[發明專利]惡意程序動態行為自動化分析系統與方法

無效

• 申請號: 200710049755.0
• 申請日: 2007-08-14
• 公開（公告）號: CN101154258A
• 公開（公告）日: 2008-04-02
• 發明（設計）人: 梁曉;曹躍;李毅超;黃沾;徐勝
• 申請（專利權）人: 電子科技大學
• 主分類號: G06F21/22
• 分類號: G06F21/22
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.惡意程序動態行為自動化分析系統，其特征在于包括如下組成部件：

初始化部件：惡意行為自動化分析系統首先在監控方式下啟動被分析的未知二進制程序，并將虛擬執行部件遠程注入到目標二進制程序進程空間內，并初始化虛擬執行部件。同時，加載行為監控部件，其中包含有默認的惡意行為規則庫。可通過用戶接口添加、刪除和修改行為規則庫中的內容。

反匯編部件：惡意行為自動化分析系統獲取目標二進制程序的代碼流，由反匯編部件生成對應的匯編代碼，逐條分析得到的匯編指令。反匯編部件用于動態構建與目標代碼流相一致的匯編指令流。

虛擬執行部件：惡意行為自動化分析系統針對反匯編部件生成的目標程序匯編指令流，當遇到控制轉移指令，或基本塊的累計指令數目超出用戶定義的范圍時，設置為該基本塊的結束。同時，虛擬執行部件以虛擬執行的方式執行基本塊中的每條指令。

行為監控部件：惡意行為自動化分析系統針對虛擬執行部件生成的每個基本塊，判斷其中是否存在有規則庫中的惡意行為指令。若不存在，則由虛擬執行部件虛擬執行各條指令。若存在，將控制權轉移給行為分析部件，記錄下該惡意行為，之后將控制權返回給虛擬執行部件。

行為分析部件：惡意行為自動化分析系統根據記錄下的惡意行為，按照行為的作用范圍和嚴重程度，對該未知二進制程序的惡意行為進行分析歸類。同時，提供針對該惡意程序有效的防御方法和手動卸載方法。

2.根據權利要求1所述的惡意程序動態行為自動化分析系統，其特征在于：虛擬執行部件的結構組成包括：基本塊生成模塊，基本塊緩存模塊，基本塊預處理模塊和虛擬執行模塊。基本塊生成模塊調用反匯編部件，對獲取的二進制代碼流進行分析，生成不包含控制轉移指令的基本塊。這就使得目標代碼流的所有執行都能夠保持在虛擬執行系統的控制范圍內。生成的基本塊存放在基本塊緩存內后，經過執行預處理條運行效率。只有存在于基本塊緩存內的代碼指令才能執行，原始的目標代碼流不能直接執行。基本塊預處理模塊為了提升系統的運行性能，采用了基本塊結合技術和標準代碼忽略技術，以此減小運行時的延遲。

3.根據權利要求1所述的惡意程序動態行為自動化分析系統，其特征在于：行為監控部件的惡意行為對象組成包括：進程/線程行為模塊，內存空間訪問行為模塊，文件系統訪問行為模塊，注冊表系統訪問行為模塊，網絡系統訪問行為模塊等。進程/線程模塊包括了進程創建行為，進程結束行為，遠程線程創建行為，遠程線程結束行為，進程懸掛行為，進程激活行為，線程懸掛行為，線程激活行為，進程優先級改變行為，以及進程調試行為，動態鏈接庫加載行為，驅動程序加載行為等。內存空間訪問行為模塊包括直接訪問物理內存行為，遠程進程內存空間訪問行為等。文件系統訪問行為模塊主要包括文件的創建行為，刪除行為，修改行為等。注冊表系統訪問行為模塊主要包括注冊表的鍵和值的創建行為，刪除行為和修改行為等。網絡系統訪問行為模塊包括遠程網絡的主動連接行為，本地網絡的監聽行為等。

4.根據權利要求1所述的惡意程序動態行為自動化分析方法，其特征在于：

步驟(1)，初始化部件啟動目標二進制程序；

步驟(2)，加載虛擬執行部件和行為監控部件；

步驟(3)，反匯編部件獲取目標程序二進制代碼流的匯編指令；

步驟(4)，虛擬執行部件切片生成相應的基本塊；

步驟(5)，行為監控部件判斷基本塊內是否存在規則庫中的惡意行為；

步驟(6)，若存在惡意行為，將控制權轉移給行為分析部件，記錄該惡意行為；

步驟(7)，虛擬執行基本塊中的每條指令；

步驟(8)，停止分析后，行為分析部件提交惡意行為分析報告。

5.根據權利要求4所述的惡意程序動態行為自動化分析方法，其特征在于：虛擬執行部件將目標代碼流分解成多個指令集，以模擬代碼流正常執行的方式執行基本塊中的每條指令，該過程實現代碼的局部執行，而指令集則組成了虛擬執行的基本塊。每個基本塊是沒有包含分支語句的指令序列，在滿足以下條件發生時結束代碼流切片：無條件控制轉移指令；條件控制轉移指令；規定數量的非控制轉移指令集。