一种基于模型检测的恶意行为识别方法

第３２卷第７期　２０１５年７月　计算机应用与软件　Ｃｏｍｐｕｔｅｒ　Ａｐｐｌｉｃａｔｉｏｎｓ　ａｎｄ　Ｓｏｆｔｗａｒｅ　Ｖ０１．３２　Ｎｏ．７　Ｊｕ１．２０１５　一种基于模型检测的恶意行为识别方法　奚　琪　曾勇军　王清贤　朱海晓　（数学工程与先进计算国家重点实验室（中国联通郑州分公司河南郑州４５０００２）　河南郑州４５０００２））　摘要　针对恶意代码采用混淆技术规避安全软件检测的问题，提出一种基于模型检测的恶意行为识别方法。方法将检测恶意　行为转换为模型对属性的验证过程：利用谓词时态逻辑公式描述代码的恶意行为，从程序执行过程中的系统调用轨迹提取基于谓词　标记的Ｋｒｉｐｋｅ结构，通过检测算法验证模型对公式的可满足性。实验结果表明以上方法可有效识别混淆后的恶意代码。　关键词　中图分类号模型检测　混淆ＴＰ３０９　逻辑　恶意代码　文献标识码Ａ　ＤＯＩ：１０．３９６９／ｊ．ｉ　ｓｎ．１０００－３８６ｘ．２０１５．０７．０６８　Ａ　ＭＡＬＩＣＩｏＵＳ　ＢＥＨＡＶＩｏＵＲ　ＤＥＴＥＣＴＩｏＮ　ＭＥＴＨｏＤ　ＢＡＳＥＤ　ｏＮ　ＭｏＤＥＬ　ＣＨＥＣＫＩＮＧ　Ｘｉ　Ｑｉ　Ｚｅｎｇ　Ｙｏｎｇｊｕｎ　Ｗａｎｇ　Ｑｉｎｇｘｉａｎ　Ｚｈｕ　Ｈａｉｘｉａｏ　（ＳｔａｔｅＫｅｙ　Ｌａｂｏｒａｔｏｒｙ　ｏｆＭａｔｈｅｍａｔｉｃａｌＥｎｇｉｎｅｅｒｉｎｇ　ａｎｄＡｄｖａｎｃｅｄ　Ｃｏｍｐｕｔｉｎｇ，Ｚｈｅｎｇｚｈｏｕ　４５０００２，ｌｔｅｎａｎ，Ｃｈｉｎａ）　（Ｃｈｉｎａ　Ｕｎｗｏｍ　Ｇｒｏｕｐ　Ｚｈｅｎｇｚｈｏｕ　Ｃｏｍｐａｎｙ　Ｌｉｍｉｔｅｄ，Ｚｈｅｎｇｚｈｏｕ　４５０００２，Ｈｅｎａｎ，Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ　Ａｉｍｉｎｇ　ａｔ　ｔｈｅ　ｐｒｏｂｌｅｍ　ｔｈａｔ　ｍａｌｉｃｉｏｕｓ　ｃｏｄｅ　ｅｖａｄｅｓ　ｓｅｃｕｒｉｔｙ　ｓｏｆｔｗａｒｅ　ｄｅｔｅｃｔｉｏｎ　ｂｙ　ｔｈｅ　ｍｅａｎｓ　ｏｆ　ｃｏｄｅ　ｏｂｆｕｓｃａｔｉｏｎ，ｔｈｉｓ　ｐａｐｅｒ　ｐｒｏ—　ｐｏｓｅｓ　ａ　ｍｏｄｅｌ　ｃｈｅｃｋｉｎｇ－ｂａｓｅｄ　ｍａｌｉｃｉｏｕｓ　ｂｅｈａｖｉｏｕｒ　ｉｄｅｎｔｉｉｆｃａｔｉｏｎ　ｍｅｔｈｏｄ．Ｉｔ　ｃｏｎｖｅｙｓ　ｔｈｅ　ｄｅｔｅｃｔｉｏｎ　ｏｆ　ｍａｌｉｃｉｏｕｓ　ｂｅｈａｖｉｏｕｒ　ｔｏ　ｔｈｅ　ｖａｌｉｄａｔｉｎｇ　ｐｒｏｃｅｓｓ　ｏｆ　ｍｏｄｅｌ　ｏｎ　ａｔｔｉｂｕｔｅ：ｕｓｉｎｇ　ｐｒｅｄｉｒｃａｔｅ　ｔｅｎｓｅ　ｌｏｇｉｃ　ｆｏｒｍｕｌａ　ｔｏ　ｄｅｓｃｒｉｂｅ　ｔｈｅ　ｍａｌｉｃｉｏｕｓ　ｂｅｈａｖｉｏｕｒ　ｏｆ　ｃｏｄｅ，ｅｘｔｒａｃｔｉｎｇ　ｔｈｅ　ｐｒｅｄｉｃａｔｅ　ｔａｇ－　ｂａｓｅｄ　Ｋｒｉｐｋｅ　ｓｔｒｕｃｔｕｒｅ　ｆｒｏｍ　ｓｙｓｔｅｍ’Ｓ　ｃａｌｌ　ｔｒａｃｅｓ　ｉｎ　ｐｒｏｇｒａｍ　ｅｘｅｃｕｔｉｏｎ　ｐｒｏｃｅｓｓ，ａｎｄ　ｖａｌｉｄａｔｉｎｇ　ｔｈｅ　ｓａｔｉｓｆｉａｂｉｌｉｔｙ　ｏｆ　ｍｏｄｅｌ　ｏｎ　ｆｏｒｍｕｌａ　ｂｙ　ｃｈｅｃｋｉｎｇ　ｌｇｏｒａｉｔｈｍ．Ｅｘｐｅｒｉｍｅｎｔｌ　ｒｅｓｕｌｔａｓ　ｄｅｍｏｎｓｔｒａｔｅ　ｔｈａｔ　ｔｈｅ　ｍｅｔｈｏｄ　ｍｅｎｔｉｏｎｅｄ　ａｂｔ￣ｖｅ　ｃａｎ　ｅｆｆｅｃｔｉｖｅｌｙ　ｉｄｅｎｔｉｆｙ　ｔｈｅ　ｏｂｆｕｓｃａｔｅｄ　ｍａｌｉｃｉｏｕｓ　ｃｏｄｅ．　Ｋｅｙｗｏｒｄｓ　Ｍｏｄｅｌ　ｃｈｅｃｋｉｎｇ　Ｏｂｆｕｓｃａｔｉｏｎ　Ｌｏｇｉｃ　Ｍａｌｉｃｉｏｕｓ　ｃｏｄｅ　模型进行检测，这种以指令为单位构建模型的方式容易导致状　０引　言　恶意代码检测技术是信息安全领域的研究重点，传统的基　于特征码签名的代码检测方法检查手段单一，对于采用代码变　态空间爆炸的问题；文献［７］用线性时序逻辑描述与安全相关　的ＡＰＩ调用，以此作为基础进行模型检测，但是这种方法只刻画　了ＡＰＩ之间时序的先后，未能描述ＡＰＩ之间的参数关联，因此存　在被ＡＰＩ混淆绕过的风险。　本文提出了一种基于模型检测的恶意代码识别方法，用一　形、混淆等技术…的恶意程序漏报率较高。为此，研究人员提　出基于行为的检测方法　Ｊ，利用代码在混淆前后保持行为等价　的特性进行检测。　目前代码行为特征主要有两类表示方法：一种是基于指令　组具有依赖关系的ＡＰＩ函数描述恶意行为，引入谓词时态逻辑　ＰＴＬ（Ｐｒｅｄｉｃａｔｅ　Ｔｅｍｐｏｒａｌ　Ｌｏｇｉｃ）描述ＡＰＩ调用的参数约束、数据　依赖以及时序关系等屙陛，从而构造出用于模型验证的ＰＴＬ公　式；通过对ＡＰＩ调用的监控和敏感数据的分析，构建程序的系统　调用轨迹并利用转换算法生成以谓词为标记的Ｋｒｉｐｋｅ结构，在　序列的表示方法，如Ｃｈｒｉｓｔｏｄｏｒｅｓｃｕ．Ｍ等人　将指令序列抽象　为语义模板等，此类方法对于诸如垃圾代码插入、寄存器替换等　简单的混淆手段有效，但是仍无法对抗等价指令替换等混淆技　术。另一种表示法是基于程序调用ＡＰＩ的情况，如用ＡＰＩ调用　序列、函数依赖关系图Ｈ　等构造行为特征，虽然提高了对指令　混淆的检测能力，但是也面临着垃圾函数插入等针对函数混淆　的挑战。　此基础上，通过模型检测算法验证ＰｒｒＬ公式的满足性以确定程　序是否具有恶意行为。实验结果表明本方法对于采用混淆后的　恶意代码具有较好的识别能力。　１恶意行为描述　ＡＰＩ函数是应用程序与操作系统交互的接口，程序通过ＡＰＩ　模型检测是一种基于时态逻辑的形式化验证技术，它通过　穷举模型的状态空间来检验系统是否满足期望的性质。在诸多　的验证方法中，模型检测凭借自动化程度高、实用性强等优点广　泛应用在硬件设计和通信协议等领域，并在漏洞挖掘、安全性检　函数的调用实现对系统资源的使用，因此用单个或一组ＡＰＩ调　收稿日期：２０１３—１２—２６。国家高技术研究发展计划主题项目　（２０１２ＡＡ０１２９０２）。奚琪，博士生，主研领域：网络信息安全。曾勇军，讲　测等软件领域也有很大进展。Ｋｉｎｄｅｒ．Ｊ等人　利用计算树谓词　逻辑公式描述恶意行为，将反汇编代码的指令序列构造为程序　师。王清贤，教授。朱海晓，工程师。　第７期　奚琪等：一种基于模型检测的恶意行为识别方法　２８５　用表示程序的行为是常见的行为描述方法。在代码分析与检测　过程中，我们只关注与安全相关的关键ＡＰＩ调用（ｃｒｉｔｃａｌ　ＡＰＩ　（６）ＥＦ（Ｌｏｃ（１１）ＡＥＦ（Ｌｏｃ（１３）））Ａ　ＥＦ（Ｌｏｃ（１２）ＡＥＦ（Ｌｏｃ　（１，））））　ｃａｌｌｓ）Ｉｓ］。为了将一组具有依赖关系的关键ＡＰＩ调用描述为可　用于模型检测的逻辑公式，我们引入了谓词集合Ｐ表示ＡＰＩ函　公式第１行中定义的变量作用于整个公式的范围，第２至４行　数、参数约束及数据依赖等原子属性。　谓词集合Ｐ＝｛　，Ｐ。，Ｐｏ｝，其中ＰＡ，Ｐ　，Ｐｏ分别表示函数　谓词子集、约束谓词子集和依赖谓词子集，各谓词子集定义如　下：（１）函数谓词子集　：：＝｛ｓｙｓｃａｌｌ（ｐ。，Ｐ　，Ｐ：，…，Ｐ　）｝中的谓　词ｓｙｓｃａｌｌ表示调用的关键ＡＰＩ函数名，ｍ为该函数的参数个数，　变量Ｐ。表示返回值，Ｐ　（１≤ｉ≤ｍ）表示第ｉ个参数变量；（２）约　分别定义了三个系统函数以及参数约束条件，其中第２行的ＩｓＶａｌｕｅ　谓词说明了其对应函数的第１个输入参数的值必须等于０。第５行　限定了三个函数之间的数据依赖关系，包括规定标识为ｚ．的函数的　参数Ｐ与标识为　的函数的参数ｑ值相等，标识为ｆ２的函数的参数　ｒ与标识为屯的函数的参数ｔ存在依赖关系。第６行说明了三个函　数之间的时序限制，表明函数ＧｅｔＭｏｄｕｌｅＦｉｌｅＮａｍｅ与ＧｅｔＳｙｓｔｅｍＤｉｒｅｃ－　ｔｏｒｙ之间并没有严格的时序要求，但它们都必须在函数ＣｏｐｙＦｉｌｅ之　束谓词子集Ｐ　：：：｛Ｌｏｃ（　），ＩｓＶａｌｕｅ（Ｐ，ｃ）｝表示ＡＰＩ函数的约　束条件，通常与函数谓词成对出现，其中谓词Ｌｏｃ表示对应函数　的调用位置，其变量Ｚ　为函数的唯一标识，谓词ＩｓＶａｌｕｅ表示对　应函数的参数Ｐ取值等于常量ｃ，常量ｃ为字符串型或整型；（３）　依赖谓词子集Ｐ。：：＝｛Ｔａｉｎｔ（ｆｌ，Ｐ，ｚ，，ｑ），Ｅｑｕａｌ（　，Ｐ，ｚ，，ｑ）｝用于　定义关键ＡＰＩ调用之间的数据依赖关系，其中谓词Ｔａｉｎｔ表示函　数标识号为　的参数Ｐ定义的数据被函数标识号为ｚ　的参数ｑ　所使用；谓词Ｅｑｕａｌ表示函数标识号为　的参数Ｐ与函数标识　号为ｚ　的参数ｑ的值相等。　在上述定义的谓词集合基础上，通过引入逻辑关系符“＾，　Ｖ，　”、时态算子“ＥＦ”和限定词“了Ｖ”就能够表达一组关键　ＡＰＩ调用的内在属性及关系属性，将较为复杂的恶意行为形式　化为相应的ＰＴＬ公式。下面给出　Ｌ公式的语法结构：　：：＝ｐｌ　Ｖ　（　）ｌ　ｊ　（　）Ｉ（　）ｌ（　人　２）Ｉ（　Ｖ　：）ＩＥＦ　令　，　，　：为ＰＴＬ公式，原子公式Ｐ∈Ｐ，　和Ｖ将变量限　定在公式的一定范围中，ＥＦ　表示“将来存在一个可达状态ｓ　满足　”。下面从模型　在何种条件下满足公式　的角度给　出ＰＩＬ的语义解释，首先给出程序模型的定义。　定义１程序模型Ｍ：（Ｓ，Ｒ，￡）是一个Ｋｒｉｐｋｅ结构，其中Ｓ　为状态集合，尺　Ｓ×Ｓ表示状态之间的迁移关系，　：ｓ一２　为状　态标记函数。　设Ｍ＝（Ｓ，Ｒ，Ｌ）是关于谓词时态逻辑的一个模型，ｓ∈Ｓ，　，　，　为Ｐ，ｒＬ公式，约束变量　的定义域为　。ＰｒＬ公式的语　义解释如下：　（１）Ｍ，ｓＩ＝ｐ当且仅当Ｐ∈　（ｓ）；　（２）Ｍ，５ｌ＿Ｖ　（　），对于所有的ｔＥ　Ｔ，使得Ｍ，ｓ［－　；　（３）Ｍ，ｓＩ＝ｊ　（　），存在ｔＥ　Ｔ，使得Ｍ，ｓＩ＝　；　（４）Ｍ，ｓｌ＝　当且仅当Ｍ，引≠　；　（５）Ｍ，ｓＩ－　ｌ　Ａ　２当且仅当Ｍ，ｓｌ＝　ｌ　ＡＭ，ｓＩ＝　２；　（６）Ｍ，ｓＩ＝　Ｖ　２当且仅当Ｍ，ｓ［－．　。ＶＭ，ｓｌ＿　；　（７）Ｍ，Ｓ　ｌ＝ＥＦｔＰ当且仅当存在一条以ｓ开始的路径仃：　ｓ　ｌ＿ｓ２＿÷…，存在Ｍ，Ｓ　Ｉ＿　下面以病毒ｍｙｄｏｏｍ．ｂｈ的自我复制行为为例说明ＰＴＬ公　式。该病毒通过ＧｅｔＭｏｄｕｌｅＦｉｌｅＮａｍｅ和ＧｅｔＳｙｓｔｅｍＤｉｒｅｃｔｏｒｙ函数　实现对病毒文件的路径和系统目录的获取，然后利用ＣｏｐｙＦｉｌｅ　函数将自身复制到系统目录下。三个函数的参数约束及依赖关　系转化为ＰＴＬ公式如下：　（１）ｊＰ　ｑ　ｒ　ｔ｜ｌ】ｊ１２　１３（　（２）　Ｐ。ｊ　Ｐ１　ｊ　Ｐ３（ＥＦ（Ｌｏｃ（１１）ＡＧｅｔＭｏｄｕｌｅＦｉｌｅＮａｍｅ（ｐ。，Ｐｌ，　Ｐ，Ｐ３）＾（ＩｓＶａｌｕｅ（Ｐ　，Ｏ）））＾　（３）　ｊＰ。了Ｐ２（ＥＦ（Ｌｏｃ（１２）＾ＧｅｔＳｙｓｔｅｍＤｉｒｅｃｔｏｒｙ（Ｐ。，ｒ，Ｐ２）＾　（４）　３Ｐ。　Ｐ３（ＥＦ（Ｌｏｃ（１３）ＡＣｏｐｙＦｉｌｅＡ（Ｐ。，ｑ，ｔ，Ｐ３）））Ａ　（５）Ｅｑｕａｌ（１１，Ｐ，１３，ｑ）ＡＴａｉｎｔ（１２，ｒ，１＂ｔ）Ａ　前调用。　２软件行为建模　为了检测验证属性的满足性，必须将目标二进制程序抽象或转　化为特定的软件模型。本文提出了一种基于系统调用轨迹的建模　方法：通过收集程序运行时的关键ＡＰＩ调用的信息，生成程序的系　统调用轨迹，利用谓词转换算法将执行轨迹转换为Ｋｒｉｐｋｅ结构。下　面对建模过程详细描述。　２．１系统调用轨迹的生成　首先给出系统调用轨迹的定义。　定义２系统调用轨迹是指程序运行过程中调用的关键　ＡＰＩ函数序列，记为有向图Ｇ：（Ｖ，Ｅ）。其中　为节点集合，节　点　ｉ∈Ｖ表示程序运行时调用的关键ＡＰＩ函数，记为四元组口ｉ　＝（１ｏｃ，ｓｙｓｃａＵ，ｐｖａｌｕｅ，ｔａｉｎｔ），其中　表示函数的虚拟地址，ｓ　ｓｃａｌｌ表示函数的名称，ｗａｌｕｅ表示函数调用时各参数的具体值，　记为（　＝　，ｐ　＝　，…，Ｐ　＝　），其中ｐＩ（　≤Ｊ｝）为第ｉ个参数　名称，　为ｐｌ的具体值集合，ｔａｉｎｔ为一个四元组（　，Ｐｉ，／ｏｃ，　Ｐ。），表示虚拟地址为／ｏｃｉ的函数参数ｐ　定义的数据被本函数的　参数Ｐ　所使用。Ｅ为有向边的集合，边ｅ＝（　，ｖｉ）表示　为　紧邻的下一个关键ＡＰＩ调用。　在系统调用轨迹中，虚拟地址、函数名及具体的参数值可以　通过对系统函数的监控直接获得，但是函数问的数据依赖关系　需要对函数参数进行数据流分析才能够确定。我们为此采用了　污点分析技术　Ｊ。污点分析技术先将敏感数据标记为污点，然　后根据污点传播规则计算污点源的传播路径，以此为依据提取　系统函数之间的数据依赖关系。为了便于描述污点选择策略和　传播策略，给出如下规则：　规则１若ＰＴＬ公式　存在谓词Ｔａｉｎｔ（ｆ，，　，ｚ２，ｙ），设Ｌｏｃ　（ｆ　）对应的函数名称为ｓｎａｍｅ，则在系统调用轨迹中所有函数名　为ｓｎａｍｅ的参数　均被标记为污点。　规则２设系统函数Ｆ＝｛Ｐ　，Ｐ　｝，其中Ｐｉ　为输人参数，　Ｐ。　为输出参数（含返回值），若Ｐ　为污点，则标记Ｐ　为Ｐｉ　的污　点。　初始污点依据规则１进行选择，当初始污点标记完成后，通　过对代码执行过程实现指令级的监控，按照污点传播规则记录　污点传播路径。污点传播规则分为指令传播规则和函数传播规　则：指令传播规则根据指令的类型进行编写，主要针对运算类型　的指令和内存操作的指令。函数传播规则针对具体的系统函数　而制定，如规则２所示。根据污点传播规则，设函数　的调用　地址为ｚ　，函数　的调用地址为　，若　的参数　为污点，Ｆ２　在污点　的传播路径上且被污染的数据为其参数Ｙ时，则将依　赖信息ｔａｉｎｔ（ｆ　，　，ｚ：，Ｙ）记录在函数Ｆ２的节点信息中。图１展　第７期　奚琪等：一种基于模型检测的恶意行为识别方法　续表２　２８７　而成。模型检测器以程序模型脑和　Ｌ公式　为输入，通过　标记算法进行验证，若　，ｓ　ｌ＿　，则返回值为真，表示检测程序　具有恶意行为且给出　代表的行为，否则为返回值为假。　样本名称　Ｄｏｗｎｌｏａｄｅｒ．ｂｄ　关键系统　调用总数　３１７　模型　状态数　１２１　检测结果　ＹＥＳ　满足公式　序号　１，２，３　３．２实验测试　为了验证ＭＢＤＳ检测恶意行为的准确性，我们分别安排了　三组实验。　Ｍｙｄｏｏｍ．ｂｈ　ＮｅｔＳｋｖ．ａｃ　４６９　５６４　１７７　２１３　ＹＥＳ　ＹＥＳ　１，３　ｌ　第一组实验测试ＭＢＤＳ对常见恶意代码的识别能力。实验　选择的样本来自Ｖｘ　Ｈｅａｖｅｎ¨　提供的病毒样本库。我们以自我　复制行为作为特征对样本进行检测并对实验结果进行分析。表　１给出了三种采用不同ＡＰＩ调用组合实现的自我复制的方法所　ＳａｌｉｔｙＳｔｕｂ．ａ　ｇｈｏｓｔ　２１４　５４９　６３　１５７　ＹＥＳ　Ｎ０　３　ＮＵＩ工　对应的ＰＴＬ公式。在模型构造过程中，为了将程序模型的状态　数量控制在有限范围内，我们设置了１Ｏ秒钟为程序运行时限，　超过时限仍在运行的程序将被主动终止。表２展示了样本对自　我复制行为的检测结果。　表１自我复制行为的ＰＴＬ公式　序号　吼公式　ｊｎｌｊ　ｎ３　ｒｊｔ３　ｓｊ　ｕ３ｖｊｗ３１１　ｊ１２　ｈ了１４　ｊ１５（　ｐ。　ｐｌ　ｐ３（ＥＦ（Ｌｏｃ（１１）Ａ　ＧｅｔＭｏｄｕｌｅＦｉｌｅＮａｍｅ（Ｐ０，Ｐｌ，ｎｌ，　１　Ｐ３）Ａ（ＩｓＶａｉｕｅ（Ｐ１，０）ＶＩｓＶａｉｕｅ（Ｐｌ，Ｏｘ４０００００））））＾　了Ｐ。　Ｐ２　Ｐ３（ＥＦ（Ｌｏｃ（１２）Ａ　ＣｏｐｙＦｉｌｅＡ（Ｐ。，ｎ，Ｐ２，Ｐ３）））Ａ　（Ｅｑｕａｌ（１Ｉ，ｍ，１２，ｎ））ＡＥＦ（Ｌｏｃ（１１）ＡＥＦ（Ｌｏｃ（１２）））　３ｍ了ｎｊ　ｒ了ｔｊ　８了ｕｊ　ｖ了ｗ３１１　ｊ１２　ｊ１３　３１４　ｊ１５（　Ｐ。３Ｐｌ　３Ｐ３（ＥＦ（Ｌｏｃ（１１）Ａ　ＧｅｔｂｉｏｄｕｌｅＦｉｌｅＮａｍｅ（Ｐ。，Ｐ１，ｍ，　Ｐ３）Ａ（ＩｓＶａｉｕｅ（Ｐｌ，Ｏ）ＶＩｓＶａｉｕｅ（Ｐ１，０ｘ４０００００））））＾　了Ｐ２　ｊＰ３　ｊｐ４　ｊＰ５　３Ｐ６　３Ｐ７（ＥＦ（Ｌｏｃ（１２）Ａ　ＣｒｅａｔｅＦｉｌｅＡ（ｒ，ｎ，　Ｐ２，Ｐ３，Ｐ４，Ｐ５，Ｐ６，Ｐ７）））Ａ　３Ｐ１　ｊＰ２　３Ｐ３　３Ｐ４　３Ｐ５　３Ｐ６　３Ｐ７（ＥＦ（Ｌｏｃ（１３）Ａ　ＣｒｅａｔｅＦｉｌｅＡ　２　（ｕ，Ｐ１，Ｐ２，Ｐ３，Ｐ４，Ｐ５，Ｐ６，Ｐ７）））Ａ　３Ｐ。　ｐ３　ｊ　Ｐ４　３ｐ５（ＥＦ（Ｌｏｃ（１４）ＡＲｅａｄＦｉｌｅ（Ｐ。，ｓ，ｔ，Ｐ３，Ｐ４，　Ｐ５）））Ａ　３ｐ。ｊＰ３　Ｐ４　Ｐ５（ＥＦ（Ｌｏｃ（１５）ＡＷｒｉｔｅＦｉｌｅ（Ｐ。，Ｖ，ｗ，　Ｐ３，Ｐ４，Ｐ５）））Ａ（Ｅｑｕａｌ（Ｉ１，ｎｌ，Ｉ３，ｎ）Ａ　Ｅｑｕａｌ（１２，ｉｔ＂，ｌ４ｌ　ｓ）＾　Ｅｑｕａｌ（１３，ｕ，１５，ｖ）ＡＥｑｕａｌ（１４，ｔ，１５，ｗ））ＡＥＦ（ＬＱｃ（１１）＾ＥＦ　（Ｌｏｃ（１２）Ａ　ＥＦ（Ｌｏｃ（１４）））Ａ（Ｌｏｃ（１２）＾ＥＦ（Ｌｎｃ（１５）））Ａ　（Ｌｏｃ（１４）Ａ　ＥＦ（Ｌｏｃ（Ｉ５））））　ｊｍ　ｎｊ　ｒ　ｔ３　ｓ３ｑ３　ｘ３ｕｊ　ｖ　ｗ３Ｉ１　ｊＩ２　ｊＩ３　Ｉ４刁１５　ｊＩ６（　ｊＰ。３Ｐｌ　ｊＰ３（ＥＦ（Ｌｏｃ（Ｉ１）ＡＧｅｔＭｏｄｕｌｅＦｉｌｅＮａｍｅ（Ｐ。，Ｐｌ，ｎｌ，　Ｐ３）Ａ（ＩｓＶａｌｕｅ（Ｐ１，０）ＶＩｓＶａｈｅ（ｐｌ，０ｘ４０ＯＯ００））））Ａ　ｐ２　３ｐ３了ｐ４　Ｐ５了ｐ６　３ｐ７（ＥＦ（Ｌ０ｃ（１２）Ａ　ＣｒｅａｔｅＦｉｌｅＡ（ｒ，ｉ１，　Ｐ２，Ｐ３，Ｐ４，Ｐ５，Ｐ６，Ｐ７）））Ａ　ｊｐｔ　３　ｐ２　ｊｐ３习ｐ４｜ｐ５　ｊｐ６　ｊＰ７（ＥＦ（Ｌｏｃ（１３）Ａ　ＣｒｅａｔｅＦｉｌｅＡ　（ｕ，Ｐｌ，Ｐ２，Ｐ３，Ｐ４，Ｐ５，Ｐ６，Ｐ７）））Ａ　３　了Ｐ２　３Ｐ３了Ｐ４　３ｐ５　ｊＰ６（ＥＦ（Ｌｏｃ（１４）ＡＣｒｅａｔｅＦｉｌｅｂｌａｐｐｉｎｇ（ｔ，ｓ，　Ｐ２，Ｐ３，Ｐ４，Ｐ５，Ｐ６））Ａ　了Ｐ２了Ｐ３　ｐ４　３ｐ５（ＥＦ（Ｌｏｃ（１５）ＡＭａｐＶｉｅｗｏｆｆ＇ｉｌｅ（ｘ，ｑ，Ｐ２，Ｐ３，　Ｐ４，Ｐ５）））Ａ　了Ｐ。了Ｐ３ｊＰ４　３ｐ５（ＥＦ（Ｌｏｃ（１６）ＡＷｒｉｔｅＦｉｌｅ（Ｐ。，ｖ，ｗ，Ｐ３，Ｐ４，　Ｐ５）））Ａ（Ｅｑｕａｌ（Ｉｌ，ｍ，Ｉ３，ｎ）ＡＥｑｕａｌ（１２，ｒ，１４，ｓ）ＡＥｑｕａｌ（１４，ｔ，　１５，ｑ）ＡＥｑｕａｌ（１３，ｕ，ｌ６，ｖ））ＡＴａｉｎｔ（１５，ｘ，１６，ｗ）＾ＥＦ（Ｌｏｃ（Ｉ１）　ＡＥＦ（Ｌｏｃ（Ｉ２）ＡＥＦ（Ｌｏｃ（Ｉ４）ＡＥＦ（１ｏｃ（１５））））Ａ（Ｌｏｃ（１２）Ａ　ＥＦ（ｎｏ￣（１６）））Ａ（　（Ｉ５）ＡＥＦ（　（１６））））　表２对自我复制行为的检测结果　样本名称　关键系统　模型　检测结果　满足公式　调用总数　状态数　序号　Ａｕｔｏｒｕｎ．ｆｑ　４７４　ｌｌ８　ＹＥＳ　２　Ｌｏｖｅｌｅｔｔｅｒ．ａ　３２９　１０４　ＹＥＳ　１　表２的数据主要包括代码运行调用的关键系统调用数、行　为模型的状态数、检测结果以及被满足的ＰＴＬ公式序号。从实　验的结果可以看出，删除重复调用的关键ＡＰＩ函数后，模型状态　总数比ＡｔＩ调用数量少得多，这有利于提高检测算法效率。多　数样本被检测出一种或多种自我复制行为，个别样本（如ｇｈｏｓｔ）　将代码硬编码后保存在文件体中，执行时通过读内存的方式直　接写入新建文件，该操作被归类到“创建文件”行为而没有归类　于“自我复制”行为。　第二组实验为了检测ＭＢＤＳ对抗混淆技术的能力，并与　ＮＯＤ３２、卡巴斯基（ＫＡＶ）、诺顿（Ｎｏｒｔｏｎ）等杀毒软件进行了对　比。我们选取了一个开源的病毒样本ｎｅｔｓｋｙ　ａｅ，通过垃圾代码　插入、寄存器变换、指令乱序、等价指令替换、插入垃圾调用以及　综合多种手段等混淆方式对代码进行了修改，生成了不同变种。　测试结果如表３所示。　裹３寨金较件的检测效果比较　病毒样本　混淆手段　Ｎ０Ｄ３２　ＫＡＶ　Ｎａｒｔ０ｎ　ＭＢＤＳ　ｎｅｔｓｋｙ．ａｅ　ＹＥＳ　ＹＥｓ　ＹＥＳ　ＹＥＳ　ｎｅｔｓｋｙ．ａｅａ　垃圾代码插入　ＹＥＳ　ＹＥＳ　ＹＥＳ　ＹＥＳ　ｎｅｔａｋｙ．ａｅｂ　寄存器变换　ＹＥＳ　ＹＥＳ　Ｎ０　ＹＥＳ　ｎｅｔｓｋｙ．ａｅｃ　指令乱序　Ｎ０　ＹＥＳ　ＹＥＳ　ＹＥＳ　ｎｅｔｓｋｖ．ａｅｄ　等价指令替换　Ｎ０　Ｎ０　Ｎ０　ＹＥＳ　ｎｅｔｓｋｖ．ａｅｅ　插入垃圾调用　ＹＥＳ　ＹＥＳ　ＹＥＳ　ＹＥＳ　ｎｅｔｓｋｙ．ａｅｆ　综合混淆　Ｎ０　Ｎ０　Ｎ０　ＹＥＳ　从表３的数据可以看出，对于当前杀毒软件使用以特征签　名匹配为主，系统调用序列匹配为辅的检测手段，仅依靠一种混　淆技术很难绕过检测。但是，如果综合采用多种混淆手段，尤其　是等价指令替换与插入垃圾调用相结合的方法则可成功绕过大　多数杀毒引擎。通过实验结果可见，相比较于传统的检测手段，　本文提出的基于模型检测的恶意行为识别方法更具优势。　４结语　本文提出了一种基于模型检测技术的恶意代码识别方法。　相较于用线性时态逻辑（ＬＴＬ）和计算树时态逻辑（ＣＴＬ）描述的　恶意行为，本文采用谓词时态逻辑刻画的ＡＰＩ函数的属性更加　丰富，因此能够描述更为复杂的行为。实验结果说明了本方法　不仅能够验证代码的恶意行为，而且相较于传统的杀毒软件能　够更有效识别经过混淆后的恶意代码。　由于本文是采用代码运行过程中获得系统调用轨迹的方　（下转第３２２页）　３２２　计算机应用与软件　２０１５生　特征来表征图像内容；然后，针对传统图像聚类算法对初始参数　敏感且计算复杂度高的问题，采用基于ｕｎｉｏｎ—ｉｆｎｄ方法对投票结　果进行聚类。最后，采用ｐｕｒｉｔｙ和ｅｎｔｒｏｐｙ指标评价本文方法的　性能。实验结果验证了本文方法在处理含有大量孤立噪声点图　［１７］ＡｈｏＡＶ，Ｈｏｐｃｒｏｆｔ　Ｊ　Ｅ，Ｕｌｌｍａｎ　ＪＤ．计算机算法的设计与分析［Ｍ］．　黄林鹏，王德俊，张仕，译．北京：机械工业出版社，２００７：７７—８３．　［１　８］Ｋｅ　Ｙ，Ｓｕｔｈａｎｋａｒ　Ｒ，Ｈｕｓｔｏｎ　Ｌ．Ｅｆｉｃｆｉｅｎｔ　ｎｅｒａ－ｄｕｐｌｉｃａｔｅ　ｄｅｔｅｃｔｉｏｎ　ａｎｄ　ｓｕｂ—ｉｍａｇｅ　ｒｅｔｒｉｅｖａｌ［Ｃ］／／Ｐｏｒｅｅｅｄｉｎｇｓ　ｏｆｔｈｅＡＣＭＩｎｔｅｒｎａｔｉｏｎａｌＣｏｎｆｅｒ－　ｅｎｃｅ　ｏｎ　Ｍｕｌｔｉｍｅｄｉａ，２００４：８６９—８７６．　像聚类时的有效性。　需要指出的是，由于本文方法是基于阈值判别的方法，因此　可能会漏掉背景复杂度简单的类，下一步将研究基于模式学习　的方法。同时，当数据集规模急剧增大时，本文算法在实际应用　［１９］Ｃｈｅｎ　Ｙ，Ｗａｎｇ　Ｊ　Ｚ，Ｋｒｏｖｅｔｚ　Ｒ．ＣＬＵＥ：Ｃｌｕｓｔｅｉｍｇ—ｂａｓｅｄ　ｒｅｔｉｒｅｖｌａ　ｏｆ　ｉｍａｇｅｓ　ｂｙ　ｕｎｓｕｐｅｒｖｉｓｅｄ　ｌｅａｒｎｉｎｇ［Ｊ］．ＩＥＥＥ　Ｔｒａｎｓ．Ｏｎ　Ｉｍａｇｅ　Ｐｒｏｃｅｓｓ－　ｉｎｇ，２００５，１４（８）：１１８７—１２０１．　一　中同样会受到计算复杂度高的限制。　（上接第２８７页）　参考文献　式，因此只覆盖了程序的一条执行路径，所构建的程序行为模型　［１］Ｓｉｌｅｓｈｉ　Ｍ，Ｇａｍｂａｃｋ　Ｂ．Ｅｖａｌｕａｔｉｎｇ　Ｃｌｕｓｔｅｒｉｎｇ　Ａｌｇｏｒｉｔｈｍｓ：Ｃｌｕｓｔｅｒ　Ｑｕａｌｉｔｙ　ａｎｄ　Ｆｅａｔｕｒｅ　Ｓｅｌｅｃｔｉｏｎ　ｉｎ　Ｃｏｎｔｅｎｔ—Ｂａｓｅｄ　Ｉｍａｇｅ　Ｃｌｕｓｔｅｒｉｎｇ　并不完备，可能会出现恶意行为漏报的情况。下一步的工作将　重点研究代码多路径发掘，在此基础上期望构建更完备的程序　模型，降低检测的漏报率。　［Ｃ］／／ＷＲＩ　Ｗｏｒｌｄ　Ｃｏｎｇｒｅｓｓ　ｏｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｅｎ—　ｇｉｎｅｅｒｉｎｇ，２００９：４１６—４２２．　［２］Ｓｉｖｉｃ　Ｊ，Ｚｉｓｓｅｒｍａｎ　Ａ．Ｖｉｄｅｏ　Ｇｏｏｇｌｅ：Ａ　ｔｅｘｔ　ｒｅｔｉｒｅｖａｌ　ａｐｐｒｏａｃｈ　ｔｏ　ｏｂｊｅｃｔ　ｍａｔｃｈｉｎｇ　ｉｎ　ｖｉｄｅｏｓ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆｔｈｅ　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒ－　ｅｎｃｅ　ｏｎ　Ｃｏｍｐｕｔｅｒ　Ｖｉｓｉｏｎ，２００３：１４７０—１４７７．　参考文献　［１］Ｓｅｂａｓｔｉａｎ　Ｓｃｈｒｉｔｔｗｉｅｓｅｒ，Ｓｔｅｆａｎ　Ｋａｔｚｅｎｂｅｉｓｓｅｒ．Ｃｏｄｅ　Ｏｂｆｕｓｃａｔｉｏｎ　ａ—　ｇａｉｎｓｔ　Ｓｔｍｉｃ　ａｎｄ　Ｄｙｎａｍｉｃ　Ｒｅｖｅｒｓｅ　Ｅｎｇｉｎｅｅｒｉｎｇ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｈｅ　１３ｔｈ　ｉｔｎｔｅｒｎａｔｉｏｎａｌ　ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　ｉｆｏｒｎｍａｔｉｏｎ　ｈｉｄｉｎｇ，Ｖｉｅｎｎａ，　Ｓｐｒｉｎｇｅｒ—Ｖｅｒｌａｇ　Ｐｒｅｓｓ，２０１１：２７０—２８４．　［３］Ｊｅｇｏｕ　Ｈ，Ｄｏｕｚｅ　Ｍ，Ｓｃｈｉｍｉｄ　Ｃ．Ｉｍｐｒｏｖｉｎｇ　ｂａｇ—ｏｆ－ｆｅａｔｕｒｅｓ　ｆｏｒ　ｌａｒｇｅ　ｓｃａｌｅ　ｉｍａｇｅ　ｓｅａｒｃｈ［Ｊ］．Ｉｎｔｅｒｎａｔｉｏｎａｌ　ｊｏｕｒｎａｌ　ｏｆ　ｃｏｍｐｕｔｅｒ　ｖｉｓｉｏｎ，　２０１０，８７（３）：３１６—３３６．　［２］Ｋｏｎｒａｄ　Ｒｉｅｃｋ，Ｐｈｉｌｉｐｐ　Ｔｒｉｎｉｕｓ，Ｃａｒｓｔｅｎ　Ｗｉｌｌｅｍｓ．Ａｕｔｏｍａｔｉｃ　ａｎａｌｙｓｉｓ　ｏｆ　ｍａｌｗａｒｅ　ｂｅｈａｖｉｏｒ　ｕｓｉｎｇ　ｍａｃｈｉｎｅ　ｌｅａｒｎｉｎｇ［Ｊ］．Ｊｏｕｒｎａｌ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｅｃｕｒｉｔｙ，２０１ｌ，１９（４）：６３９—６６８．　［４］Ｊｉｎｇ　Ｙａｎ　Ｗ，Ｂｅｎｓｍａｉｌ　Ｈ，Ｇａｏ　Ｘ．Ｊｏｉｎｔ　ｌｅａｒｎｉｎｇ　ａｎｄ　ｗｅｉｇｈｔｉｎｇ　ｏｆ　ｖｉｓ－　ｕａｌ　ｖｏｃａｂｕｌａｒｙ　ｆｏｒ　ｂａｇ—ｏｆ－ｆｅａｔｕｒｅ　ｂａｓｅｄ　ｔｉｓｓｕｅ　ｃｌａｓｓｉｆｉｃａｔｉｏｎ［Ｊ］．Ｐａｔｔｅｒｎ　Ｒｅｃｏｇｎｉｔｉｏｎ，２０１３，４６（１２）：３２４９—３２５５．　［３］Ｃｈｒｉｓｔｏｄｏｒｅｓｃｕ　Ｍ，Ｊｈａ　Ｓ，Ｓｅｓｈｉａ　ＳＡ，ｅｔ　ａ１．Ｓｅｍａｎｔｉｃｓ．Ａｗａｒｅ　ｍａｌｗａｒｅ　ｄｅｔｅｃｔｉｏｎ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　２００５　ＩＥＥＥ　Ｓｙｍｐｏｓｉｕｍ　ｏｎ　Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｐｒｉｖａｃｙ，Ｗａｓｈｉｎｇｔｏｎ，ＤＣ，ＵＳＡ，Ｓｐｒｉｎｇｅｒ—Ｖｅｄａｇ　Ｐｒｅｓｓ，２００５：３２　—［５］Ｐｅｎａｔｔｉ　Ｏ　Ａ　Ｂ，Ｆｅｒｎａｎｄａ　Ｂ　Ｓ，Ｖａｌｌｅ　Ｅ．Ｖｉｓｕａｌ　ｗｏｒｄ　ｓｐａｔｉａｌ　ａｒｒａｎｇｅ—　ｍｅｎｔ　ｆｏｒ　ｉｍａｇｅ　ｒｅｔｉｒｅｖａｌ　ａｎｄ　ｃｌａｓｓｉｉｆｃａｔｉｏｎ［Ｊ］．Ｐａｔｔｅｒｎ　Ｒｅｃｏｇｎｉｔｉｏｎ　２０１４，４７（１２）：７０５—７２０．　４６．　［６］Ｌｉ　Ｚ，Ｋｉｍ—Ｈｕｉ　Ｙ．Ａｎ　ｅｆｉｃｉｆｅｎｔ　ａｐｐｒｏａｃｈ　ｆｏｒ　ｓｃｅｎｅ　ｃａｔｅｇｏｒｉｚａｔｉｏｎ　ｂａｓｅｄ　ｏｎ　ｄｉｓｃｒｉｍｉｎａｔｉｖｅ　ｃｏｄｅｂｏｏｋ　ｌｅａｒｎｉｎｇ　ｉｎ　ｂａｇ—ｏｆ－ｗｏｒｄｓ　ｆｒａｍｅｗｏｒｋ［Ｊ］．　Ｉｍａｇｅ　ａｎｄ　Ｖｉｓｉｏｎ　Ｃｏｍｐｕｔｉｎｇ，２０１３，３１（６）：７４８—７５５．　［４］Ｙｏｕｎｇｈｅｅ　Ｐａｒｋ，Ｄｏｕｇｌｓ　Ｒｅｅｖｅｓ，Ｖｉａｋｒａｍ　Ｍｕｌｕｋｕｔｌａ．Ｆａｓｔ　ｍａｌｗａｒｅ　ｃｌｓｓａｉｆｉｃａｔｉｏｎ　ｂｙ　ａｕｔｏｍａｔｅｄ　ｂｅｈａｖｉｏｒｌａ　ｇｒａｐｈ　ｍａｔｃｈｉｎｇ［Ｃ］／／Ｐｒｏｃｅｅｄ－　ｉｎｇｓ　ｏｆ　ｈｅ　Ｓｉｔｘｔｈ　Ａｎｎｕｍ　Ｗｏｒｋｓｈｏｐ　ｏｎ　Ｃｙｂｅｒ　Ｓｅｃｕｒｉｔｙ　ａｎｄ　Ｉｆｏｒｎｍａｔｉｏｎ　Ｉｎｔｅｌｌｉｇｅｎｃｅ　Ｒｅｓｅａｒｃｈ．Ｎｅｗ　Ｙｏｒｋ，ＮＹ，ＵＳＡ，ＡＣＭ　Ｐｒｅｓｓ，２０１０：Ａｒｔｉ－　、　［７］万建平，彭天强，李弼程．基于证据理论的视频语义概念检测　［Ｊ］．数据采集与处理，２０１１，２６（５）：５３６—５４１．　ｃａｌ　Ｎｏ．４５．　［８］蔺博宇，郭志刚，李弼程，等．基于随机化映射和模式熵的近似重　复图像检测［Ｊ］．数据采集与处理，２０１２，２７（３）：３６３—３６７．　［９］Ｚｈａｏ　Ｗ，Ｎｇｏ　Ｃ，Ｔａｎ　Ｈ，ｅｔ　ａ１．Ｎｅａｒ　ｄｕｐｌｉｃａｔｅ　ｋｅｙｆｒａｍｅ　ｉｄｅｎｆｉｃａｔｉｏｎ　［５］Ｍａｒｔｉｎａ　Ｌｉｎｄｏｆｒｅｒ，Ｃｌｅｍｅｎｓ　Ｋｏｌｂｉｔｓｃｈ，Ｐａｏｌｏ　Ｍｉｌａｎｉ　Ｃｏｍｐａｒｅｔｔｉ．Ｄｅ－　ｔｅｅｔｉｎｇ　Ｅｎｖｉｒｏｎｍｅｎｔ—Ｓｅｎｓｉｔｉｖｅ　Ｍａｌｗａｒｅ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　１４ｔｈ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｓｙｍｐｏｓｉｕｍ　ＲＡＩＤ，Ｍｅｎｌｏ　Ｐａｒｋ，ＣＡ，ＵＳＡ，Ｓｐｒｉｎｇｅｒ—　Ｖｅｒｌｇ　Ｐｒａｅｓｓ，２０１１：３３８—３５７．　ｗｉｔｈ　ｉｎｔｅｒｅｓｔ　ｐｏｉｎｔ　ｍａｔｃｈｉｎｇ　ａｎｄ　ｐａｔｔｅｎ　ｒｌｅａｒｎｉｎｇ［Ｊ］．ＩＥＥＥ　Ｔｒａｎｓａｃ—　ｔｉｏｎｓ　ｏｎ　Ｍｕｈｉｍｅｄｉａ，２００７，９（５）：１０３７—１０４８．　［６］Ｋｉｎｄｅｒ　Ｊ，Ｋａｔｚｅｎｂｅｉｓｓｅｒ　Ｓ，Ｓｃｈａｌｌｈａｒｔ　Ｃ，ｅｔ　ａ１．Ｄｅｔｅｃｔｉｎｇ　ｍａｌｉｃｉｏｕｓ　ｃｏｄｅ　ｂｙ　ｍｏｄｅｌ　ｃｈｅｃｋｉｎｇ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｈｅ　ｔＳｅｃｏｎｄ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｄｅｔｅｃｔｉｏｎ　ｏｆ　Ｉｎｔｒｕｓｉｏｎｓ　ａｎｄ　Ｍａｌｗａｒｅ，ａｎｄ　Ｖｕｌｎｅｒａｂｉｌｉｔｙ　Ａｓｓｅｓｓｍｅｎｔ．Ｖｉｅｎｎａ：Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌｇ　Ｐｒｅｓｓ，２００５：１７４—１８７．ａ　［１０］Ｍｉｋｏｌａｊｃｚｙｋ　Ｋ，Ｔｕｙｔｅｌａａｒｓ　Ｔ，Ｓｃｈｍｉｄ　Ｃ，ｅｔ　１ａ．Ａ　ｃｏｍｐａｒｉｓｏｎ　ｏｆａｆｉｎｅ　ｒｅ—　ｇｉｏｎ　ｄｅｔｅｃｔｏｒｓ［Ｊ］．Ｉｎｔ．Ｊｏｕｒｎａｌ　ｏｎ　Ｃｏｍｐｕｔｅｒ，２００５，６５（２）：４３—７２．　［１１］Ｍｉｋｏｌａｊｅ￣ｋ　Ｋ，Ｓｃｈｍｉｄ　Ｃ．Ａ　ｐｅｒｆｏｒｍａｎｃｅ　ｅｖａｌｕａｔｉｏｎ　ｏｆ　ｌｏｃａｌ　ｄｅｓｃｒｉｐ—　ｔｏｔｓ［Ｊ］．ＩＥＥＥ　Ｔｒａｎｓａｃｔｉｏｎｓ　ｏｎ　Ｐａｔｔｅｒｎ　Ａｎａｌｙｓｉｓ　ａｎｄ　Ｍａｃｈｉｎｅ　ＩｎｔｅＭ－　ｇｅｎｃｅ，２００５，２７（１Ｏ）：１６１５—１６３０．　［７］张一弛，庞建民，范学斌，等，基于模型检测的程序恶意行为识别　方法［Ｊ］．计算机工程，２０１２，３８（１８）：１０７—１１０．　［８］王蕊，冯登国，杨轶，等，基于语义的恶意代码行为特征提取及检测　［１２］Ｌｏｗｅ　Ｄ．Ｄｉｓｔｉｎｃｉｔｖｅ　ｉｍａｇｅ　ｆｅａｔｕｒｅｓ　ｆｒｏｍ　ｓｃｌａｅ・ｉｎｖａｒｉａｎｔ　ｋｅｙｐｏｉｎｔｓ［Ｊ］．　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｊｏｕｒｎａｌ　ｏｎ　Ｃｏｍｐｕｔｅｒ　Ｖｉｓｉｏｎ，２００４，６０（２）：９１一ｌ１Ｏ　方法［Ｊ］．软件学报，２０１２，２３（２）：３７８—３９３．　［９］Ｋａｎｇ　Ｍ　Ｇ，ＭｃＣａｍａｎｔ　Ｓ，Ｐｏｏｓｎｋａａｍ　Ｐ，ｅｔ　１ａ．ＤＴＡ＋＋：Ｄｙｎａｍｉｃ　ｔａｉｎｔ　ａｎａｌｙｓｉｓ　ｗｉｔｈ　ｔａｒｇｅｔｅｄ　ｃｏｎｔｏｌｒ—ｆｌｏｗ　ｐｒｏｐａｇａｔｉｏｎ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　１８ｔｈ　Ａｎｎｕａｌ　Ｎｅｔｗｏｒｋ　ａｎｄ　Ｄｉｓｔｒｉｂｕｔｅｄ　Ｓｙｓｔｅｍ　Ｓｅｃｕｒｉｔｙ　Ｓｙｍｐｅｓｉ－　ｕｍ，Ｓａｎ　Ｄｉｅｇｏ，Ｃａｌｉｆｏｒｎｉａ，ＵＳＡ，２０１１．　［１３］Ｊｉｎ　ａＺｈｕ，Ｈａｎｓｈｉ　Ｗａｎｇ．Ａｎ　ｉｍｐｒｏｖｅｄ　ｋ－ｍｅａｎｓ　ｃｌｕｓｔｅｒｉｎｇ　ｌａｇｏｒｉｔｈｍ　［Ｃ］／／Ｔｈｅ　２ｎｄ　ＩＥＥＥ　Ｉｎｔｅｒｎａｔｉｏｎａｌ　Ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　Ｉｆｏｒｍａｔｎｉｏｎ　Ｍａｎａｇｅ．　ｍｅｎｔ　ａｎｄ　Ｅｎｇｉｎｅｅｒｉｎｇ，２０１０：１７８—１８２．　［１４］Ｙｉｈ　ＪＭ．ＦＣＭ　ａｌｇｏｉｒｔｈｍ　ｂａｓｅｄ　ｏｎ　ｎｏｍａｒｌｉｚｅｄｍａｈａｌｎｏｂｉａｓ　ｄｉｓｔｎｃａｅｓｉｎ　ｉｍａｇｅ　ｃｌｕｓｔｅｉｒｎｇ［Ｃ］／／Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　Ｎｉｎｔｈ　Ｉｎｔｅｎａｒｔｉｏｎａｌ　Ｃｏｆｎｅｒ—　ｅｎｃｅ　ｏｎ　Ｍａｃｈｉｎｅ　Ｌｅａｒｎｉｎｇ　ａｎｄ　Ｃｙｂｅｍｅｔｉｃｓ，２０１０：１　１—１４．　［１０］ＣｌｒａｋｅＥ，Ｇｒｎｍｂｅｒｇ０，ＰｅｌｅｄＤ．Ｍｏｄｅｌ　Ｃｈｅｃｋｉｎｇ［Ｍ］．Ｌｏｎｄｏｎ，ＭＩＴ　Ｐｒｅｓｓ，２０００：１２９—１３４．　［１１］ＢｅＨａｒｄ　Ｆ．ＱＥＭＵ，ａ　Ｆａｓｔ　ａｎｄ　Ｐｏｒｔｂｌａｅ　Ｄｙｎａｍｉｃ　Ｔｒａｎｓｌａｔｏｒ［ｃ］／／　Ｐｒｏｃｅｅｄｉｎｇｓ　ｏｆ　ｔｈｅ　ａｎｎｕａｌ　ｃｏｎｆｅｒｅｎｃｅ　ｏｎ　ＵＳＥＮＩＸ　Ａｎｎｕａｌ　Ｔｅｃｈｎｉｃａｌ　Ｃｏｎｆｅｒｅｎｃｅ，Ｂｅｒｋｅｌｅｙ，ＣＡ，ＵＳＡ，ＵＳＥＮＩＸ　Ａｓｓｏｃｉａｔｉｏｎ　Ｐｒｅｓｓ，２００５：　４１—４６．　［１５］陈华，管乐乐，陈秉岩，等．基于人工神经网络的聚类算法［Ｊ］．安　徽理工大学：自然科学版，２００９，２９（２）：１３６—１４２．　［１６］张忠华，杨淑莹．基于遗传算法的图像聚类设计［Ｊ］．测控技术，　２０１０，２９（２）：４８—５５．　［１２］ＶＸ　Ｈｅａｖｅｎｓ［ＥＢ／ＯＬ］．ｈｔｔｐ：／／ｖｘ．ｎｅｔｌｕｘ．ｏｒＳ／．