СИСТЕМА И СПОСОБ СОЗДАНИЯ ГИБКОЙ СВЕРТКИ ДЛЯ ОБНАРУЖЕНИЯ ВРЕДОНОСНЫХ ПРОГРАММ

1. Способ определения похожих файлов, в котором:
а) выделяют множество признаков, по меньшей мере, из одного файла;
б) разделяют множество выделенных признаков файла, по меньшей мере, на два подмножества, в одном из которых есть как минимум один изменяемый признак, в другом есть как минимум один неизменяемый признак;
в) получают свертку каждого из вышеописанных подмножеств признаков файла;
г) создают свертку файла как комбинацию сверток каждого из вышеописанных подмножеств признаков файла;
д) сравнивают свертку, по меньшей мере, одного файла с набором заранее созданных сверток файлов;
е) признают файл похожим на файлы из множества похожих файлов, имеющих одинаковую свертку, если при сравнении свертка указанного файла совпадает со сверткой файла из указанного множества.
2. Способ по п.1, в котором признак файла считают изменяемым, если для множества похожих файлов признак принимает различные значения.
3. Способ по п.1, в котором признак файла считают неизменяемым, если для множества похожих файлов признак принимает одинаковое значение.
4. Способ по п.1, в котором создают свертку подмножества признаков файла, включающего как минимум один изменяемый признак, устойчивую к изменениям признаков файла, входящих в указанное подмножество признаков.
5. Способ по п.1, в котором свертку файла дополнительно создают на основе конкатенации сверток подмножеств признаков файла.
6. Способ по п.1, в котором набор заранее созданных сверток создают на основе множества кластеров похожих файлов.
7. Способ по п.6, в котором множество кластеров похожих файлов содержит как минимум один кластер похожих между собой вредоносных файлов.
8. Способ по п.1, в котором похожими файлами считают файлы, степень сходства между которыми превышает заранее установленный порог.
9. Способ по п.8, в котором степень сходства между файлами определяют на основании степени сходства данных, хранящихся в файлах.
10. Способ по п.8, в котором степень сходства между файлами определяют на основании степени сходства функционала файлов.
11. Способ по п.10, в котором в качестве функционала файла используют журнал вызовов API-функций операционной системы при эмуляции исполнения файла.
12. Способ по п.8, в котором степень сходства определяют в соответствии с одной из метрик: Хэмминга, Левенштейна, Жаккара, Дайса.
13. Способ по п.1, в котором файл признают вредоносным, если свертка указанного файла совпадает со сверткой похожих вредоносных файлов.
14. Система определения похожих файлов, которая содержит:
а) средство выделения признаков, предназначенное для выделения множества признаков из по меньшей мере одного файла и передающее выделенное множество признаков на вход средства разделения признаков;
б) средство разделения признаков, предназначенное для формирования из множества выделенных признаков как минимум двух подмножеств, в одном из которых есть как минимум один изменяемый признак, в другом есть как минимум один неизменяемый признак, и передающее сформированные подмножества признаков на вход средства формирования сверток признаков;
в) средство формирования сверток признаков, предназначенное для формирования свертки каждого из вышеописанных подмножеств признаков файла и передающее сформированные свертки подмножеств признаков на вход средства формирования свертки файла;
г) средство формирования свертки файла, предназначенное для формирования свертки файла как комбинации сверток каждого из вышеописанных подмножеств признаков файла и передающее сформированную свертку файла на вход средства сравнения сверток файлов;
д) базу данных сверток, предназначенную для хранения, по меньшей мере, одной свертки файла и соответствующей указанной свертке информации о вредоносности файла;
е) средство сравнения файлов, связанное с базой данных сверток и предназначенное для сравнения свертки, по меньшей мере, одного файла со свертками, присутствующими в базе данных сверток, и признания файла, похожим на файлы из множества похожих файлов, имеющих одинаковую свертку, если при сравнении свертка указанного файла совпадает со сверткой файла из указанного множества.
15. Система по п.14, в которой признак файла считают изменяемым, если для множества похожих файлов признак принимает различные значения.
16. Система по п.14, в которой признак файла считают неизменяемым, если для множества похожих файлов признак принимает одинаковое значение.
17. Система по п.14, в которой средство формирования сверток признаков создает свертку подмножества признаков файла, включающего как минимум один изменяемый признак, устойчивую к изменениям признаков файла, входящих в указанное подмножество признаков.
18. Система по п.14, в которой средство формирования свертки файла дополнительно создает свертку файла на основе конкатенации сверток подмножеств признаков файла.
19. Система по п.14, в которой база данных сверток хранит информацию, собранную на основе множества кластеров похожих файлов.
20. Система по п.19, в которой база данных сверток хранит информацию, собранную на основе множества кластеров похожих файлов, которое содержит как минимум один кластер похожих между собой вредоносных файлов.
21. Система по п.14, в которой средство сравнения файлов считает файлы похожими, если степень сходства между файлами превышает заранее установленный порог.
22. Система по п.21, в которой средство сравнения файлов определяет степень сходства между файлами на основании степени сходства данных, хранящихся в файлах.
23. Система по п.21, в которой средство сравнения файлов определяет степень сходства между файлами на основании степени сходства функционала файлов.
24. Система по п.23, в которой средство сравнения файлов в качестве функционала файла использует журнал вызовов API-функций операционной системы при эмуляции исполнения файла.
25. Система по п.21, в которой средство сравнения файлов определяет степень сходства файлов в соответствии с одной из метрик: Хэмминга, Левенштейна, Жаккара, Дайса.
26. Система по п.14, в которой средство сравнения файлов признает файл вредоносным, если свертка указанного файла совпадает со сверткой похожих вредоносных файлов.