基于ATT&CK框架针对大规模恶意代码的同源性分析方法、装置、处理器及存储介质制造方法及图纸

本发明专利技术涉及一种基于ATT&CK框架实现针对大规模恶意代码进行同源性分析的方法，包括以下步骤：通过技术自动化提取样本的静态特征；利用ATT&CK框架表征动态攻击行为；构建同源性分析模型；攻击者识别与归因。本发明专利技术还涉及一种用于实现基于ATT&CK框架针对大规模恶意代码进行同源性分析的装置、处理器及可读存储介质。采用了本发明专利技术的基于ATT&CK框架实现针对大规模恶意代码进行同源性分析的方法、装置、处理器及其计算机可读存储介质，可有效对大规模未知恶意样本进行分类，识别其内在关联性和相似性，归因其攻击组织，进一步辅助研究攻击组织的攻击手法、掌握常用攻击工具、挖掘其典型攻击特征。同时，通过同源性分析，可以挖掘出可溯源攻击痕迹。

【技术实现步骤摘要】

本专利技术涉及恶意代码分析领域，尤其涉及恶意代码源性分析领域，具体是指一种基于att&ck框架实现针对大规模恶意代码进行同源性分析的方法、装置、处理器及其计算机可读存储介质。

技术介绍

1、近年来，apt组织攻击、勒索软件攻击等各类攻击活动频发，其使用的各类新型病毒木马层出不穷。研究发现，很多新型恶意程序多为已有恶意程序的变种，并通过加壳、多态、代码扰乱等技术逃避传统的检测技术。然而同一个攻击组织的恶意程序往往具有高度相似的代码结果、雷同的函数调用顺序和一致的编码习惯。通过分析未知恶意程序的特征，计算与已知恶意程序的相似性、关联性和同源性，是帮助识别和归因其背后攻击组织的有效手段。当前常见的恶意代码源性分析方法可以分为如下3种：

2、1、基于哈希值匹配的同源性分析方法。该方法通过哈希算法计算文件签名的摘要值，并与数据库中已有恶意样本签名的摘要值比对来识别恶意程序，是一种哈希值完全匹配的方式。但恶意程序代码的微小变动都将会导致哈希值的改变，因此，该方法在应对那些变种的恶意程序时，无法有效发挥同源性识别能力，其抗变形能力较弱。

本文档来自技高网...

【技术保护点】

1.一种基于ATT&CK框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的方法包括以下步骤：

2.根据权利要求1所述的基于ATT&CK框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的步骤(2)具体为：

3.根据权利要求1所述的基于ATT&CK框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的步骤(3)具体包括以下步骤：

4.根据权利要求3所述的基于ATT&CK框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的步骤(3.1)后还包括以下步骤：

5...

【技术特征摘要】

1.一种基于att&ck框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的方法包括以下步骤：

2.根据权利要求1所述的基于att&ck框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的步骤(2)具体为：

3.根据权利要求1所述的基于att&ck框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的步骤(3)具体包括以下步骤：

4.根据权利要求3所述的基于att&ck框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的步骤(3.1)后还包括以下步骤：

5.根据权利要求1所述的基于att&ck框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的步骤(3.1)的transformer模型的每一层transformer网络包括两个子层，其中第一层为多头注意力机制，第二层为全连接前馈神经网络，所述的第一层和第二层之间使用残差连接，并进行层归一化处理。

6.根据权利要求5所述的基于att&ck框架实现针对大规模恶意代码进行同源性分析的方法，其特征在于，所述的步骤(1)具体包括以下步骤：

7.根据权利要求6所述...

【专利技术属性】
技术研发人员：郑啸宇，林九川，付文豪，
申请(专利权)人：公安部第三研究所，
类型：发明
国别省市：