[發明專利]用于檢測由虛擬機所執行的惡意代碼的系統和方法

有效

• 申請號: 201310642107.1
• 申請日: 2013-12-03
• 公開（公告）號: CN103593608B
• 公開（公告）日: 2016-11-23
• 發明（設計）人: 米哈伊爾·A·帕夫柳席奇卡
• 申請（專利權）人: 卡巴斯基實驗室封閉式股份公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56
• 代理公司: 北京市磐華律師事務所 11336
• 代理人: 謝栒;魏寧

1.一種用于防御由進程虛擬機可執行的惡意程序指令集的自動計算機實現的方法，所述進程虛擬機包括在具有硬件平臺和操作系統的計算機系統上可執行的程序指令，所述方法包括：

由在所述計算機系統上執行的自動擴張進程來擴張所述進程虛擬機的所述程序指令以在所述進程虛擬機內建立異常監視模塊；

經由所述進程虛擬機執行隸屬程序指令集；

由所述異常監視模塊檢測作為所述隸屬程序指令集的所述執行的結果而發生的異常，其中所述異常代表被確定為具有違反預定義安全策略的潛在性的事件的發生；

響應于檢測到所述異常的發生，由所述異常監視模塊采集來自所述進程虛擬機的上下文信息，所述上下文信息代表圍繞所述異常的所述發生的情形；由所述異常監視模塊提供所述上下文信息以承受對于所述惡意程序指令集的存在的分析；以及

由所述異常監視模塊基于所述分析的結果確定是否許可由所述進程虛擬機對所述隸屬程序指令集的進一步執行。

2.如權利要求1所述的方法，進一步包括：

響應于檢測到所述異常的發生，停止所述進程虛擬機的操作以防止所述隸屬程序指令集的進一步執行；以及

響應于表明所述隸屬程序指令集中不存在惡意代碼的所述分析的結果，重新開始所述進程虛擬機的操作。

3.如權利要求1所述的方法，進一步包括：

響應于檢測到所述異常的發生，停止所述進程虛擬機的操作以防止所述隸屬程序指令集的進一步執行；以及

響應于表明所述隸屬程序指令集中存在惡意代碼的所述分析的結果，終止所述進程虛擬機的操作。

4.如權利要求1所述的方法，其中所述擴張在發起所述進程虛擬機的所述程序指令的執行之后實施。

5.如權利要求1所述的方法，其中所述擴張在發起所述進程虛擬機的所述程序指令的執行之前實施。

6.如權利要求1所述的方法，其中在所述擴張中，用于實現所述異常監視模塊的專門代碼被插入到所述進程虛擬機的現有安全管理器部分中。

7.如權利要求1所述的方法，其中所述擴張包括對所述進程虛擬機的一個或多個現有功能的功能重載。

8.如權利要求1所述的方法，其中在提供所述上下文信息中，所提供的圍繞所述異常的所述情形包括表明所述異常的原因的信息。

9.如權利要求1所述的方法，其中在提供所述上下文信息中，所提供的圍繞所述異常的所述情形包括表明在被識別為所述異常的關鍵事件的所述發生之前的事件的信息。

10.如權利要求1所述的方法，進一步包括：

由在所述計算機系統上執行的分析模塊接收所述上下文信息；以及

由所述分析模塊確定所述上下文信息是否與惡意代碼相關聯。

11.如權利要求10所述的方法，其中所述確定所述上下文信息是否與惡意代碼相關聯包括將所述上下文信息和代表惡意活動的一組至少一個預定義模板相比較。