随着社会信息化程度的日益提高,网络安全问题面临着全新的挑战。恶意代码的种类和数量在逐年增长,与之对应的恶意代码相关研究也成为了网络安全领域的重点。虽然基于机器学习以及深度学习的方法在恶意代码检测领域取得了一定的效果,但是这些方法大多只使用了API调用序列等单一维度行为特征,没有考虑不同维度行为之间的联系。在实际的情况中,一个恶意行动往往需要多个行为共同完成。除此之外,目前的方法只给出了恶意代码的分类结果,对研究人员来说是黑盒,可解释性较差,带来的信息十分有限。恶意代码动态行为能够从根本上体现恶意代码目的,因此本文提出了一种基于动态行为构建恶意代码个体画像的方法。为了保证画像标签的多样性以及可解释性,本文采用统计、领域知识规则以及频繁项挖掘三种方法共同构建恶意代码行为标签系统。恶意代码个体画像可以向研究人员提供恶意代码的行为特征,具有良好的可读性。除此之外,由于恶意代码个体画像包含了恶意代码主要恶意行为,因此可以将个体画像作为数据送入到机器学习算法中用于分类。恶意代码为了对抗动态分析会在行为中加入良性行为作为混淆。恶意代码家族是一个具有相同恶意目的和攻击手段的集合,构建家族画像能够过滤部分混淆行为,给出家族的核心行为,帮助研究人员快速了解恶意代码家族行为。仅仅依靠恶意代码动态行为无法对恶意代码家族进行宏观完整描述,为了解决这一问题,本文引入恶意代码文本。恶意代码文本描述了恶意代码家族的能力信息,本文通过句子级别的分类从文本中获取恶意代码家族能力标签。本文将恶意代码个体画像与家族能力标签相结合,过滤良性行为,成功构建了家族画像,同时探索了恶意代码能力和行为之间的关联。针对句子分类任务,本文提出了基于外部知识以及静态图和动态图结合的图卷积神经网络。实验表明该方法可以有效识别句子描述的能力,与基线方法对比,Weighted-F1提高了1.82%,Macro-F1提升了5.74%,准确率提升了1.50%。