[發明專利]一種基于線程反編譯的多平臺惡意代碼檢測方法和系統

有效

• 申請號: 201110440633.0
• 申請日: 2011-12-26
• 公開（公告）號: CN102819697A
• 公開（公告）日: 2012-12-12
• 發明（設計）人: 康學斌;賀磊鋼
• 申請（專利權）人: 哈爾濱安天科技股份有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于線程反編譯的多平臺惡意代碼檢測方法，其特征在于，包括：

通過特征提取獲取惡意指令序列；

依次檢測系統中的線程信息，識別線程起始數據的指令集，并根據不同指令集對每個線程起始數據進行反編譯得到線程的執行指令序列；

將所述線程的執行指令序列與所述惡意指令序列進行完全匹配，如果匹配成功則該所述線程為惡意線程。

2.如權利要求1所述的基于線程反編譯的多平臺惡意代碼檢測方法，其特征在于，所述特征提取包括靜態提取或者動態提?。凰鲮o態特征提取是指通過對惡意代碼樣本文件進行反編譯，獲取惡意程序的入口點和線程函數的起始地址的數據進行反編譯得到惡意指令序列；所述動態特征提取是指在虛擬環境中執行惡意代碼樣本，監視創建線程，提取創建線程起始位置的數據進行反編譯得到惡意指令序列。

3.如權利要求1所述的基于線程反編譯的多平臺惡意代碼檢測方法，其特征在于，所述指令集包括X86、X64、ARM。

4.如權利要求1所述的基于線程反編譯的多平臺惡意代碼檢測方法，其特征在于，還包括：如果將所述線程的執行指令序列與所述惡意指令序列進行完全匹配不成功，則將所述線程的執行指令序列前十個操作序列內的第一個跳轉后的指令序列與所述惡意指令序列進行完全匹配，如果匹配成功則該所述線程為惡意線程。

5.如權利要求1所述的基于線程反編譯的多平臺惡意代碼檢測方法，其特征在于，還包括：如果所述線程所在的內存加載模塊屬于DLL文件或屬于so文件，則該所述線程為惡意線程。

6.如權利要求1至5所述的任一種基于線程反編譯的多平臺惡意代碼檢測方法，其特征在于，還包括對所述惡意線程進行處置，所述處置包括掛起或終止所述惡意線程。

7.一種基于線程反編譯的多平臺惡意代碼檢測系統，其特征在于，包括：

惡意指令序列模塊，用于通過特征提取獲取惡意指令序列；

提取指令序列模塊，用于依次檢測系統中的線程信息，識別線程起始數據的指令集，并根據不同指令集對每個線程起始數據進行反編譯得到線程的執行指令序列；

指令序列匹配模塊，用于將所述線程的執行指令序列與所述惡意指令序列進行完全匹配，如果匹配成功則該所述線程為惡意線程。

8.如權利要求7所述的基于線程反編譯的多平臺惡意代碼檢測系統，其特征在于，所述特征提取包括靜態提取或者動態提??；所述靜態特征提取是指通過對惡意代碼樣本文件進行反編譯，獲取惡意程序的入口點和線程函數的起始地址的數據進行反編譯得到惡意指令序列；所述動態特征提取是指在虛擬環境中執行惡意代碼樣本，監視創建線程，提取創建線程起始位置的數據進行反編譯得到惡意指令序列。

9.如權利要求7所述的基于線程反編譯的多平臺惡意代碼檢測系統，其特征在于，所述指令集包括X86、X64、ARM。

10.如權利要求7所述的基于線程反編譯的多平臺惡意代碼檢測系統，其特征在于，指令序列匹配模塊具體還用于如果將所述線程的執行指令序列與所述惡意指令序列進行完全匹配不成功，則將所述線程的執行指令序列前十個操作序列內的第一個跳轉后的指令序列與所述惡意指令序列進行完全匹配，如果匹配成功則該所述線程為惡意線程。

11.如權利要求7所述的基于線程反編譯的多平臺惡意代碼檢測系統，其特征在于，還包括關聯檢查模塊，用于如果所述線程所在的內存加載模塊屬于DLL文件或屬于so文件，則該所述線程為惡意線程。

12.如權利要求7至11所述的任一種基于線程反編譯的多平臺惡意代碼檢測系統，其特征在于，還包括處置模塊，用于對所述惡意線程進行處置，所述處置包括掛起或終止所述惡意線程。