基于特征融合的恶意代码同源性检测模型

摘要

为解决当前恶意代码同源性分析普遍采用单一特征而导致样本信息表示不足、模型分类准确率较低的问题，提出一种基于特征融合的恶意代码同源性检测模型，该模型将卷积神经网络(CNN)、双向门控循环单元(BiGRU)与引入位置编码和卷积层的多头自注意力(positional encoding convolution multi-head self-attention, PC-MSA)机制相结合，有效增强了对序列数据长程依赖关系的建模能力。首先，利用正则表达式从恶意代码反汇编文件中提取应用程序接口(API)序列和操作码(Opcode)序列；然后，构建文档向量化模型，将提取的序列转换为特征向量并进行特征融合，融合后的序列可更好地体现语义行为与底层逻辑；最后，将融合后的特征向量输入本文所建模型(CNN-BiGRU-PC-MSA),进行家族同源性检测。实验结果表明，本文模型的同源性检测准确率可达到98%,证明了特征融合方法及模型的有效性。

关键词

特征融合 / CNN-BiGRU模型 / 多头自注意力机制 / 同源性检测

基金资助

辽宁省应用基础研究计划项目(2023JH2/101300203)