[發明專利]用于惡意軟件檢測的對應用的通用拆包

有效

• 申請號: 201480008695.6
• 申請日: 2014-03-03
• 公開（公告）號: CN105009139B
• 公開（公告）日: 2018-02-06
• 發明（設計）人: D·古普塔
• 申請（專利權）人: 邁克菲股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 上海專利商標事務所有限公司31100
• 代理人: 毛力

1.一種非瞬態計算機可讀介質，包括存儲在所述非瞬態計算機可讀介質上的計算機可執行指令，所述計算機可執行指令使一個或多個處理單元：

將自解壓可執行文件加載到存儲器中，所述自解壓可執行文件包括第一拆包存根和經打包的可執行文件；

允許所述第一拆包存根將所述經打包的可執行文件拆包為經拆包的可執行文件，

其中，允許所述第一拆包存根將所述經打包的可執行文件拆包包括使用硬件輔助的虛擬化來控制存儲器頁面訪問許可以便：

檢測向先前執行代碼所在的存儲器頁面的寫入；以及

檢測執行先前由所述第一拆包存根寫入到存儲器頁面中的代碼的嘗試；

在執行代碼的每一次嘗試時，獨立于對所述第一拆包存根的知曉，使用一個或多個試探法來檢測所述第一拆包存根的完成，其中，所述一個或多個試探法包括：用于將在檢測到所述第一拆包存根的完成之前記錄的棧指針值和棧內容與在允許所述第一拆包存根開始對所述經打包的可執行文件拆包之前記錄的棧指針值和棧內容進行比較的試探法；以及

對所述經拆包的可執行文件掃描惡意軟件。

2.如權利要求1所述的非瞬態計算機可讀介質，其特征在于，

其中，所述經打包的可執行文件包括自解壓可執行文件的序列，所述序列除最后一個成分之外的每一個成分包括拆包存根和后繼自解壓可執行文件，其中，所述最后一個成分包括最終拆包存根和最終經打包的可執行文件，

其中，所述指令使一個或多個處理單元允許所述第一拆包存根對所述經打包的可執行文件拆包包括所述指令使一個或多個處理單元：

允許所述第一拆包存根將所述經打包的可執行文件拆包為所述自解壓可執行文件的序列的第一成分；以及

允許所述自解壓可執行文件的序列的每一個成分對所述后繼自解壓可執行文件拆包，直到所述最終拆包存根將所述最終經打包的可執行文件拆包為最終經拆包的可執行文件為止，

其中，所述指令使一個或多個處理單元對所述經拆包的可執行文件掃描惡意軟件包括：所述指令使一個或多個處理單元對所述最終經拆包的可執行文件掃描惡意軟件。

3.如權利要求2所述的非瞬態計算機可讀介質，其特征在于，所述指令使一個或多個處理單元對所述經拆包的可執行文件掃描惡意軟件進一步包括：所述指令使一個或多個處理單元掃描所述自解壓可執行文件的序列中的至少一些。

4.如權利要求1所述的非瞬態計算機可讀介質，其特征在于，所述指令使一個或多個處理單元允許所述第一拆包存根對所述經打包的可執行文件拆包進一步包括所述指令使一個或多個處理單元：

在檢測到執行先前由所述第一拆包存根寫入到存儲器頁面中的代碼的嘗試之后，使用硬件輔助的虛擬化來暫停所述第一拆包存根的執行；

當所述第一拆包存根的執行被暫停時，收集試探法統計信息；以及

允許所述第一拆包存根的執行繼續。

5.如權利要求1所述的非瞬態計算機可讀介質，其特征在于，所述指令使一個或多個處理單元允許所述第一拆包存根對所述經打包的可執行文件拆包包括：所述指令使一個或多個處理單元使用硬件輔助的虛擬化來控制存儲器頁面訪問許可以檢測所述自解壓可執行文件的入口點的執行。

6.如權利要求1所述的非瞬態計算機可讀介質，其特征在于，所述指令使一個或多個處理單元允許所述第一拆包存根對所述經打包的可執行文件拆包進一步包括所述指令使一個或多個處理單元：

在檢測到向先前執行代碼所在的存儲器頁面的寫入之后，使用硬件輔助的虛擬化來暫停所述第一拆包存根的執行；

當所述第一拆包存根的執行被暫停時，收集試探法統計信息；以及

允許所述第一拆包存根的執行繼續。

7.如權利要求1-6中的任何一項所述的非瞬態計算機可讀介質，其特征在于，在所述經拆包的可執行文件的執行之前來執行掃描所述經拆包的可執行文件。

8.如權利要求1-6中的任何一項所述的非瞬態計算機可讀介質，其特征在于，所述經拆包的可執行文件不被允許執行。

9.如權利要求1-6中的任何一項所述的非瞬態計算機可讀介質，其特征在于，所述經打包的可執行文件是使用未知的或不可檢測的打包算法來打包的。