ОБНАРУЖЕНИЕ И УМЕНЬШЕНИЕ ВОЗДЕЙСТВИЯ ВРЕДОНОСНЫХ ПРОГРАММ С ПОМОЩЬЮ КЛАССИФИКАЦИИ

1. Вычислительное устройство, содержащее
процессор; и
один или более логических элементов, содержащих механизм классификации, выполненный с возможностью
деассемблирования анализируемого объекта;
создания распечатки на языке ассемблера для анализируемого объекта;
сравнения распечатки на языке ассемблера с известным объектом, при этом известный объект принадлежит к семейству в классификации объектов; и
классификации анализируемого объекта как объекта, принадлежащего к указанному семейству в классификации объектов.
2. Вычислительное устройство по п. 1, в котором механизм классификации дополнительно выполнен с возможностью фильтрации известных чистых функций из распечатки на языке ассемблера.
3. Вычислительное устройство по п. 1, в котором механизм классификации дополнительно выполнен с возможностью
идентификации в распечатке на языке ассемблера по меньшей мере одной функции из черного списка; и
обозначения анализируемого объекта как объекта из черного списка.
4. Вычислительное устройство по п. 1, в котором механизм классификации дополнительно выполнен с возможностью создания трассировки вызовов распечатки на языке ассемблера.
5. Вычислительное устройство по п. 1, в котором механизм классификации дополнительно выполнен с возможностью нормализации команд распечатки на языке ассемблера.
6. Вычислительное устройство по п. 5, в котором нормализация распечатки на языке ассемблера содержит
поддержку кодов операций или мнемонических кодов; и
классификацию операндов.
7. Вычислительное устройство по п. 6, в котором классификация операндов содержит классификацию по меньшей мере некоторых операндов как одного из следующего регистр, адрес памяти и константа.
8. Вычислительное устройство по п. 5, в котором команды языка ассемблера включают в себя семантику по меньшей мере для некоторых команд, при этом нормализация распечатки на языке ассемблера содержит отбрасывание операндов указанных по меньшей мере некоторых команд, включающих в себя семантику.
9. Вычислительное устройство по п. 1, в котором механизм классификации дополнительно выполнен с возможностью осуществления анализа N-грамм для распечатки на языке ассемблера.
10. Вычислительное устройство по п. 9, в котором механизм классификации дополнительно выполнен с возможностью выработки хэш-значения для каждой N-граммы, участвующей в анализе N-грамм.
11. Вычислительное устройство по п. 1, в котором механизм классификации дополнительно выполнен с возможностью осуществления анализа сходства для анализируемого объекта и известного объекта.
12. Вычислительное устройство по п. 11, в котором анализ сходства включает в себя вычисление коэффициента Жаккара.
13. Вычислительное устройство по п. 1, в котором известный объект является вредоносным программным объектом.
14. Один или более считываемых компьютером носителей, на которых хранятся исполнимые команды для указания процессору обеспечить механизм классификации, выполненный с возможностью
деассемблирования анализируемого объекта;
создания распечатки на языке ассемблера для анализируемого объекта;
сравнения распечатки на языке ассемблера с известным объектом, при этом известный объект принадлежит к семейству в классификации объектов; и
классификации анализируемого объекта как объекта, принадлежащего к указанному семейству в классификации объектов.
15. Один или более считываемых компьютером носителей по п. 14, в которых механизм классификации дополнительно выполнен с возможностью фильтрации известных чистых функций из распечатки на языке ассемблера.
16. Один или более считываемых компьютером носителей по п. 14, в которых механизм классификации дополнительно выполнен с возможностью
идентификации в распечатке на языке ассемблера по меньшей мере одной функции из черного списка; и
обозначения анализируемого объекта как объекта из черного списка.
17. Один или более считываемых компьютером носителей по п. 14, в которых механизм классификации дополнительно выполнен с возможностью создания трассировки вызовов анализируемого объекта.
18. Один или более считываемых компьютером носителей по п. 14, в которых механизм классификации дополнительно выполнен с возможностью нормализации команд распечатки на языке ассемблера.
19. Один или более считываемых компьютером носителей по п. 18, в которых нормализация распечатки на языке ассемблера включает в себя
поддержку кодов операций или мнемонических кодов; и
классификацию по меньшей мере некоторых операндов как одного из следующего регистр, адрес памяти и константа.
20. Один или более считываемых компьютером носителей по п. 18, в которых команды языка ассемблера включают в себя семантику по меньшей мере для некоторых команд, при этом нормализация распечатки на языке ассемблера содержит отбрасывание операндов указанных по меньшей мере некоторых команд, включающих в себя семантику.
21. Один или более считываемых компьютером носителей по п. 14, в которых механизм классификации дополнительно выполнен с возможностью осуществления анализа N-грамм для распечатки на языке ассемблера и выработки хэш-значения для каждой N-граммы, участвующей в анализе N-грамм.
22. Один или более считываемых компьютером носителей по п. 14, в которых механизм классификации дополнительно выполнен с возможностью осуществления анализа сходства для анализируемого объекта и известного объекта, при этом анализ сходства включает в себя вычисление коэффициента Жаккара.
23. Один или более считываемых компьютером носителей по п. 14, в которых известный объект является вредоносным программным объектом.
24. Реализуемый компьютером способ обеспечения механизма классификации, содержащий этапы, на которых
дезассемблируют анализируемый объект;
создают трассировку вызовов анализируемого объекта;
сравнивают трассировку вызовов с известным объектом, при этом известный объект принадлежит к семейству в классификации объектов; и
вырабатывают мультиграф анализируемого объекта.
25. Реализуемый компьютером способ по п. 24, дополнительно содержащий этапы, на которых
определяют, что анализируемый объект не соответствует ожиданиям, в соответствии с мультиграфом; и
обозначают анализируемый объект как объект, не принадлежащий к указанному семейству в классификации объектов.