(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111546478.0 (22)申请日 2021.12.17 (71)申请人 北京微步在线科技有限公司 地址 100082 北京市海淀区苏州街 49-3号3 层301室 (72)发明人 鲁玮克　樊兴华　薛锋　 (74)专利代理 机构 北京超凡宏宇专利代理事务 所(特殊普通 合伙) 11463 代理人 杨奇松 (51)Int.Cl. G06F 21/53(2013.01) G06F 21/56(2013.01) G06K 9/62(2022.01) G06N 20/00(2019.01) (54)发明名称 一种同源样本捕获方法、 装置、 电子设备及 存储介质 (57)摘要 本申请实施例提供一种同源样 本捕获方法、 装置、 电子设备及存储介质， 涉及病毒检测技术 领域。 该方法包括对进入云沙箱的待测样本进行 样本代码基因提取， 以获得待测特征矩阵； 将所 述待测特征矩阵输入预设的机器学习模型， 与数 据库中的病毒样本特征矩阵进行比对， 以得到判 定结果； 若所述判定结果为同源样本， 则标记捕 获成功， 将样本的动态及静态特征作为代码基 因， 基于代码基因进行检测， 可更快速更精准地 发现攻击者编写的最新病毒样本， 解决了现有 YARA规则检测方法无法检测到无重复字符串及 指令码的病毒样本的问题。 权利要求书2页 说明书7页 附图4页 CN 113935022 A 2022.01.14 CN 113935022 A 1.一种同源样本捕获方法， 其特 征在于， 所述方法包括： 对进入云沙箱的待测样本进行样本代码基因提取， 以获得待测特 征矩阵； 将所述待测特征矩阵输入预设的机器学习 模型， 与数据库中的病 毒样本特征矩阵进行 比对， 以得到判定结果； 若所述判定结果 为同源样本， 则标记捕获成功。 2.根据权利要求1所述的同源样本捕 获方法， 其特征在于， 在所述将所述待测特征矩阵 输入预设的机器学习模型的步骤之前， 所述方法还 包括构建所述机器学习模型： 构建样本训练集； 基于所述样本训练集对机器学习模型进行训练。 3.根据权利要求2所述的同源样本捕获方法， 其特 征在于， 所述构建样本训练集， 包括： 采集已知的同源样本和非同源样本， 并分别提取代码基因， 所述代码基因包括静态行 为特征和 动态行为特征， 所述静态行为特征包括导入表中API和文件区段名称， 所述动态行 为特征为病毒样本的所有行为， 包括文件操作、 进程操作、 注 册表操作和系统操作； 分别获取 所述代码基因的特 征矩阵； 分别对同源样本的特 征矩阵和非同源样本的特 征矩阵进行 标注， 以生成样本训练集。 4.根据权利要求1所述的同源样本捕 获方法， 其特征在于， 所述将所述待测特征矩阵输 入预设的机器学习模型， 与数据库中的样本特 征矩阵进行比对， 以得到判定结果， 包括： 利用所述机器学习模型计算所述待测特 征矩阵与所述样本特 征矩阵的相似性； 若所述相似性大于预设阈值， 则判定所述待测样本与 数据库中的当前病 毒样本为同源 样本。 5.一种同源样本捕获装置， 其特 征在于， 所述装置包括： 特征提取模块， 对进入云沙箱 的待测样本进行样本代码基因提取， 以获得待测特征矩 阵； 比对模块， 用于将所述待测特征矩阵输入预设的机器学习模型， 与数据库中的病毒样 本特征矩阵进行比对， 以得到判定结果； 标记模块， 用于若所述判定结果 为同源样本， 则标记捕获成功。 6.根据权利要求5所述的同源样本捕 获装置， 其特征在于， 所述装置还包括模型构建模 块： 样本集模块， 用于构建样本训练集； 训练模块， 用于基于所述样本训练集对机器学习模型进行训练。 7.根据权利要求6所述的同源样本捕获装置， 其特 征在于， 所述样本集模块包括： 采集模块， 用于采集已知的同源样本和非同源样本， 并分别提取代码基因， 所述代码基 因包括静态行为特征和动态行为特征， 所述静态行为特征包括导入表中API和文件区段名 称， 所述动态行为特 征包括文件创建、 进程创建、 注 册表项创建、 系统服 务创建和计划任务； 矩阵生成模块， 用于分别获取 所述代码基因的特 征矩阵； 标注模块， 用于分别对 同源样本的特征矩阵和非同源样本的特征矩阵进行标注， 以生 成样本训练集。 8.根据权利要求5所述的同源样本捕获装置， 其特 征在于， 所述比对 模块包括： 计算模块， 用于利用所述机器学习 模型计算所述待测特征矩阵与所述样本特征矩阵的权　利　要　求　书 1/2 页 2 CN 113935022 A 2相似性； 判断模块， 用于若所述相似性大于预设阈值， 则判定所述待测样本与数据库中的当前 病毒样本为同源样本 。 9.一种电子设备， 其特征在于， 所述电子设备包括存储器以及处理器， 所述存储器用于 存储计算机程序， 所述处理器运行计算机程序以使计算机 设备执行根据权利要求1至4中任 一项所述的同源样本捕获方法。 10.一种可读存储介质， 其特征在于， 所述可读存储介质中存储有计算机程序指令， 所 述计算机程序指 令被一处理器读取并运行时， 执行权利要求 1至4任一项 所述的同源样 本捕 获方法。权　利　要　求　书 2/2 页 3 CN 113935022 A 3