[發明專利]基于硬件追蹤技術的惡意程序智能檢測方法、裝置及系統

有效

• 申請號: 202110280246.9
• 申請日: 2021-03-16
• 公開（公告）號: CN112989344B
• 公開（公告）日: 2022-07-05
• 發明（設計）人: 田東海;陳家祺;應前進;郁裕磊;張博;劉文懋
• 申請（專利權）人: 北京理工大學;綠盟科技集團股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F9/455;G06V10/774;G06V10/82;G06K9/62;G06N3/04
• 代理公司: 北京理工大學專利中心 11120
• 代理人: 高會允

1.基于硬件追蹤技術的惡意程序智能檢測方法，其特征在于，包括如下步驟：

構建用于在虛擬機中運行的樣本程序，所述樣本程序具備標簽，被標識為正常程序或者惡意程序；

在虛擬機中依次運行所有的樣本程序，采用Intel PT機制捕獲樣本程序的執行信息，得到當前樣本程序的PT數據包序列；保存未運行過惡意程序的虛擬機快照即為安全虛擬機快照，每個樣本程序執行前均先恢復所述安全虛擬機快照；所述得到當前樣本程序的PT數據包序列，之后還包括對所獲取的當前樣本程序的PT數據包序列進行修剪，具體為包括如下步驟：

第一步，獲取當前樣本程序的原始PT數據包序列；

修剪后的PT數據包序列僅包含PGE型數據包、PGD型數據包、TNT型數據包以及TIP型數據包，其構成的精簡PT數據包序列記為P，其初始為空；設置標志位flag，其初始值設置為0；依次從原始PT數據包序列中取出一個PT數據包，記為當前處理PT數據包p_i；

第二步，提取所述當前處理PT數據包p_i的類型t_i；

第三步，如果當前處理PT數據包類型t_i是PGD類型，從當前處理PT數據包中獲取其TIP值，如果TIP值為0，則跳過當前處理PT數據包，并將標志flag設置為1；如果TIP值不為0，則將當前處理PT數據包插入到精簡后PT數據包序列P中；如果當前處理PT數據包類型t_i為PGE類型，且flag標志值為1，則跳過當前處理PT數據包，并將flag標志值設置為0；如果flag標志值不為1，就將當前處理PT數據包插入到精簡PT數據包序列P中；若當前處理PT數據包類型t_i為TNT類型或者TIP類型，則直接將當前處理PT數據包插入到精簡PT數據包P中；

第四步，從原始PT數據包序列中取下一個PT數據包作為前處理PT數據包p_i，返回第二步；將樣本程序對應的PT數據包序列進行像素化處理，轉換為RGB圖像；每個樣本程序對應RGB圖像及標簽組成一個模型訓練樣本；

采用所有樣本程序對應的模型訓練樣本，對預先構建的卷積神經網絡模型進行訓練得到惡意程序檢測模型，用于惡意程序檢測。

2.如權利要求1所述的方法，其特征在于，所述在虛擬機中依次運行所有的樣本程序，采用Intel PT機制捕獲樣本程序的執行信息，組成當前樣本程序的PT數據包序列，具體為：

對虛擬機環境進行配置，安裝用于保證所有樣本程序正常執行的程序庫；

虛擬機內部部署一個代理程序，所述代理程序依次執行所有的樣本程序，每個樣本程序執行前均先恢復所述安全虛擬機快照；

樣本程序執行過程如下：

當前樣本程序執行啟動后，所述代理程序立即暫停當前樣本程序的執行，然后配置Intel PT機制；開啟Intel PT機制后，所述代理程序恢復當前樣本程序的執行，Intel PT機制捕獲當前樣本程序的執行信息，執行信息以PT數據包序列的形式存儲在內存緩沖區中；將緩沖區中PT數據包序列保存到主機，并且附上標簽，最后關閉虛擬機快照；

按照同樣的步驟執行下一個樣本程序，直至執行完所有的樣本程序。

3.如權利要求2所述的方法，其特征在于，所述采用Intel PT機制捕獲樣本程序的執行信息，具體為：

采用Intel PT處理器，僅對樣本程序的代碼區域的執行信息進行捕獲；

所述執行信息包括樣本程序執行時的控制流和時序信息。

4.如權利要求1～3任一所述的方法，其特征在于，所述將樣本程序對應的PT數據包序列進行像素化處理，轉換為RGB圖像，具體為：

將PT數據包序列中的每個PT數據包轉換為一個顏色像素，從而將所述PT數據包序列轉換為RGB圖像。