[發(fā)明專(zhuān)利]一種防止病毒樣本自檢的方法及裝置

無(wú)效

• 申請(qǐng)?zhí)枺?/td>: 201210217660.6
• 申請(qǐng)日: 2012-06-28
• 公開(kāi)（公告）號(hào): CN102750484A
• 公開(kāi)（公告）日: 2012-10-24
• 發(fā)明（設(shè)計(jì)）人: 高小明;謝飛;曹亮
• 申請(qǐng)（專(zhuān)利權(quán)）人: 騰訊科技（深圳）有限公司
• 主分類(lèi)號(hào): G06F21/00
• 分類(lèi)號(hào): G06F21/00
• 代理公司: 北京德琦知識(shí)產(chǎn)權(quán)代理有限公司 11018
• 代理人: 牛崢;王麗琴

1.一種防止病毒樣本自檢的方法，其特征在于，該方法包括：

計(jì)算機(jī)的真實(shí)操作系統(tǒng)將病毒樣本在虛擬機(jī)環(huán)境的運(yùn)行信息修改為病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息；

計(jì)算機(jī)的真實(shí)操作系統(tǒng)接收在虛擬機(jī)環(huán)境中運(yùn)行的病毒樣本的自檢指示請(qǐng)求，反饋病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息；

病毒樣本自檢后確認(rèn)在計(jì)算機(jī)的真實(shí)操作系統(tǒng)。

2.如權(quán)利要求1所述的方法，其特征在于，所述修改為病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息為：

將計(jì)算機(jī)的真實(shí)操作系統(tǒng)的調(diào)試代碼修改為指示不在調(diào)試模式下，將指示不在調(diào)試模式下的調(diào)試代碼作為病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息；

所述自檢指示請(qǐng)求為計(jì)算機(jī)的真實(shí)操作系統(tǒng)調(diào)試代碼的調(diào)試指示；

所述反饋病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息為指示不在調(diào)試模式下的調(diào)試代碼。

3.如權(quán)利要求2所述的方法，其特征在于，所述將該調(diào)試代碼修改為指示不在調(diào)試模式下為：

根據(jù)在虛擬機(jī)環(huán)境中運(yùn)行的病毒樣本，計(jì)算機(jī)的真實(shí)操作系統(tǒng)在調(diào)試器中設(shè)置軟件斷點(diǎn)，判斷所設(shè)置的軟件斷點(diǎn)是否大于所設(shè)置的斷點(diǎn)數(shù)，

如果是，在所述軟件斷點(diǎn)地址處設(shè)置硬件訪問(wèn)斷點(diǎn)；

如果否，清空所述軟件斷點(diǎn)所在存儲(chǔ)頁(yè)的數(shù)據(jù)，出現(xiàn)缺頁(yè)異常；

所述計(jì)算機(jī)的真實(shí)操作系統(tǒng)調(diào)試代碼的調(diào)試指示是根據(jù)硬件訪問(wèn)斷點(diǎn)異常確定接收的，或者根據(jù)缺頁(yè)異常確定接收的。

4.如權(quán)利要求2所述的方法，其特征在于，所述將該調(diào)試代碼修改為指示不在調(diào)試模式下為：

根據(jù)在虛擬機(jī)環(huán)境執(zhí)行的病毒樣本，計(jì)算機(jī)的真實(shí)操作系統(tǒng)在調(diào)試器中設(shè)置硬件斷點(diǎn)，在硬件斷點(diǎn)上病毒樣本所在線程的上下文修改為不在調(diào)試模式下；

所述計(jì)算機(jī)的真實(shí)操作系統(tǒng)調(diào)試代碼的調(diào)試指示是在病毒樣本調(diào)用所執(zhí)行線程的執(zhí)行上下文時(shí)接收到的。

5.如權(quán)利要求1所述的方法，其特征在于，所述修改為病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息為：

將虛擬機(jī)的時(shí)間戳修改為反映計(jì)算機(jī)的真實(shí)操作系統(tǒng)的時(shí)間戳；

所述自檢指示請(qǐng)求為病毒樣本調(diào)用虛擬機(jī)的時(shí)間戳。

6.如權(quán)利要求5所述的方法，其特征在于，所述反映計(jì)算機(jī)的真實(shí)操作系統(tǒng)的時(shí)間戳為：

計(jì)算機(jī)的真實(shí)操作系統(tǒng)將提供時(shí)間戳的中央處理器寄存器進(jìn)行置位，將時(shí)間戳修改為當(dāng)前真實(shí)操作系統(tǒng)的時(shí)間戳，或當(dāng)前虛擬機(jī)環(huán)境的時(shí)間戳和上次反饋的計(jì)算機(jī)的真實(shí)操作系統(tǒng)的時(shí)間戳之間的差值；

所述病毒樣本調(diào)用虛擬機(jī)的時(shí)間戳?xí)r是通過(guò)計(jì)算機(jī)的真實(shí)操作系統(tǒng)檢測(cè)到提供時(shí)間戳的中央處理器寄存器異常確定的；

當(dāng)已經(jīng)反饋真實(shí)操作系統(tǒng)的時(shí)間戳?xí)r，反饋病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息為反饋當(dāng)前虛擬機(jī)環(huán)境的時(shí)間戳和上次反饋的計(jì)算機(jī)的真實(shí)操作系統(tǒng)的時(shí)間戳之間的差值；否則，反饋真實(shí)操作系統(tǒng)的時(shí)間戳。

7.如權(quán)利要求5所述的方法，其特征在于，所述反映計(jì)算機(jī)的真實(shí)操作系統(tǒng)的時(shí)間戳為計(jì)算機(jī)的真實(shí)操作系統(tǒng)的時(shí)間放慢設(shè)定倍數(shù)后得到的時(shí)間戳。

8.如權(quán)利要求1所述的方法，其特征在于，所述修改為病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息為：

修改病毒樣本所在環(huán)境所存儲(chǔ)的寄存器地址信息，修改為反映計(jì)算機(jī)的真實(shí)操作系統(tǒng)的地址；

所述自檢指示請(qǐng)求為病毒樣本所在環(huán)境所存儲(chǔ)的寄存器地址信息的請(qǐng)求。

9.一種防止病毒樣本自檢的裝置，其特征在于，該裝置包括：設(shè)置模塊、收發(fā)模塊及自檢模塊，其中，

設(shè)置模塊，用于計(jì)算機(jī)的真實(shí)操作系統(tǒng)將病毒樣本在虛擬機(jī)環(huán)境的運(yùn)行信息修改為病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息；

收發(fā)模塊，用于計(jì)算機(jī)的真實(shí)操作系統(tǒng)接收在虛擬機(jī)環(huán)境中運(yùn)行的病毒樣本的自檢指示請(qǐng)求，反饋病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息；

自檢模塊，用于病毒樣本自檢后確認(rèn)在計(jì)算機(jī)的真實(shí)操作系統(tǒng)。

10.如權(quán)利要求9所述的裝置，其特征在于，所述設(shè)置模塊包括第一設(shè)置子模塊，用于將該調(diào)試代碼修改為指示不在調(diào)試模式下，將指示不在調(diào)試模式下的調(diào)試代碼作為病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息；

所述收發(fā)模塊包括第一收發(fā)子模塊，用于接收的所述自檢指示請(qǐng)求為計(jì)算機(jī)的真實(shí)操作系統(tǒng)調(diào)試代碼的調(diào)試指示；所述反饋病毒樣本在真實(shí)操作系統(tǒng)的運(yùn)行信息為指示不在調(diào)試模式下的調(diào)試代碼。