Page 191 - 《软件学报》2026年第6期

软件学报 ISSN 1000-9825, CODEN RUXUEW E-mail: jos@iscas.ac.cn
2026,37(6):2510−2526 [doi: 10.13328/j.cnki.jos.007487] [CSTR: 32375.14.jos.007487] http://www.jos.org.cn
©中国科学院软件研究所版权所有. Tel: +86-10-62562563

*
基于异质图匹配网络的恶意软件相似性度量方法

陈永威 1,2 , 谷勇浩 1,2 , 谢玉奇 1,2 , 吴铁军 3

1
(北京邮电大学 计算机学院 (国家示范性软件学院), 北京 100876)
(智能通信软件与多媒体北京市重点实验室 (北京邮电大学), 北京 100876)
2
3
(绿盟科技集团股份有限公司, 北京 100089)
通信作者: 谷勇浩, E-mail: guyonghao@bupt.edu.cn

摘 要: 现有静态恶意软件相似性度量方法受到静态免杀技术影响, 模型使用的特征易被混淆或者恶意软件语义
未被充分挖掘. 提出一种基于异质图匹配网络的恶意软件相似性度量方法 HGMSim (heterogeneous graph matching
network-based similarity) 解决上述问题, 该方法首先利用反汇编工具 IDA Pro 提取恶意软件的函数调用图, 将函数
调用图抽象为异质图, 充分挖掘函数调用图中不同类型函数节点和函数调用关系的异质语义. 同时, 为了挖掘不同
函数调用图节点之间的隐式邻居语义, 对两个函数调用图中相似的同类型函数节点建立跨图边, 构建异质图匹配
网络. 然后, 提出基于局部点图匹配的异质图嵌入方法并实现恶意软件相似性度量, 解决现有方法对不同家族之间
图结构高度相似恶意软件难区分的问题. 最后, 通过对比实验验证 HGMSim 在恶意软件相似性度量方面具有最佳
的性能表现.
关键词: 恶意软件相似性; 函数调用图; 异质图匹配网络; 跨图交互
中图法分类号: TP311

中文引用格式: 陈永威, 谷勇浩, 谢玉奇, 吴铁军. 基于异质图匹配网络的恶意软件相似性度量方法. 软件学报, 2026, 37(6): 2510–2526.
http://www.jos.org.cn/1000-9825/7487.htm
英文引用格式: Chen YW, Gu YH, Xie YQ, Wu TJ. Malware Similarity Measurement Method Based on Heterogeneous Graph
Matching Network. Ruan Jian Xue Bao/Journal of Software, 2026, 37(6): 2510–2526 (in Chinese). http://www.jos.org.cn/1000-9825/
7487.htm

Malware Similarity Measurement Method Based on Heterogeneous Graph Matching Network
1,2
1,2
1,2
CHEN Yong-Wei , GU Yong-Hao , XIE Yu-Qi , WU Tie-Jun 3
1
(School of Computer Science (National Pilot Software Engineering School), Beijing University of Posts and Telecommunications, Beijing
100876, China)
2
(Beijing Key Laboratory of Intelligent Telecommunications Software and Multimedia (Beijing University of Posts and
Telecommunications), Beijing 100876, China)
3
(Nsfocus Technologies Group Co. Ltd., Beijing 100089, China)
Abstract: Existing static malware similarity measurement methods are affected by static anti-antivirus techniques, and the model features
are either easily confused or fail to fully capture malware semantics. This study proposes a malware similarity measurement method called
heterogeneous graph matching network-based similarity (HGMSim) to address the above problems. This method first uses the disassembly
tool IDA Pro to extract a malware’s call graph, which is then abstracted into a heterogeneous graph to effectively capture the
heterogeneous semantics of different function node types and their call relationships. Meanwhile, cross-graph edges are established for
similar function nodes of the same type in two call graphs to mine the implicit neighbor semantics between nodes in different call graphs,

* 基金项目: CCF-绿盟科技“鲲鹏”科研基金 (CCF-NSFOCUS202213); 工业信息安全感知与评估技术工业和信息化部重点实验室开放课
题 (202406); 北京邮电大学数智北邮融创项目 (RCXM-2025-029)
收稿时间: 2024-09-09; 修改时间: 2025-02-12, 2025-05-26; 采用时间: 2025-06-12; jos 在线出版时间: 2025-10-29
CNKI 网络首发时间: 2025-10-31