[發明專利]惡意軟件分析系統、惡意軟件分析方法及記錄介質

有效

• 申請號: 201580074444.2
• 申請日: 2015-12-15
• 公開（公告）號: CN107209833B
• 公開（公告）日: 2020-12-04
• 發明（設計）人: 幾世知范;青木一史;針生剛男
• 申請（專利權）人: 日本電信電話株式會社
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/53
• 代理公司: 北京三友知識產權代理有限公司 11127
• 代理人: 黃綸偉;金玲

1.一種惡意軟件分析系統，其特征在于，其具備：

預備分析部，其通過執行作為分析對象的候選而取得的惡意軟件，取得與從該惡意軟件發起的通信相關的信息；

判定部，其根據上述預備分析部所取得的信息，判定是否要將上述惡意軟件作為分析對象；

指定部，其根據上述預備分析部所取得的信息，對通過上述判定部判定為分析對象的惡意軟件指定分析的次序，將該次序包括在內而進行登記，并且再次計算原先已被登記的未分析的分析對象的次序；及

本分析部，其按照所述指定部指定分析的次序執行分析，

在封閉環境下執行了惡意軟件的情況下，上述預備分析部作為與從上述惡意軟件發起的通信相關的信息，取得與如下情況相關的信息，該情況為作為通信目的地的IP地址的直接指定的有無或名稱解決獲得成功的通信的有無，其中，該封閉環境是將惡意軟件和外部的通信網絡隔離的環境，該IP地址的直接指定的有無表示在所述惡意軟件進行動作的情況下，是否觀測到直接指定IP地址的數據發送，該名稱解決獲得成功的通信的有無表示能否通過所述惡意軟件的通信而分割通信目的地的服務器的地址，

在上述預備分析部所取得的信息中存在IP地址的直接指定或名稱解決獲得成功的通信中的任意一個的情況下，上述判定部將該惡意軟件判定為分析對象，

上述指定部根據上述IP地址或上述名稱解決獲得成功的通信所確定的通信目的地的件數，指定分析上述惡意軟件的次序。

2.根據權利要求1所述的惡意軟件分析系統，其特征在于，

在開放環境下執行了惡意軟件的情況下，上述預備分析部作為與從上述惡意軟件發起的通信相關的信息，取得與獲得了錯誤以外的響應的通信的有無相關的信息，該開放環境是可將惡意軟件和外部的通信網絡進行連接的環境，

在上述預備分析部所取得的信息中存在獲得了錯誤以外的響應的通信的情況下，上述判定部將該惡意軟件判定為分析對象，

上述指定部根據獲得了上述錯誤以外的響應的通信目的地的件數，指定分析上述惡意軟件的次序。

3.根據權利要求1所述的惡意軟件分析系統，其特征在于，

上述預備分析部在執行惡意軟件的終端中，在任意地組合了安裝于該終端的OS、庫、或應用的多個執行環境下執行上述惡意軟件，由此針對每個執行環境取得從該惡意軟件發起的通信中的通信目的地的件數，

上述指定部根據通過上述預備分析部而針對每個執行環境取得的通信目的地的件數中、最多的通信目的地的件數，指定分析上述惡意軟件的次序。

4.根據權利要求1所述的惡意軟件分析系統，其特征在于，

上述預備分析部關于成為處理對象的惡意軟件，取得登記日期時間，該登記日期時間是惡意軟件初次登記到規定的數據庫中的日期時間，其中，該惡意軟件經由通信網絡而一元地貯存在該規定的數據庫中，

上述判定部根據上述登記日期時間，判定是否要將該惡意軟件作為分析對象，

上述指定部對于通過上述判定部判定為分析對象的惡意軟件中、上述登記日期時間越新的惡意軟件，將分析的次序指定為越高。

5.根據權利要求1所述的惡意軟件分析系統，其特征在于，

上述預備分析部關于成為處理對象的惡意軟件，取得投稿者數，該投稿者數是向規定的數據庫投稿了與惡意軟件相關的信息的人數，其中，上述惡意軟件經由通信網絡而一元地貯存在該規定的數據庫中，

上述判定部根據上述投稿者數，判定是否要將該惡意軟件作為分析對象，

上述指定部根據通過上述判定部判定為分析對象的惡意軟件中、上述投稿者數的多少，指定分析的次序的高低。