步包括：

相似度计算模块，用于计算所述图标关联数据库中的各个图标之间的相 似度，根据计算结果在所述图标关联数据库中生成图标关联信息，以供所述 图标关联查询模块根据所述图标关联信息确定所述特征图标对应的相似图 标；其中，所述图标关联信息包括：各个图标与其对应的相似图标之间的对 应关系。

B11、根据B10所述的系统，其中，所述相似度计算模块具体用于：

针对所述图标关联数据库中的每个图标，通过第一类相似度算法确定所 述图标关联数据库中与该图标之间的相似度大于预设的第一阈值的图标，将 所述与该图标之间的相似度大于预设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与该图标之间的相似度大 于预设的第二阈值的图标，将所述与该图标之间的相似度大于预设的第二阈 值的图标作为与该图标对应的相似图标。

B12、根据B7所述的系统，其中，进一步包括：增量图标获取模块、历 史图标数据库以及分布式数据库，其中，

所述增量图标获取模块，适于获取增量样本，将所述增量样本中包含的 图标确定为待选图标，根据所述历史图标数据库，将所述待选图标中未包含 在所述历史图标数据库中的图标作为增量图标，并且，将所述增量图标添加 到所述历史图标数据库中；以及，将所述增量图标存储到所述分布式数据库 中，以供所述图标关联数据库根据所述分布式数据库进行更新。

B13、根据B7所述的系统，其中，进一步包括：

第一查询模块，适于通过预设的第一查询接口接收样本图标查询请求， 根据所述样本图标查询请求中包含的样本标识，查询所述样本图标数据库， 并返回该样本标识对应的样本中包含的图标；

第二查询模块，适于通过预设的第二查询接口接收图标样本查询请求， 根据所述图标样本查询请求中包含的图标标识，查询所述图标样本数据库， 并返回包含该图标标识对应的图标的样本；和/或，

第三查询模块，适于通过预设的第三查询接口接收图标关联查询请求， 根据所述图标关联查询请求中包含的图标标识，查询所述图标关联数据库， 并返回与该图标标识对应的相似图标。

B14、根据B7所述的系统，其中，所述样本为安卓安装包。

Claims (12)

1.一种恶意样本的检测方法，包括：

查询预设的样本图标数据库，确定已知恶意样本中包含的全部图标，从所述全部图标中筛选出特征图标；其中，所述样本图标数据库用于存储与各个样本相对应的图标；

查询预设的图标关联数据库，确定所述特征图标对应的相似图标；其中，所述图标关联数据库用于存储各个样本中包含的图标；所述特征图标对应的相似图标根据相似度算法而确定；

查询预设的图标样本数据库，确定包含所述相似图标的待测样本；其中，所述图标样本数据库用于存储与各个图标相对应的样本；

检测所述待测样本是否为恶意样本。

2.根据权利要求1所述的方法，其中，所述确定所述特征图标对应的相似图标的步骤具体包括：

通过第一类相似度算法确定所述图标关联数据库中与所述特征图标之间的相似度大于预设的第一阈值的图标，将所述与所述特征图标之间的相似度大于预设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与所述特征图标之间的相似度大于预设的第二阈值的图标，将所述与所述特征图标之间的相似度大于预设的第二阈值的图标作为所述特征图标对应的相似图标。

3.根据权利要求1所述的方法，其中，所述确定所述特征图标对应的相似图标的步骤具体包括：根据所述图标关联数据库中存储的图标关联信息确定所述特征图标对应的相似图标；其中，所述图标关联信息包括：各个图标与其对应的相似图标之间的对应关系；

并且，所述图标关联信息预先通过下述方式确定：

针对所述图标关联数据库中的每个图标，通过第一类相似度算法确定所述图标关联数据库中与该图标之间的相似度大于预设的第一阈值的图标，将所述与该图标之间的相似度大于预设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与该图标之间的相似度大于预设的第二阈值的图标，将所述与该图标之间的相似度大于预设的第二阈值的图标作为与该图标对应的相似图标。

4.根据权利要求1所述的方法，其中，所述查询预设的样本图标数据库，确定已知恶意样本中包含的全部图标，从所述全部图标中筛选出特征图标的步骤之前，进一步包括：

获取增量样本，将所述增量样本中包含的图标确定为待选图标；

根据预设的历史图标数据库，将所述待选图标中未包含在所述历史图标数据库中的图标作为增量图标；

将所述增量图标添加到所述历史图标数据库中；以及，

将所述增量图标存储到分布式数据库中，以供所述图标关联数据库根据所述分布式数据库进行更新。

5.根据权利要求1所述的方法，其中，所述样本为安卓安装包。

6.一种恶意样本的检测系统，包括：

图标关联数据库，适于存储各个样本中包含的图标；

图标样本数据库，适于存储与各个图标相对应的样本；

样本图标数据库，用于存储与各个样本相对应的图标；

获取模块具体用于：查询所述样本图标数据库，确定已知恶意样本中包含的全部图标，从所述全部图标中筛选出特征图标；

图标关联查询模块，适于查询所述图标关联数据库，确定所述特征图标对应的相似图标；所述特征图标对应的相似图标根据相似度算法而确定；

图标样本查询模块，适于查询所述图标样本数据库，确定包含所述相似图标的待测样本；

检测模块，适于检测所述待测样本是否为恶意样本。

7.根据权利要求6所述的系统，其中，所述图标关联查询模块具体用于：

通过第一类相似度算法确定所述图标关联数据库中与所述特征图标之间的相似度大于预设的第一阈值的图标，将所述与所述特征图标之间的相似度大于预设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与所述特征图标之间的相似度大于预设的第二阈值的图标，将所述与所述特征图标之间的相似度大于预设的第二阈值的图标作为所述特征图标对应的相似图标。

8.根据权利要求6所述的系统，其中，进一步包括：

相似度计算模块，用于计算所述图标关联数据库中的各个图标之间的相似度，根据计算结果在所述图标关联数据库中生成图标关联信息，以供所述图标关联查询模块根据所述图标关联信息确定所述特征图标对应的相似图标；其中，所述图标关联信息包括：各个图标与其对应的相似图标之间的对应关系。

9.根据权利要求6所述的系统，其中，所述相似度计算模块具体用于：

针对所述图标关联数据库中的每个图标，通过第一类相似度算法确定所述图标关联数据库中与该图标之间的相似度大于预设的第一阈值的图标，将所述与该图标之间的相似度大于预设的第一阈值的图标作为待匹配图标；

通过第二类相似度算法确定所述待匹配图标中与该图标之间的相似度大于预设的第二阈值的图标，将所述与该图标之间的相似度大于预设的第二阈值的图标作为与该图标对应的相似图标。

10.根据权利要求6所述的系统，其中，进一步包括：增量图标获取模块、历史图标数据库以及分布式数据库，其中，

所述增量图标获取模块，适于获取增量样本，将所述增量样本中包含的图标确定为待选图标，根据所述历史图标数据库，将所述待选图标中未包含在所述历史图标数据库中的图标作为增量图标，并且，将所述增量图标添加到所述历史图标数据库中；以及，将所述增量图标存储到所述分布式数据库中，以供所述图标关联数据库根据所述分布式数据库进行更新。

11.根据权利要求6所述的系统，其中，进一步包括：

第一查询模块，适于通过预设的第一查询接口接收样本图标查询请求，根据所述样本图标查询请求中包含的样本标识，查询所述样本图标数据库，并返回该样本标识对应的样本中包含的图标；

第二查询模块，适于通过预设的第二查询接口接收图标样本查询请求，根据所述图标样本查询请求中包含的图标标识，查询所述图标样本数据库，并返回包含该图标标识对应的图标的样本；和/或，

第三查询模块，适于通过预设的第三查询接口接收图标关联查询请求，根据所述图标关联查询请求中包含的图标标识，查询所述图标关联数据库，并返回与该图标标识对应的相似图标。

12.根据权利要求6所述的系统，其中，所述样本为安卓安装包。

Images