恶意样本静态分析方法、装置、电子设备及存储介质与流程

本发明涉及网络安全，特别涉及一种恶意样本静态分析方法、装置、电子设备及存储介质。

背景技术：

1、恶意软件静态分析，指在不运行恶意样本的前提下，直接解析文件本身结构、元数据、代码字节、特征信息，判定文件是否恶意、提取威胁 ioc、分析潜在能力，是恶意代码分析的基础手段。

2、现有技术中，恶意软件静态分析的自动化探索主要有以下三种方案：

3、方案一：全大模型一锅端方案。

4、该方案将二进制样本或其反编译产物直接交由大模型分析，存在严重的技术缺陷：大模型无法直接阅读二进制；反编译产物函数数量庞大，直接注入会导致上下文窗口溢出；分析过程依赖大模型概率性推理，不可复现；样本中可能嵌入提示注入攻击，干扰大模型判断。

5、方案二：纯规则检测方案。

6、该方案采用特征签名或模式匹配（如yara、snort 规则）检测恶意样本，存在的技术问题是：只能匹配已知特征，无法检测未知威胁与零日样本；无法理解行为语义；无法生成人类可读的分析报告，实用性受限。

7、方案三：反编译器脚本加人工分析方案。

8、该方案中，分析者使用反编译器脚本导出产物，再人工逐函数阅读、撰写报告，存在的技术问题是：严重依赖分析者经验，速度慢，难以规模化，且产物组织无序导致大量时间耗费在低价值函数上。

9、分析可知，上述三种方案各自存在不同的技术问题：将二进制直接交由大模型分析存在不可复现与上下文溢出问题；纯规则检测只能匹配已知特征而无法理解行为语义；反编译器脚本加人工分析则慢、依赖经验、难规模化。可见现有技术中的静态分析方法，均无法满足实际需求。因此，亟须提供一种能够解决以上至少一个技术问题的恶意样本静态分析方案。

技术实现思路

1、本发明实施例提供一种恶意样本静态分析方法、装置、电子设备及存储介质，通过契约将确定性管线与大模型语义分析解耦，通过两阶段配合实施恶意样本静态分析，能够兼得确定性可复现与语义理解双重优点。

2、一方面，本发明实施例提供一种恶意样本静态分析方法，所述方法用于恶意样本静态分析系统，所述系统包括：确定性管线、大模型和契约，所述契约包括位于上层的数据契约和位于下层的行为契约，所述数据契约为智能索引，所述行为契约为分析计划，所述确定性管线用于执行确定性计算，所述大模型用于执行语义分析，所述确定性管线和所述大模型通过所述数据契约和行为契约解耦，且两者之间以输出目录下的智能索引与分析计划作为接口，所述方法包括：

3、接收待分析样本，通过确定性管线对所述待分析样本执行预分析、工具链路由、后处理与行为增强，输出结构化产物集合；

4、所述大模型基于所述智能索引和所述分析计划，对所述结构化产物集合执行语义分析，并输出分析报告。

5、可选的，对所述待分析样本执行预分析，包括：对所述待分析样本执行格式识别、编译器检测、加壳检测与工具链路由决策；

6、其中，所述格式识别包括：采用魔数优先识别机制，结合文件类型库补全与内容嗅探脚本进行识别；

7、所述编译器检测包括：基于顺序敏感判定链，采用主识别引擎执行识别，对未匹配场景启用旧式启发式规则回落兜底；

8、所述加壳检测包括：融合特征签名匹配、节名特征校验、数据高熵值分析执行多维度检测；

9、所述路由决策包括：基于决策树模型完成工具链的选择。

10、可选的，对所述待分析样本执行工具链路由，包括：

11、基于所述路由决策选择工具链包括：

12、原生二进制样本调度ida或 ghidra；

13、.net 调用专用的反编译器；

14、pyinstaller 打包程序执行解包后，再接入原生二进制分析链路；

15、压缩包执行解包并递归分析内部载体；

16、脚本类样本执行内容嗅探解析；

17、安装包执行静态资源提取；

18、反编译器以批处理模式运行，导出按函数粒度切分的原始产物，所述原始产物包括：源码、导入表、字符串表、调用图。

19、可选的，对所述待分析样本执行后处理，包括：

20、对所述待分析样本生成智能索引，分析计划、辅助产物和产物摘要；

21、其中，所述智能索引包括：样本身份、行为评分、重点函数、关键路径、导入api分类、可疑字符串高亮显示、全函数目录；

22、所述分析计划包括：两阶段步骤、模式分层门禁、安全声明、报告章节定义；

23、所述辅助产物包括：命令分发骨架、失陷指标候选。

24、可选的，对所述待分析样本执行行为增强，包括：

25、基于所述待分析样本生成多类行为切片，并配套输出证据图、图查询清单、就绪度信号，其中，每个步骤独立容错，失败时输出空切片，以使得流程连续执行；所述多类行为切片包括：命令分发、解码器、shellcode、持久化、文件破坏、c2、协议、配置。

26、可选的，所述大模型基于所述智能索引和所述分析计划，对所述结构化产物集合执行语义分析，并输出静态分析报告，包括以下四个阶段：分诊、深度分析、分析报告生成和渲染；

27、其中，所述分诊包括以下三个子步骤：

28、子步骤一：对元数据与全局进行扫描，读取摘要、就绪度信号、智能索引、导入表、字符串表，识别进程注入、网络、持久化、反调试相关 api ，并动态解析 api 标记；

29、子步骤二：关键路径浅层代码分析，读取关键路径入口函数反编译、逐类阅读六类行为分类函数、前若干高分函数反编译、调用图关键段；

30、子步骤三：分类判定，并输出分诊报告；其中，若判定为恶意或灰色，则进入深度分析；若判定为良性，则在得到分诊报告后，提前终止流程；

31、所述深度分析包括以下三个子步骤：

32、子步骤一：关键路径深度代码分析，读取全量关键函数反编译、导入交叉引用、完整调用图；

33、子步骤二：补充分析，读取剩余重点函数、字符串交叉引用、导出表；

34、子步骤三：生成报告，所述报告至少包含分析结论；

35、所述分析报告生成，包括：

36、按分析计划的报告模板、章节逐章填写分析报告，所述章节包括：样本基础信息、分类判定、黑白定性与家族识别、行为流程图、恶意功能代码分析、落地文件与系统痕迹、网络通信与命令控制、反分析与持久化、失陷指标、总结与处置建议；

37、所述渲染，包括：

38、将分析报告渲染为自包含的超文本格式，含内联的行为流程图。

39、可选的，所述方法还包括：基于主动追猎协议对所述大模型在分析恶意软件时的行为进行约束，以对抗所述大模型的幻觉性否定结论倾向；

40、所述主动追猎协议包括以下至少一个规则：

41、规则一：确定性产物是追猎起点而非最终结论，行为切片产物作为大模型进一步追猎的种子，不可直接作为最终判定；

42、规则二：空切片或未发现状态不等于证据缺失，一个未发现的行为切片只代表确定性层未恢复证据，不等于样本无该行为；

43、规则三：否定结论须有覆盖证明，大模型在撰写否定结论前，对应行为域必须在覆盖矩阵中处于不适用或已穷尽静态状态；否则，必须悬置判断或建议动态采集；

44、规则四：当证据账本存在正证据时，报告必须列出，且不得作灰色判定。

45、可选的，所述大模型的读取顺序为：

46、先读取增强层产物，再读取宽源码，所述增强层产物包括：就绪度信号、分析简报、命令控制切片、图摘要与图查询清单。

47、可选的，报告章节定义设计为单一真相源：章节结构在一处定义，能够被完整性校验、计划指引、分析器系统提示共同读取，以消除定义漂移；

48、所述报告章节若为恶意或灰色，则携带深度标志与形态专属提示，以使同一套章节标识适配多种文件形态；其中，脚本形态的行为流程图提示采用行号加命令，压缩包形态的恶意功能提示按内部文件名逐个分析并引用各自子目录；

49、换模板即换契约：保持章节定义块格式，支持报告结构定制且自动校验，以使统一模板适配多种形态，保持契约一致性。

50、可选的，所述方法还包括：在分析过程中，当解密产物、解包文件或去混淆产物出现时，大模型能够基于预先设置的深度上限层数，递归调用确定性管线进行重新分析，以使递归分析闭环。

51、可选的，所述大模型设置有固定类型的图查询接口，用于支持固定类型的图查询，且不支持开放性结构化查询语言，以使所述大模型按照预定义的追猎路径定位行为证据，所述固定类型的图查询包括：命令控制路径查询、间接调用查询、命令分发器查询、解码器查询。

52、另一方面，本发明实施例提供一种恶意样本静态分析装置，所述装置包括：

53、接收模块，用于接收待分析样本；

54、确定性管线，用于对所述待分析样本执行预分析、工具链路由、后处理与行为增强，输出结构化产物集合；

55、所述大模型，用于基于所述智能索引和所述分析计划，对所述结构化产物集合执行语义分析，并输出分析报告。

56、第三方面，本发明实施例提供一种电子设备，包括：存储器和处理器，存储器和处理器连接；

57、存储器，用于存储计算机程序；

58、处理器，用于调用存储于存储器中的计算机程序，以执行以上任一项的方法。

59、第四方面，本发明实施例提供一种计算机可读存储介质，其上存储有计算机程序，计算机程序被计算机运行时，执行以上任一项的方法。

60、本发明实施例提供一种恶意样本静态分析方法、装置、电子设备及存储介质，该方法用于恶意样本静态分析系统，系统包括：确定性管线、大模型和契约，契约包括位于上层的数据契约和位于下层的行为契约，数据契约为智能索引，行为契约为分析计划，确定性管线用于执行确定性计算，大模型用于执行语义分析，确定性管线和大模型通过数据契约和行为契约解耦，且两者之间以输出目录下的智能索引与分析计划作为接口，方法包括：接收待分析样本，通过确定性管线对待分析样本执行预分析、工具链路由、后处理与行为增强，输出结构化产物集合；大模型基于智能索引和分析计划，对结构化产物集合执行语义分析，并输出分析报告。该方案通过契约将确定性管线与大模型语义分析解耦，通过两阶段配合实施恶意样本静态分析，能够兼得确定性可复现与语义理解双重优点。