(19)国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202210892620.5 (22)申请日 2022.07.27 (71)申请人 北京国瑞数智技 术有限公司 地址 100032 北京市西城区阜成门外大街 31号6层6 07A (72)发明人 周瑞红　刘玉佳　侯小超　 (74)专利代理 机构 北京秉文同创知识产权代理 事务所(普通 合伙) 11859 专利代理师 孙富利　张文武 (51)Int.Cl. G06F 21/56(2013.01) G06V 10/764(2022.01) G06V 10/80(2022.01) G06V 10/82(2022.01) G06T 3/40(2006.01)G06N 3/04(2006.01) G06N 3/08(2006.01) (54)发明名称 一种基于深度学习的木马家族分类方法和 系统 (57)摘要 本发明提供一种基于深度学习的木马家族 分类方法和系统， 通过将木马的代码转换为灰度 图像， 并且为了克服灰度图像的精确度缺陷， 在 灰度图像的基础上， 补充了一个木马的特征值的 维度， 更加突显某些木马家族的特征， 把木马的 分类问题 转换为图像的分类问题， 从而借助深度 学习在图像分类上的优势， 解决已知检测手段跟 不上木马的迭代速度的问题。 权利要求书2页 说明书5页 附图1页 CN 115114625 A 2022.09.27 CN 115114625 A 1.一种基于深度学习的木马家族分类方法， 其特 征在于， 所述方法包括： 接收外部装置送入的木马， 提取该木马的二进制代码和特征值， 将所述二进制代码编 码映射为第一一维向量， 将所述特征值向量化为第二一维向量， 每个 向量值的范围限定在 0‑255之间； 根据木马文件的大小设定木马图像的宽度， 创建一个二维数组矩阵， 所述木马图像的 宽度作为该二维数组矩阵的列数； 将所述第一一维向量的向量值逐个写入所述二维数组矩阵中， 再将所述第 二一维向量 的向量值逐个接着写入所述二维数组矩阵中， 将所述二 维数组矩阵的每一个点作为一个灰 度像素点， 得到对应的所述木马图像； 按照服务器的分类器所需的宽度， 将所述木马图像进行统一预处理， 当该木马图像的 宽度不满足分类器所需的宽度时， 采用图像插值算法， 对木马图像进 行图像缩放处理， 得到 待分类木马图像， 送入服 务器的分类 器； 所述分类器采用神经网络， 接收输入的所述待分类木马图像， 并且使用若干神经元组 成双向隐藏层， 所述神经元分为两组， 一组为前向反馈线路， 另一组为反向反馈线路， 由此 形成双向线路， 每个反馈线路中的当前神经元接 收上一个神经元传递来的隐藏层信息， 以 及接收所述上一个神经元相邻的邻居神经元传递来的状态信息， 输出当前时刻的隐藏层信 息和当前神经元更新后的状态信息， 输出至所述时序特征模块的累加单元进 行元素对位相 加； 提取神经网络的全连接 中间层输出作为所述待分类木马图像的新特征， 根据 该新特征 进行分类， 根据所述分类的结果确定出所述待分类木马图像对应的木马家族， 向外部装置 下发该木马家族 对应的通用性防护措施。 2.根据权利要求1所述的方法， 其特征在于： 所述采用图像插值算法包括： 最近邻插值 算法、 双线性插值 算法和双三次插值 算法。 3.根据权利要求1所述的方法， 其特征在于： 所述提取该木马的二进制代码和特征值之 前， 还包括侦测出 该木马代码的加壳类型和签名， 针对不同的加壳木马代码进行脱壳处 理。 4.根据权利要求2或3任一项所述的方法， 其特征在于： 所述分类包括多次抽取， 创建多 棵决策树， 将每棵决策树的输出 结果进行加权累加投票。 5.一种基于深度学习的木马家族分类系统， 其特 征在于， 所述系统包括： 提取单元， 用于接收外部装置送入的木马， 提取该木马的二进制代码和特征值， 将所述 二进制代码编码映射为第一一维向量， 将所述特征值向量化为第二一维向量， 每个向量值 的范围限定在0 ‑255之间； 图像化单元， 用于根据木马文件的大小设定木马图像的宽度， 创建一个二维数组矩阵， 所述木马图像的宽度作为该二维数组矩阵的列数； 将所述第一一 维向量的向量值逐个写入 所述二维数组矩阵中， 再将所述第二一维向量的向量值逐个接着写入所述二维数组矩阵 中， 将所述 二维数组矩阵的每一个点作为 一个灰度像素点， 得到对应的所述木马图像； 预处理单元， 用于按照服务器的分类器所需的宽度， 将所述木马图像进行统一预处理， 当该木马图像的宽度不满足分类器所需的宽度时， 采用图像插值算法， 对木马图像进行图 像缩放处 理， 得到待分类木马图像， 送入服 务器的分类 器； 分类器， 位于服务器并采用神经网络， 用于接收输入的所述待分类木马图像， 并且使用权　利　要　求　书 1/2 页 2 CN 115114625 A 2若干神经元组成双向隐藏层， 所述神经元分为两组， 一组为前向反馈线路， 另一组为反向反 馈线路， 由此形成双向线路， 每个反馈线路中的当前神经元接 收上一个神经元传递来的隐 藏层信息， 以及接 收所述上一个神经元相邻的邻居神经元传递来的状态信息， 输出当前时 刻的隐藏层信息和当前神经元更新后的状态信息， 输出至所述时序特征模块的累加单元进 行元素对位相加； 提取神经网络的全连接中间层输出作为所述待分类木马图像的新特征， 根据该新特 征进行分类； 执行单元， 用于根据所述分类的结果确定出所述待分类木马图像对应的木马家族， 向 外部装置下发该木马家族 对应的通用性防护措施。 6.一种基于深度学习的木马家族分类系统， 其特征在于， 所述系统包括处理器以及存 储器： 所述存储器用于存 储程序代码， 并将所述 程序代码传输给 所述处理器； 所述处理器用于根据所述程序代码中的指令执行实现权利要求1 ‑4任一项所述的方 法。 7.一种计算机可读存储介质， 其特征在于， 所述计算机可读存储介质用于存储程序代 码， 所述程序代码用于执 行实现权利要求1 ‑4任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 115114625 A 3