公开(公告)号：CN106650449A

公开(公告)日：2017-05-10

申请号：CN201611245850.3

申请日：2016-12-29

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 刘爽 ,  童志明 ,  肖新光

IPC: G06F21/56

Abstract: 本发明提出一种基于变量名混淆程度的脚本启发式检测方法及系统，通过收集英文单词语料库；并使用监督类型的机器学习方法对收集到的语料库进行分类模型训练；将待检测脚本中提取出的变量名输入分类模型，对输出结果进行统计，如果统计结果中有一项或多项大于预设值，则待检测脚本为恶意。通过本发明的方法解决了现有脚本检测维护复杂，资源占用高、运行速度慢的问题。

公开(公告)号：CN105488084A

公开(公告)日：2016-04-13

申请号：CN201410813440.9

申请日：2014-12-24

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 刘爽 ,  童志明 ,  张栗伟

IPC: G06F17/30 ,  G06F9/44

Abstract: 本发明提出了一种基于树同构的软件安装包分类方法及系统，主要通过获取PE格式安装包的资源节信息，并将其形成树形结构，将所述的树形结构与树形结构库中的树结构进行依次对比，如果相似度超过预设值，则所述安装包与树形结构库中的树结构对应的软件属于同一分类。通过本发明的方法，能够实现对没有特征信息的安装包进行分类，使得分类更加合理。

公开(公告)号：CN105740706A

公开(公告)日：2016-07-06

申请号：CN201510985230.2

申请日：2015-12-25

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 童志明 ,  刘爽 ,  何公道

IPC: G06F21/56

CPC classification number: G06F21/566

Abstract: 本发明提出一种基于API名称和立即数的启发式样本检测方法及系统，包括：获取系统文件的全部导出函数名称，并计算各导出函数名称的散列值；将所有导出函数名称的散列值形成散列匹配库；遍历待检测样本的全部指令中所包含的立即数；将所述立即数与散列匹配库中的散列值匹配，并计算匹配成功的立即数个数；判断所述匹配成功的立即数个数是否超过阈值，如果是，则所述待检测样本为恶意文件，否则所述待检测样本为普通文件。本发明通过对API名称进行散列计算与待检测样本的立即数匹配，能够快速发现存在隐藏自身API调用的恶意代码样本。

公开(公告)号：CN105740706B

公开(公告)日：2019-05-07

申请号：CN201510985230.2

申请日：2015-12-25

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 童志明 ,  刘爽 ,  何公道

IPC: G06F21/56

Abstract: 本发明提出一种基于API名称和立即数的启发式样本检测方法及系统，包括：获取系统文件的全部导出函数名称，并计算各导出函数名称的散列值；将所有导出函数名称的散列值形成散列匹配库；遍历待检测样本的全部指令中所包含的立即数；将所述立即数与散列匹配库中的散列值匹配，并计算匹配成功的立即数个数；判断所述匹配成功的立即数个数是否超过阈值，如果是，则所述待检测样本为恶意文件，否则所述待检测样本为普通文件。本发明通过对API名称进行散列计算与待检测样本的立即数匹配，能够快速发现存在隐藏自身API调用的恶意代码样本。

公开(公告)号：CN105654106A

公开(公告)日：2016-06-08

申请号：CN201510419436.9

申请日：2015-07-17

Applicant: 哈尔滨安天科技股份有限公司

Inventor： 童志明 ,  刘爽 ,  何公道

IPC: G06K9/62

CPC classification number: G06K9/6282

Abstract: 本发明提出了一种决策树生成方法及系统，所述方法包括：获取训练样本集及样本属性，统计每个样本属性在训练样本集中不同取值的种类数，根据其并分别计算每个样本属性的区分度，选择区分度最高的样本属性作为决策树分支划分的依据属性；将划分后的训练样本集继续按照上述方法递归计算划分，直到分支节点达到预设的阈值，决策树生成完成。本发明还给出了对应的系统，通过本发明的方法，能够合理进行决策树划分属性的选择，使得划分的结果更准确并具有实用价值。