[發明專利]一種自動采集惡意軟件的方法和裝置

有效

• 申請號: 201210024743.3
• 申請日: 2012-02-06
• 公開（公告）號: CN102609649A
• 公開（公告）日: 2012-07-25
• 發明（設計）人: 唐海;黃正
• 申請（專利權）人: 北京百度網訊科技有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 深圳市威世博知識產權代理事務所(普通合伙) 44280
• 代理人: 何青瓦;李慶波

1.一種自動采集惡意軟件的方法，其特征在于，該方法包括：

S1、通過模擬瀏覽器掃描網頁，識別并抓取所掃描網頁的惡意代碼；

S2、通過構建惡意代碼執行環境來執行抓取到的惡意代碼，得到惡意軟件。

2.根據權利要求1所述的方法，其特征在于，所述步驟S1中識別所掃描網頁的惡意代碼具體包括：

S11、對所掃描網頁的腳本進行解析，在解析過程中如果通過預先對預設的用于編寫shellcode的函數所掛的函數鉤子獲取到對應函數在內存中產生的二進制數據，則執行步驟A12、步驟B12或者步驟C12；

所述步驟A12為：對所述二進制數據與預先設置的黑名單進行匹配，如果匹配上，則檢測到惡意代碼，其中所述黑名單包括：nop指令頭；

所述步驟B12為：對所述二進制數據進行反匯編檢測，如果在反匯編過程中檢測到自定位代碼，則檢測到惡意代碼；

所述步驟C?12為：對所述二進制數據進行高危字節碼統計，如果高危字節碼的數量超過預設的高危字節碼數量閾值，則檢測到惡意代碼。

3.根據權利要求2所述的方法，其特征在于，如果檢測到惡意代碼，則結束對所述待檢測網頁腳本的解析，否則轉至所述步驟S11對所述待檢測網頁腳本繼續進行解析。

4.根據權利要求2所述的方法，其特征在于，在執行所述步驟A12確定沒有匹配上時，進一步執行所述步驟B12或步驟C12。

5.根據權利要求2或4所述的方法，其特征在于，在執行所述步驟B12確定在反匯編過程中沒有檢測到自定位代碼時，進一步執行所述步驟C12。

6.根據權利要求2所述的方法，其特征在于，所述自定位代碼包括：過程調用call指令代碼、出棧pop指令代碼、浮點檢查保護環境FSTENV指令代碼以及高強度加花SEH指令代碼中的至少一種。

7.根據權利要求2所述的方法，其特征在于，所述高危字節碼包括：不可見字符和堆噴射常用地址中的至少一種。

8.根據權利要求2所述的方法，其特征在于，在所述步驟S11之前還包括：

S01、新建一個瀏覽器IE控件進程，并對預設的用于編寫shellcode的函數掛函數鉤子。

9.根據權利要求2或8所述的方法，其特征在于，所述用于編寫shellcode的函數包括：javascript類型腳本的用于轉義的/u函數、用于字符串解碼的unescape函數或者用于返回ASCII值表示的字符串的string.fromcharcode函數，vbscript類型腳本的unescape函數、string.fromcharcode函數或者用于返回與指定字符代碼相關聯的字符的chrw函數中的至少一種。

10.根據權利要求1所述的方法，其特征在于，所述步驟S2具體包括：

S21、通過對創建文件函數所掛的函數鉤子，在確定抓取的惡意代碼執行了創建文件操作時，將創建文件操作的路徑參數替換為指定的路徑；以及，將所述抓取的惡意代碼覆蓋一個正常程序的地址空間；

S22、在虛擬機中執行所述抓取的惡意代碼，得到惡意軟件。

11.一種自動采集惡意軟件的裝置，其特征在于，該裝置包括：

網頁掃描單元，用于通過模擬瀏覽器掃描網頁；

惡意代碼識別單元，用于識別并抓取所述網頁掃描單元所掃描網頁的惡意代碼；

惡意代碼執行單元，用于通過構建惡意代碼執行環境來執行抓取到的惡意代碼，得到惡意軟件。