Антонов. Функциональное сравнение исполняемых файлов

• Название: Функциональное сравнение исполняемых файлов
• Дата: 07.09.2019
• Размер: 76.5 Kb.
• Имя файла: Антонов.doc
• Тип: Обзор; #86205
• страница: 4 из 5

h(z) ≡ −z log₂ z, A_i — i-ая API функция, P_c — число объектов класса c в выборке, из них p_c объектов содержат A_i функцию, p = p₁ + · · · + p_M, l — общее количество объектов.

Кроме информативности каждой API функции стоит также учитывать зависимость между появлением API функций. Действительно, существует ряд функций, встречающихся в комбинации с другими: например, «CreateFile» и «CloseFile». К этой категории стоит также относить функции инициализации приложения, вставляемых компилятором. Вес каждой функции из группы должен быть уменьшен пропорционально размеру группы.

Для поиска зависимых функций возможно использовать следующий алгоритм: определить зависимость для каждой пары API функций, как отношение количества классов в которых встречаются обе функции к количеству классов, в которых встречается одна из функций. Далее для каждой API функции просуммировать зависимости с другими функциями:

,

где A_i, A_j — i и j API функции, C_i, C_j — классы в которых встречаются функции A_i, A_j соответственно.

Расстояние между файлами может быть определено с учетом количества вызовов API функций следующим образом:

,	(5)

где с_i¹, с_i² _– количество вызовов API функции A_i с весом v_i, при выполнении первого и второго файла соответственно, v_i рассчитывается исходя из выражения:

.

Отдельную сложность составляет получение обучающей выборки для настройки весов API функций. Для этого, например, можно использовать метки антивирусных продуктов для вредоносных объектов.