[發明專利]一種防止惡意代碼探測虛擬環境的方法及系統

在審

• 申請號: 201510619022.0
• 申請日: 2015-09-25
• 公開（公告）號: CN105488414A
• 公開（公告）日: 2016-04-13
• 發明（設計）人: 康學斌;朱晴;肖新光
• 申請（專利權）人: 深圳市安之天信息技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/53
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種防止惡意代碼探測虛擬環境的方法，其特征在于，包括：

獲取惡意代碼樣本，分析所述惡意代碼樣本，獲取用于判斷虛擬環境的判斷條件；

提取所述判斷條件中所使用的參數或數據，以及所使用的API接口；

HOOK所述API，獲取虛擬環境中的參數或數據，逐一判斷所述虛擬環境中的參數或數據是否與所述判斷條件中所使用的參數或數據相同，如果是，則根據所述參數或數據的格式，隨機修改或生成新的參數或數據替換原有參數或數據，或修改所述API的返回值，并觸發執行相關惡意代碼；否則直接觸發執行相關惡意代碼。

2.如權利要求1所述的方法，其特征在于，所述虛擬環境包括虛擬機和沙箱。

3.如權利要求1所述的方法，其特征在于，所述的用于判斷虛擬環境的判斷條件包括：操作系統信息及硬件信息。

4.如權利要求3所述的方法，其特征在于，所述操作系統信息包括：操作系統用戶名、系統服務特征字符串及開發腳本語言環境；

所述硬件信息包括：BIOS信息、設備映射信息及CPU數量。

5.一種防止惡意代碼探測虛擬環境的系統，其特征在于，包括：

樣本分析模塊，用于獲取惡意代碼樣本，分析所述惡意代碼樣本，獲取用于判斷虛擬環境的判斷條件；

參數提取模塊，用于提取所述判斷條件中所使用的參數或數據，以及所使用的API接口；

數據修改模塊，用于HOOK所述API，獲取虛擬環境中的參數或數據，逐一判斷所述虛擬環境中的參數或數據是否與所述判斷條件中所使用的參數或數據相同，如果是，則根據所述參數或數據的格式，隨機修改或生成新的參數或數據替換原有參數或數據，或修改所述API的返回值，并觸發執行相關惡意代碼；否則直接觸發執行相關惡意代碼。

6.如權利要求5所述的系統，其特征在于，所述虛擬環境包括虛擬機和沙箱。

7.如權利要求5所述的系統，其特征在于，所述的用于判斷虛擬環境的判斷條件包括：操作系統信息及硬件信息。

8.如權利要求7所述的系統，其特征在于，所述操作系統信息包括：操作系統用戶名、系統服務特征字符串及開發腳本語言環境；

所述硬件信息包括：BIOS信息、設備映射信息及CPU數量。