基于Win32API的未知病毒检测

• 作 者: 陈亮 郑宁 郭艳华 徐明 胡永涛
• 机 构: 杭州电子科技大学计算机学院,公安部第三研究所
• 出 处: 计算机应用
• 发表日期: 2008年11期
• 关键词: 恶意行为 Win32应用程序编程接口 互信息 属性约简 malicious behavior Win32 Applications Programming In
• 基金项目: 浙江省自然科学基金资助项目（Y106176）,浙江省科技厅计划项目（2007C33058）,上海市科委基金资助项目（06511502）.

提出了一个基于行为特征向量的病毒检测方法。特征向量的每一维用于表示一种恶意行为事件,每一事件由相应的Win32应用程序编程接口(API)调用及其参数表示,并实现了一个自动化行为追踪系统(Argus)用于行为特征的提取。试验中,通过对样本数据的分析,利用互信息对特征向量进行属性约简,减少特征维数。试验结果表明,约简后的模型对于发生行为事件数大于1的病毒程序仍有着较好的检测效果。