[發明專利]用于在執行程序模塊時檢測惡意計算機代碼的方法和系統

無效

• 申請號: 201310070254.6
• 申請日: 2013-03-06
• 公開（公告）號: CN103310151A
• 公開（公告）日: 2013-09-18
• 發明（設計）人: P·D·考夫曼
• 申請（專利權）人: 國際商業機器公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 中國國際貿易促進委員會專利商標事務所 11038
• 代理人: 金曉

1.一種用于確定計算機存儲器內的計算機程序是否為惡意的方法，所述計算機程序包括一條或多條計算機程序指令，每一條計算機程序指令被定位在計算機存儲器內能夠從其執行該計算機程序指令的地址處，所述方法包括以下步驟：

在執行所述計算機程序指令之前，計算機在存儲器內識別出與所述計算機程序中一條或多條計算機程序指令的位置相對應的一個或多個地址；并且

在執行所述計算機程序指令期間，計算機在所述計算機程序中識別出位于所述存儲器內另外地址處的另外的計算機程序指令，并且作為響應，計算機做出所述計算機程序具有惡意標記的指示。

2.如權利要求1所述的方法，

其中執行所述計算機程序指令之前識別出的一條或多條計算機程序指令是在所述計算機程序中出現的一種或多種預定程序指令類型的計算機程序指令；并且

其中在執行所述計算機程序指令期間識別出的其他程序指令是在所述計算機程序中出現的并非在執行之前識別出的一種或多種預定程序指令類型之一的計算機程序指令。

3.如權利要求2所述的方法，其中一種或多種預定程序指令類型至少包括生成程序指令的操作系統中斷類型。

4.如權利要求3所述的方法，其中執行期間的識別步驟由執行生成程序指令的操作系統中斷類型的計算機程序指令時調用的例行程序實施。

5.如權利要求3所述的方法，

進一步包括向所述計算機程序中插入自定義程序指令的步驟，所述自定義程序指令是生成程序指令的操作系統中斷類型的；并且

其中在執行所述計算機程序指令之前的計算機識別步驟進一步包括：

所述計算機在存儲器內識別出與一種或多種預定程序指令類型的計算機程序中所有的計算機程序指令的位置相對應的一個或多個地址；并且

其中在執行計算機程序指令期間的計算機識別步驟進一步包括：

所述計算機在執行插入的自定義程序指令時在所述計算機程序中識別出位于存儲器內另外地址處的一種或多種預定程序指令類型之一的另外的計算機程序指令，并且作為響應，所述計算機做出所述計算機程序具有惡意標記的指示。

6.如權利要求1所述的方法，其中做出指示的計算機包括至少一種以下的功能：程序終止，程序掛起，生成警報，向日志文件輸出條目。

7.如權利要求1所述的方法，其中在執行之前，所述其他指令被混淆，并且其中所述其他指令在執行期間被解除混淆。

8.一種用于確定計算機存儲器內的計算機程序是否為惡意的系統，所述計算機程序包括一條或多條計算機程序指令，每一條計算機程序指令被定位在計算機存儲器內能夠從其執行該計算機程序指令的地址處，所述系統包括：

被設置用于促使計算機在執行所述計算機程序指令之前在存儲器內識別出與所述計算機程序中一條或多條計算機程序指令的位置相對應的一個或多個地址的裝置；以及

被設置用于促使計算機在執行所述計算機程序指令期間在所述計算機程序中識別出位于存儲器內另外地址處的另外的計算機程序指令的裝置，并且作為響應，計算機做出所述計算機程序具有惡意標記的指示。

9.如權利要求8所述的系統，

其中執行所述計算機程序指令之前識別出的一條或多條計算機程序指令是在所述計算機程序中出現的一種或多種預定程序指令類型的計算機程序指令；并且

其中在執行所述計算機程序指令期間識別出的其他程序指令是在所述計算機程序中出現的并非在執行之前識別出的一種或多種預定程序指令類型之一的計算機程序指令。

10.如權利要求9所述的系統，其中一種或多種預定程序指令類型至少包括生成程序指令的操作系統中斷類型。

11.如權利要求10所述的系統，其中被設置用于促使計算機在執行期間進行識別的裝置由執行生成程序指令的操作系統中斷類型的計算機程序指令時調用的例行程序觸發。