基于動態(tài)二進(jìn)制分析的惡意代碼行為完整性分析技術(shù)研究.pdf

1、隨著互聯(lián)網(wǎng)的快速發(fā)展，惡意代碼的種類和數(shù)量在不斷增多，其編寫、傳播和利用呈現(xiàn)出趨利化、商業(yè)化和組織化的態(tài)勢，對互聯(lián)網(wǎng)安全構(gòu)成重大威脅。在惡意代碼分析領(lǐng)域主要存在靜態(tài)分析和動態(tài)分析兩種分析方法，由于靜態(tài)分析方法難以有效應(yīng)對變形和混淆處理的惡意代碼，實(shí)際分析中大多采用動態(tài)分析方法。惡意代碼行為完整性分析是惡意代碼動態(tài)分析中的難點(diǎn)問題，其對于獲取惡意代碼完整行為信息、實(shí)現(xiàn)病毒防護(hù)以及研究相應(yīng)地反制措施具有重要意義。
　　本文首先介紹了惡

2、意代碼行為完整性分析的概念、研究意義及發(fā)展現(xiàn)狀，針對現(xiàn)有的惡意代碼多路徑分析方法中存在的路徑爆炸、內(nèi)存泄露、分析效率低以及強(qiáng)制修改分支路徑導(dǎo)致的程序崩潰等問題，提出動態(tài)構(gòu)建惡意代碼執(zhí)行環(huán)境進(jìn)行行為完整性分析的方法。本文完成的主要工作包括：
　　1.提出了一種基于動靜結(jié)合的惡意代碼環(huán)境數(shù)據(jù)提取方法。通過使用靜態(tài)分析和動態(tài)分析相結(jié)合的方法提取惡意代碼內(nèi)部存在的字符串型環(huán)境數(shù)據(jù)，同時為了確定數(shù)據(jù)的環(huán)境類型，提取過程中進(jìn)行字符串引用分析和

3、函數(shù)類型判別，對于無法確定環(huán)境類型的數(shù)據(jù)使用決策樹對其進(jìn)行分類處理，最后對所有數(shù)據(jù)進(jìn)行整理優(yōu)化用于環(huán)境構(gòu)建。
　　2.提出了一種基于數(shù)據(jù)流跟蹤的惡意代碼敏感環(huán)境識別方法。通過引入數(shù)據(jù)流跟蹤技術(shù)，建立惡意代碼感知獲取的環(huán)境信息與代碼執(zhí)行路徑選擇之間的關(guān)聯(lián)關(guān)系，并依據(jù)不同的環(huán)境信息類型，使用不同的方法獲取環(huán)境完善所需的環(huán)境數(shù)據(jù)以及控制流改變所需的配置信息。
　　3.提出了一種基于虛擬機(jī)鏡像選擇的動態(tài)環(huán)境構(gòu)建方法。通過使用提取出的

4、環(huán)境信息，從預(yù)先制作的虛擬機(jī)鏡像群中選擇合適的虛擬機(jī)鏡像作為基礎(chǔ)執(zhí)行環(huán)境，并使用軟件默認(rèn)
　　安裝、模擬構(gòu)建特殊環(huán)境以及配置文件導(dǎo)入等方法進(jìn)行環(huán)境完善，獲得惡意代碼最佳執(zhí)行環(huán)境。
　　4.設(shè)計并實(shí)現(xiàn)了基于動態(tài)二進(jìn)制分析平臺 Pin的惡意代碼行為完整性分析系統(tǒng)Scindapsus aureus，并選用多款不同類型的惡意代碼進(jìn)行了系統(tǒng)測試。測試結(jié)果表明，該系統(tǒng)可以有效提高惡意代碼行為分析的完整程度，同時相比于現(xiàn)有的多路徑分析方法