КЛАССИФИКАЦИЯ ВРЕДОНОСНОГО ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ НА ОСНОВЕ ПОВЕДЕНЧЕСКИХ ПРИЗНАКОВ

Классификация является распространенной задачей при анализе вредоносного программного обеспечения и генерации сигнатур для него. Обычным способом классификации вредоносного кода является экспертная оценка похожести антивирусных образцов квалифицированным вирусным аналитиком. В данной работе предлагается новый метод классификации вредоносного кода на основе поведенческих признаков - последовательности вызовов WinAPI и их аргументов, а также файлов, создаваемых анализируемым приложением. Метод обеспечивает получение двумерного вектора, характеризующего данную программу. Наборы характеризующих векторов кластеризуются c использованием оригинального алгоритма нечеткой кластеризации. Полученные кластеры отражают группы программ, демонстрирующие сходную, с поведенческой точки зрения, активность. Метод был экспериментально исследован на исполняемых тестовых файлах, защищенных упаковкой и шифрованием, а также реальных образцах вредоносного программного обеспечения.