二進制代碼函數(shù)相似度匹配技術(shù)研究.pdf

1、隨著計算機的普遍使用，惡意軟件已經(jīng)變得無處不在，并且造成了嚴重的威脅。據(jù)報道，反病毒公司每天能發(fā)現(xiàn)成千上萬的惡意軟件樣本，令人驚奇的是，這些新出現(xiàn)的變種大部分是惡意軟件作者為了躲避殺毒軟件的查殺而產(chǎn)生的新變體。
　　由于惡意軟件的源碼很難獲得，所以惡意軟件逆向分析就成為了信息安全保障的重要手段。經(jīng)研究，惡意軟件的變種，許多代碼被重復(fù)使用。經(jīng)過長期的分析，逆向工程師已經(jīng)積累了大量的惡意代碼分析結(jié)果。面對層出不窮的惡意軟件變種，以及對

2、惡意軟件的處理工作量大、難度高的難題。如果能把已經(jīng)分析好的結(jié)果應(yīng)用到新出現(xiàn)的惡意軟件中，那么將大大提高分析人員的工作效率，進而有效地減少分析人員的工作負擔。這項工作的關(guān)鍵點是識別不同版本軟件中的相似函數(shù)對。
　　本文，我們從函數(shù)的外部接口、控制流、局部變量所占空間大小、函數(shù)引用的字符串等多個角度提取函數(shù)的特征，記為ProFeature特征?；赑roFeature特征，我們提出了一種新的方法來匹配惡意軟件間的相似函數(shù)，命名為二階段

3、式函數(shù)匹配方法TPM(Two-stage ProFeature Matching)。在第一階段，我們認為ProFeature特征唯一相同的函數(shù)為相似函數(shù)。在第二階段，基于第一階段已經(jīng)匹配到的相似函數(shù)對，調(diào)用關(guān)系和決策規(guī)則，遞歸地識別不同版本軟件間的相似函數(shù)，直至沒有新的相似函數(shù)對出現(xiàn)。實驗結(jié)果表明，TPM的準確率和召回率分別在98％和97％以上。此外，與三元組cfg方法，diaphora和patchdiff相比，TPM的平均準確率和召回