恶意程序的行为分析与预测

２０１３年１２月　第４Ｏ卷第６期　西安电子科技大学学报（自然科学版）　Ｊ０ＵＲＮＡＬ　０Ｆ　ＸＩＤＩＡＮ　ＵＮＩＶＥＲＳＩＴＹ　Ｄｅｃ．２Ｏｌ３　Ｖｏ１．４０　Ｎｏ．６　

ｄｏｉ：１０．３９６９／ｊ．ｉｓｓｎ．１００１—２４００．２０１３．０６．０２１　

ＡｄａＢｏｏｓｔ恶意程序行为检测新算法　

曹　莹，刘家辰，苗启广，高　琳　

（西安电子科技大学计算机学院，陕西西安　７１００７１）　

摘要：提出了一种新的程序行为抽象方法，将程序执行时发起的ＡＰＩ调用、网络数据包信息以及静态分析　给出的文件结构特征作为数据源，对ＡＰＩ序列进行低聚合度依赖关系分析，将网络数据包信息及静态分析　结果转化为离散值特征，共同嵌入到高维特征空间中．在此基础上，采用决策树作为子分类器，针对　ＡｄａＢｏｏｓｔ．Ｍ１算法容易过度拟合噪声数据的问题，设计出一种基于改进ＡｄａＢｏｏｓｔ．Ｍ１算法的恶意程序行　为检测算法．该算法采用一种新的损失函数，降低了噪声数据进入训练下一个子分类器的训练样本集的概　率，提高了算法的抗噪声能力；同时，为每个子分类器生成一个投票向量，而不是单一的投票权值，以区分　子分类器对不同类别样本分类的能力．　关键词：恶意程序；行为抽象；分类；决策树；ＡｄａＢｏｏｓｔ；损失函数　中图分类号：ＴＰ３９１．４　文献标识码：Ａ　文章编号：１００ｌ－２４００（２０１３）０６—０１１６－０９　

Ｉｍｐｒｏｖｅｄ　ｂｅｈａｖｉｏｒ－ｂａｓｅｄ　ｍａｌｗａｒｅ　ｄｅｔｅｃｔｉｏｎ　ａｌｇｏｒｉｔｈｍ　

ｗｉｔｈ　ＡｄａＢｏｏｓｔ　

ＣＡＯ　Ｙｉｎｇ，ＬＪＵ　Ｊｉａｃｈｅｎ，ＭＩＡＯ　Ｑｉｇｕａｎｇ，ＧＡＯ　Ｌｉｎ　（Ｓｃｈｏｏｌ　ｏｆ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ　ａｎｄ　Ｔｅｃｈｎｏｌｏｇｙ，Ｘｉｄｉａｎ　Ｕｎｉｖ．，Ｘｉ’ａｎ　７１００７１，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：　Ｗｅ　ｐｒｅｓｅｎｔ　ａ　ｎｅｗ　ａｌｇｏｒｉｔｈｍ　ｆｏｒ　ａｂｓｔｒａｃｔｉｎｇ　ｆｅａｔｕｒｅｓ　ｏｆ　ａ　ｐｒｏｇｒａｍ　ｆｒｏｍ　ｉｔｓ　ＡＰＩ　ｃａｌｌｓ，ｎｅｔｗｏｒｋ　ｐａｃｋａｇｅｓ　ａｎｄ　ｓｔａｔｉｃ　ａｎａｌｙｓｉｓ　ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ．ＡＰＩ　ｃａｌｌｓ　ａｒｅ　ａｇｇｒｅｇａｔｅｄ　ｂｙ　ａ　ｌｏｗ　ｌｅｖｅｌ　ｄａｔａ　ｄｅｐｅｎｄｅｎｃｅ　ａｎａｌｙｓｉｓ　ｔｏ　ｆｏｒｍ　ｔｈｅ　ａｂｓｔｒａｃｔ　ｂｅｈａｖｉｏｒｓ．Ｎｅｔｗｏｒｋ　ｐａｃｋａｇｅｓ　ａｎｄ　ｓｔａｔｉｃ　ａｎａｌｙｓｉｓ　ｃｈａｒａｃｔｅｒｉｓｔｉｃｓ　ａｒｅ　ｄｉｒｅｃｔｌｙ　ｕｔｉｌｉｚｅｄ　ａｓ　ｄｉｓｃｒｅｔｅ　ｖａｌｕｅ　ｆｅａｔｕｒｅｓ．Ａｌｌ　ｏｆ　ｔｈｅｓｅ　ａｂｓｔｒａｃｔ　ｆｅａｔｕｒｅｓ　ａｒｅ　ｔｈｅｎ　ｅｍｂｅｄｄｅｄ　ｉｎ　ａ　ｈｉｇｈ　ｄｉｍｅｎｓｉｏｎ　ｖｅｃｔｏｒ　ｓｐａｃｅ．　Ｂｅｓｉｄｅｓ，ｗｅ　ｆｕｒｔｈｅｒ　ｄｅｓｉｇｎ　ａ　ｎｅｗ　ｂｅｈａｖｉｏｒ—ｂａｓｅｄ　ｍａｌｗａｒｅ　ｃｌａｓｓｉｆｉｃａｔｉｏｎ　ａｌｇｏｒｉｔｈｍ，ｗｈｉｃｈ　ａｄｖａｎｃｅｓ　ｔｈｅ　ＡｄａＢｏｏｓｔ　ｂｏｏｓｔｅｄ　ｄｅｃｉｓｉｏｎ　ｔｒｅｅ　ａｌｇｏｒｉｔｈｍ．Ｆｉｒｓｔｌｙ，ｔｈｅ　ｎｅｗ　ａｌｇｏｒｉｔｈｍ　ｏｐｔｉｍｉｚｅｓ　ａｎ　ａｎｔｉ—ｎｏｉｓｅ　ｌｏｓｓ　ｆｕｎｃｔｉｏｎ　ｔｏ　ｌｏｗｅｒ　ｔｈｅ　ｐｒｏｂａｂｉｌｉｔｙ　ｏｆ　ｔｈｅ　ｎｏｉｓｅ　ｄａｔａ　ｔｏ　ｔｒａｉｎ　ｔｈｅ　ｎｅｘｔ　ｃｌａｓｓｉｆｉｅｒ，ａｎｄ　ｔｈｕｓ　ｉｍｐｒｏｖｅｓ　ｔｈｅ　ａｎｔｉ—ｎｏｉｓｅ　ａｂｉｌｉｔｙ　ｏｆ　ｔｈｅ　ＡｄａＢｏｏｓｔ　ａｌｇｏｒｉｔｈｍ．Ｓｅｃｏｎｄｌｙ，ｔｏ　ｉｍｐｒｏｖｅ　ｔｈｅ　ａｌｇｏｒｉｔｈｍ’Ｓ　ｐｅｒｆｏｒｍａｎｃｅ　ｉｎ　ｍｕｌｔｉ—ｃｌａｓｓ　ｃｌａｓｓｉｆ　ｂｉｃａｔｉｏｎ　ｐｒｏｂｌｅｍ，ａ　ｖｏｔｅ　ｖｅｃｔｏｒ　ｉｓ　ａｄｏｐｔｅｄ　ｔｏ　ｃｏｍｂｉｎｅ　ｂａｓｅ　ｃｌａｓｓｉｆｉｅｒｓ，ｗｈｉｃｈ　ｄｉｓｃｒｉｍｉｎａｔｅｓ　ｔｈｅ　ａｃｃｕｒａｃｙ　ｗｉｔｈ　ｗｈｉｃｈ　ａ　ｃｌａｓｓｉｆｉｅｒ　ｃｌａｓｓｉｆｉｅｓ　ｓａｍｐｌｅｓ　ｆｒｏｍ　ｄｉｆｆｅｒｅｎｔ　ｃｌａｓｓｅｓ．　Ｋｅｙ　Ｗｏｒｄｓ：　ｍａｌｗａｒｅ；ｂｅｈａｖｉｏｒ　ａｂｓｔｒａｃｔｉｏｎ；ｃｌａｓｓｉｆｉｃａｔｉｏｎ；ｄｅｃｉｓｉｏｎ　ｔｒｅｅ；Ａ＆Ｂｏｏｓｔ；ｌＯＳＳ　ｆｕｎｃｔｉｏｎ　

1

竞技体育恶意伤害行为的罪与非罪的分析

一、竞技体育恶意伤害行为的现状

竞技体育是人类挑战自我身心极限的活动,竞技体育活动是以直接或间接的身体对抗的方式进行的,它具有高强度的竞争性和对抗性。竞技体育活动中,运动员的恶意犯规或暴力对抗行为往往会导致其他运动员的身心伤害,甚至造成严重的危害后果,但是有些恶劣的恶意伤害行为却能够借由竞技体育的特殊性竞争性和对抗性,而逃脱体育规则和法律的处罚。

这些恶意伤害行为是真实存在的,是对他人权益的真实侵害,《北方新报》报道,2011年10月31日晚,2011届中国武术散打功夫土争霸赛在海南海口激烈进行着,河南散打选手上官鹏飞被对手崔飞重击头部,瞬间栽倒拳台上;回顾当时的赛况,上官鹏飞和崔飞正处在身心俱疲的赛点,双方互有攻防,紧张对抗;正当上官鹏飞欲退守角落转身之际,崔飞猛地扑去连发三记重拳,拳拳击中对手的后脑,将上官鹏飞打翻在地,昏迷不醒。一个月后,由于头部伤势过重,病情不断恶化,这位曾经入选国家队迎战世界拳台的武术界魔修罗被宣告离开人世。在比赛中,后脑是绝对禁止击打的部位。

二、竞技体育恶意伤害行为的概述

竞技体育恶意伤害行为的范围具有特定性,其中的恶意伤害行为特指违反体育道德、超越体育内涵的故意侵犯他人人身权利的行为。相对于刑法要素中客观的行为和结果,侵犯他人人身权利的行为是指对他人权益的真实伤害及造成有害结果的客观事实;违反体育道德、超越体育内涵是识别伤害行为是否构成竞技体育恶意伤害的必要前提,它指出此类恶意伤害行为已经超出竞技体育通识的范围,不再具有社会相当性;故意则表明了发生伤害行为时的主体主动故意的心理状态。

(一)竞技体育恶意伤害行为产生的必然性

纵观竞技体育恶意伤害的案例,随着竞技体育的高速发展,此类恶意伤害行为愈演愈烈,其本身具有一定的发生必然性。主要因素有三:1)竞技体育的高强度对抗性。激烈的比赛中,双方运动员身体不断近距离接触,情绪处于极度紧张的对抗状态,身心同时挑战人类极限,伤害行为在所难免;2)竞技体育异化现象。竞技体育掺杂进职业化、商业化甚至政治化的利益,竞技体育复杂化。胜利不单单代表2

第２７次全国计算机安全学术交流会《Ｉ基》／２０１２年第０８期　

恶意浏览器扩展行为分析与建模　

王雷，张令臣，向继，余幸杰　

（中国科学院信息工程研究所信息安全国家重点实验室，北京１０００９３）　

摘要：文章基于开源的Ｆｉｒｅｆｏｘ浏览器，对运行于Ｆｉｒｅｆｏｘ内部的浏览器扩展的行为进行分析、总结，　对恶意浏览器扩展的行为进行分类，并建立恶意浏览器扩展的状态转移行为模型，以对恶意浏览器扩展　的恶意行为进行较为全面的描述，为后续针对恶意浏览器扩展的检测工作奠定基础，以期建立和完善安　全浏览器。　关键词：Ｆｉｒｅｆｏｘ；浏览器扩展；行为分析；状态转移模型　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ文章编号：１６７１—１１２２（２０１２）０８—００１５—０３　

Ｍｏｄｅｌｉｎｇ　ａｎｄ　Ａｎａｌｙｚｉｎｇ　ｔｈｅ　Ｂｅｈａｖｉｏｒ　ｏｆ　Ｍａｌｉｃｉｏｕｓ　Ｂｒｏｗｓｅｒ　

Ｅｘｔｅｎｓｉｏｎｓ　

ＷＡＮＧ　Ｌｅｉ，ＺＨＡＮＧ　Ｌｉｎｇ—ｃｈｅｎ。ＸＩＡＮＧ　Ｊｉ，ＹＵ　Ｘｉｎｇ—Ｊｉｅ　

（ＳｔａｔｅＫｅｙＬａｂｏｒａｔｏｒｙｏｆｉｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙ，ＩｎｓｔｉｔｕｔｅｏｆｉｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇ，ＣｈｉｎｅｓｅＡｃａｄｅｍｙｏｆＳｃｉｅｎｃｅｓ，　Ｂｅｏ＇ｉｎｇ，１０００９３　Ｃｈｉｎａ）　Ａｂｓｔｒａｃｔ：Ｂａｓｅｄ　ｏｎ　ｔｈｅ　ｏｐｅｎ—ｓｏｕｒｃｅ　ｂｒｏｗｓｅｒ，Ｆｉｒｅｆｏｘ，ｗｅ　ｉｎｖｅｓｔｉｇａｔｅ　ｉｎｔｏ　ｔｈｅ　ｂｅｈａｖｉｏｒ　ｏｆ　ｔｈｅ　ｂｒｏｗｓｅｒ　ｅｘｔｅｎｓｉｏｎｓ　ｗｈｉｃｈ　ａｒｅ　ｅｘｅｃｕｔｉｎｇ　ｗｉｔｈｉｎ　Ｆｉｒｅｆｏｘ，ａｎｄ　ｃｌａｓｓｉｆｙ　ｔｈｅ　ｍａｌｉｃｉｏｕｓ　ｂｒｏｗｓｅｒ　ｅｘｔｅｎｓｉｏｎｓ　ｉｎｔｏ　ｆｏｕｒ　ｃａｔｅｇｏｒｉｅｓ　ａｎｄ　ｐｒｏｐｏｓｅ　ｔｈｅ　ｓｔａｔｅ－－ｔｒａｎｓｉｔｉｏｎ・－ｂａｓｅｄ　ｂｅｈａｖｉｏｒ　ｍｏｄｅｌ　ｏｆ　ｔｈｅ　ｍａｌｉｃｉｏｕｓ　ｏｎｅｓ　ｔｏ　ｄｅｐｉｃｔ　ｔｈｅｉｒ　ｂｅｈａｖｉｏｒ　ｍｏｒｅ　ｃｏｎｃｒｅｔｅｌｙ．Ｉｔ　ｉｓ　ｔｈｅ　ｆｏｕｎｄａｔｉｏｎ　ｏｆ　ｏｕｒ　ｆｕｔｕｒｅ　ｗｏｒｋ　ｏｎ　ｄｅｔｅｃｔｉｎｇ　ｔｈｅ　ｍａｌｉｃｉｏｕｓ　ｂｒｏｗｓｅｒ　ｅｘｔｅｎｓｉｏｎｓ　ａｎｄ　ｒｅａｌｉｚｉｎｇ　ｔｈｅ　ｓｅｃｕｒｅ　ｂｒｏｗｓｅｒ　ｔｏｏ１．　Ｋｅｙ　ｗｏｒｄｓ：Ｆｉｒｅｆｏｘ；ｂｒｏｗｓｅｒ　ｅｘｔｅｎｓｉｏｎｓ；ｂｅｈａｖｉｏｒ－ｂａｓｅｄ　ａｎａｌｙｓｉｓ；ｓｔａｔｅ　ｔｒａｎｓｉｔｉｏｎ　ｍｏｄｅｌ　

运营技术广角　

手机恶意软件网络行为分析　

杜雪涛，常　玲，刘　佳，张展　

（中国移动通信集团设计院有限公司北京１０００８０）　

摘要：分析并提出了手机恶意软件网络行为分析计算方法以及网络侧的实现方案。该方法综合考虑了手机　恶意软件网络行为指数以及病毒体行为特征双因素，从而提高了手机恶意软件研判的及时性以及准确性，对　现网手机恶意软件实时封堵起到了重要的指导作用。　关键词：手机恶意软件；网络行为；分析算法　ｄｏｉ：１０．１　１９５９／ｊ．ｉｓｓｎ．１０００－０８０１．２０１５２００　

Ｂｅｈａｖｉｏｕｒ　Ａｎａｌｙｓｉｓ　ｏｆ　Ｍｏｂｉｌｅ　

Ｍａｌｉｃｉｏｕｓ　Ｓｏｆｔｗａｒｅ　ｉｎ　Ｎｅｔｗｏｒｋ　

Ｄｕ　Ｘｕｅｔａｏ，Ｃｈａｎｇ　Ｌｉｎｇ，Ｌｉｕ　Ｊｉａ，Ｚｈａｎｇ　Ｃｈｅｎ　

（Ｃｈｉｎａ　Ｍｏｂｉｌｅ　Ｇｒｏｕｐ　Ｄｅｓｉｇｎ　Ｉｎｓｔｉｔｕｔｅ　Ｃｏ．，Ｌｔｄ．，Ｂｅｉｊｉｎｇ　１０００８０，Ｃｈｉｎａ）　

Ａｂｓｔｒａｃｔ：Ａ　ｂｅｈａｖｉｏｒ　ａｎａｌｙｓｉｓ　ｍｅｔｈｏｄ　ｏｆ　ｍｏｂｉｌｅ　ｍａｌｉｃｉｏｕｓ　ｓｏｆｔｗａｒｅｓ　ａｎｄ　ａ　ｃｏｒｒｅｓｐｏｎｄｉｎｇ　ｓｏｌｕｔｉｏｎ　ｏｎ　ｔｈｅ　ｎｅｔｗｏｒｋ—ｓｉｄｅ　ｗｅｒｅ　ｐｒｏｐｏｓｅｄ．Ｔｈｅ　ｍｅｔｈｏｄ　ｃｏｍｂｉｎｅｄ　ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒｓ　ａｎｄ　ｖｉｒｕｓ－ｉｎｎｅｒ　ｂｅｈａｖｉｏｒｓ　ｏｆ　ａ　ｍｏｂｉｌｅ　ｍａｌｉｃｉｏｕｓ　ｓｏｆｔｗａｒｅ　ｔｏ　ｉｍｐｒｏｖｅ　ｔｈｅ　ａｃｃｕｒａｃｙ　ａｎｄ　ｔｈｅ　ｔｉｍｅｌｉｎｅｓｓ．Ｔｈｅ　ｍｅｔｈｏｄ　ｗａｓ　ａ　ｕｓｅｆｕｌ　ｇｕｉｄａｎｃｅ　ｆｏｒ　ｃｏｍｍｕｎｉｃａｔｉｏｎ　ｏｐｅｒａｔｏｒｓ　ｔｏ　ｂｌｏｃｋ　ｍｏｂｉｌｅ　ｍａｌｗａｒｅ　ｉｎ　ｒｅａｌ　ｔｉｍｅ．　‘　Ｋｅｙ　ｗｏｒｄｓ：ｍｏｂｉｌｅ　ｍａｌｉｃｉｏｕｓ　ｓｏｆｔｗａｒｅ，ｎｅｔｗｏｒｋ　ｂｅｈａｖｉｏｒ，ａｎａｌｙｓｉｓ　ａｌｇｏｒｉｔｈｍ