[發明專利]一種基于硬件模擬器的惡意代碼在線分析方法及系統

有效

• 申請號: 201110278249.5
• 申請日: 2011-09-19
• 公開（公告）號: CN102999719A
• 公開（公告）日: 2013-03-27
• 發明（設計）人: 程瑤;王蕊;蘇璞睿;馮登國;楊軼;聶眉寧
• 申請（專利權）人: 中國科學院軟件研究所
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 余長江

1.一種基于硬件模擬器的惡意代碼在線分析方法，包括如下步驟：

1)用戶通過瀏覽器提交待分析惡意代碼樣本；

2)響應服務器響應用戶的提交請求，存儲待分析惡意代碼樣本，啟動應用服務器；

3)啟動后的應用服務器將樣本運行參數組織為配置文件；

4)應用服務器按照配置文件將待分析惡意代碼樣本發送到對應的鏡像系統中，然后在硬件模擬器中加載鏡像系統并在鏡像系統中運行惡意代碼樣本；

5)樣本運行結束后應用服務器生成樣本分析報告，并向響應服務器發送完成信號。

2.根據權利要求1所述的基于硬件模擬器的惡意代碼在線分析方法，其特征在于，在步驟2)中，所述被啟動的應用服務器采用負載平衡方法選出。

3.根據權利要求2所述的基于硬件模擬器的惡意代碼在線分析方法，其特征在于，所述負載平衡方法的步驟為：

a)查找運行樣本數最小的應用服務器；

b)將a)步驟找到的應用服務器的樣本數與應用服務器的運行閾值比較；

c)應用服務器的樣本數小于運行閾值時啟動該應用服務器。

4.根據權利要求1所述的基于硬件模擬器的惡意代碼在線分析方法，其特征在于，所述的樣本運行參數由用戶提交或按缺省值進行配置。

5.根據權利要求1所述的基于硬件模擬器的惡意代碼在線分析方法，其特征在于，所述樣本分析報告包括惡意代碼調用的系統API信息，啟動的進程和線程信息，和加載的模塊信息。

6.根據權利要求5所述的基于硬件模擬器的惡意代碼在線分析方法，其特征在于，所述惡意代碼調用系統API的信息包括API的調用時間、傳入參數、傳出參數和返回值。

7.根據權利要求5所述的基于硬件模擬器的惡意代碼在線分析方法，其特征在于，所述加載的模塊信息包括模塊的創建與銷毀信息。

8.一種惡意代碼在線分析系統，其特征在于，包括響應服務器，數據庫服務器，文件服務器和至少一臺應用服務器，所述應用服務器上包括硬件模擬器；響應服務器響應用戶提交待分析惡意代碼樣本的請求；數據庫服務器存儲待分析惡意代碼樣本的運行參數；文件服務器存儲待分析惡意代碼樣本，應用服務器中的硬件模擬器運行待分析惡意代碼樣本并進行分析。

9.根據權利要求8所述的惡意代碼在線分析系統，其特征在于，所述應用服務器上包括數據庫操作模塊、通信模塊、文件操作模塊、操作員模塊和樣本啟動模塊，數據庫操作模塊從數據庫服務器中讀取和更新待分析惡意代碼樣本，文件操作模塊從文件服務器中讀取樣本運行參數和上傳樣本分析報告；通信模塊接收和反饋響應服務器的信號，并將樣本運行參數和待分析惡意代碼樣本發送到操作員模塊上；操作員模塊控制硬件模擬器的啟動、運行和結束，樣本啟動模塊啟動待分析惡意代碼樣本并按照樣本運行參數為樣本模擬運行環境。

10.根據權利要求9所述的惡意代碼在線分析系統，其特征在于，所述樣本啟動模塊運行于硬件模擬器加載的鏡像系統中。