基于行為控制的惡意代碼檢測(cè)分析技術(shù)研究.pdf

1、互聯(lián)網(wǎng)與計(jì)算機(jī)已經(jīng)成為當(dāng)前人們工作和生活中不可或缺的一部分，但是，在人們享受信息技術(shù)帶來(lái)的便利的同時(shí)，也不得不承受計(jì)算機(jī)病毒、蠕蟲等惡意代碼對(duì)信息安全和個(gè)人隱私帶來(lái)的破壞和威脅，使得安全研究人員不得不采用各種檢測(cè)分析技術(shù)進(jìn)行應(yīng)對(duì)。但是，隨著惡意代碼的種類和數(shù)量越來(lái)越多、增長(zhǎng)越來(lái)越迅猛，同時(shí)惡意代碼也經(jīng)常利用各種迷惑混淆、變形多態(tài)等自保護(hù)技術(shù)來(lái)對(duì)抗安全軟件，增強(qiáng)自我生存能力，使得對(duì)惡意代碼的檢測(cè)分析更加困難。因此，研究能夠有效應(yīng)對(duì)各種迷惑

2、混淆技術(shù)的惡意代碼檢測(cè)分析技術(shù)，快速準(zhǔn)確地獲取惡意行為信息，識(shí)別惡意代碼及其變種，對(duì)于維護(hù)信息安全，減少惡意代碼帶來(lái)的損失，有著非常重要的意義。為了在惡意代碼檢測(cè)分析過(guò)程中，更準(zhǔn)確的描述惡意行為的本質(zhì)屬性和特征，減少路徑狀態(tài)空間爆炸及各種迷惑混淆技術(shù)對(duì)惡意行為信息獲取和分析過(guò)程的干擾和影響，本文對(duì)惡意代碼的行為特征模型及其自動(dòng)化提取方法、反迷惑混淆的控制流分析和敏感函數(shù)識(shí)別方法、以敏感行為為目標(biāo)進(jìn)行控制引導(dǎo)的敏感路徑搜索分析方法等進(jìn)行了

3、研究，設(shè)計(jì)了基于行為控制的惡意代碼檢測(cè)分析系統(tǒng)。
　　本研究主要內(nèi)容包括：⑴海量惡意代碼及其變種的不斷涌現(xiàn)，給惡意行為特征的表示帶來(lái)了更大的困難和挑戰(zhàn)。為準(zhǔn)確描述惡意代碼的功能或行為本質(zhì)，提高惡意代碼檢測(cè)分析的準(zhǔn)確性，提出了基于行為語(yǔ)義和結(jié)構(gòu)特征的多維行為模型。該模型從反映時(shí)序關(guān)系的系統(tǒng)調(diào)用序列圖子特征、反映控制依賴和數(shù)據(jù)依賴關(guān)系的系統(tǒng)調(diào)用依賴圖子特征，和反映程序結(jié)構(gòu)的函數(shù)調(diào)用圖子特征這三個(gè)特征維度，對(duì)惡意代碼家族特征進(jìn)行歸納、分

4、析和描述。在此過(guò)程中，研究了基于加權(quán)最小公共超圖的多維行為特征自動(dòng)化提取方法、特征圖匹配的相似度計(jì)算算法，以及各子特征分類器的輸出結(jié)果判定方法等。⑵為消除惡意代碼變種使用的代碼混淆等技術(shù)帶來(lái)的干擾，獲取準(zhǔn)確完整的反匯編代碼和控制流信息，提出了反代碼迷惑的控制流分析與修正方法。該方法使用設(shè)計(jì)的靜態(tài)控制流圖解析構(gòu)造算法生成包含異常節(jié)點(diǎn)的控制流圖和反匯編代碼等信息；針對(duì)反逆向分析的主要代碼混淆和控制流迷惑技術(shù)的應(yīng)用規(guī)律和特點(diǎn)，設(shè)計(jì)路徑前綴片段

5、集合構(gòu)造算法生成含異常節(jié)點(diǎn)的路徑前綴片段，生成約束條件并求解獲取輸入測(cè)試用例；依據(jù)實(shí)際執(zhí)行的路徑及指令信息，采用設(shè)計(jì)的控制流修正與代碼混淆識(shí)別算法，對(duì)反匯編代碼與控制流圖進(jìn)行修正和完善，應(yīng)對(duì)跳轉(zhuǎn)地址間接化、垃圾指令插入、基于過(guò)程異常返回的隱式跳轉(zhuǎn)混淆等迷惑變換技術(shù)，有效提高了控制流分析結(jié)果的準(zhǔn)確性和完整性。⑶為快速準(zhǔn)確獲取程序的關(guān)鍵行為信息，解決多路徑分析中存在的路徑狀態(tài)空間爆炸問(wèn)題，縮小路徑分析的范圍，提出了基于動(dòng)態(tài)符號(hào)執(zhí)行的敏感路徑

6、搜索分析方法。該方法通過(guò)對(duì)當(dāng)前常用多路徑搜索策略的綜合分析，制定敏感路徑搜索分析策略，設(shè)計(jì)并使用敏感路徑搜索算法和敏感路徑逼近等算法，生成最可能包含惡意代碼關(guān)鍵行為的敏感路徑，控制引導(dǎo)整個(gè)過(guò)程沿著惡意行為最可能存在的敏感路徑進(jìn)行直接覆蓋和逼近搜索分析，快速獲取關(guān)鍵的執(zhí)行行為和路徑信息，同時(shí)對(duì)反匯編和控制流信息進(jìn)行反饋修正，從而避免多路徑測(cè)試選擇的盲目性，提高多路徑分析的準(zhǔn)確性和效率。⑷為消除函數(shù)調(diào)用迷惑帶來(lái)的干擾，提高實(shí)現(xiàn)惡意代碼關(guān)鍵功

7、能的敏感函數(shù)識(shí)別的準(zhǔn)確性，提出了反函數(shù)調(diào)用迷惑的敏感函數(shù)識(shí)別方法。該方法面向 PE格式的二進(jìn)制可執(zhí)行惡意代碼，研究了適用于普通程序的通用靜態(tài)庫(kù)和動(dòng)態(tài)庫(kù)函數(shù)識(shí)別技術(shù)；根據(jù)惡意代碼常用的函數(shù)調(diào)用迷惑技術(shù)的特點(diǎn)，設(shè)計(jì)實(shí)現(xiàn)了應(yīng)對(duì)地址硬編碼混淆、函數(shù)分割混淆、同名函數(shù)混淆、數(shù)組方式混淆、函數(shù)代碼替換混淆等混淆方式的敏感函數(shù)識(shí)別框架和算法，實(shí)驗(yàn)證明了該方法的可行性和有效性。⑸基于論文的研究成果，設(shè)計(jì)并實(shí)現(xiàn)了基于行為控制的惡意代碼檢測(cè)分析系統(tǒng)。系統(tǒng)采

8、用基于行為語(yǔ)義和結(jié)構(gòu)特征的多維行為模型，通過(guò)反函數(shù)調(diào)用迷惑的敏感函數(shù)識(shí)別技術(shù)進(jìn)行關(guān)鍵系統(tǒng)調(diào)用的識(shí)別，通過(guò)反代碼迷惑的控制流分析技術(shù)獲取更加完整和準(zhǔn)確的反匯編和控制流圖等信息，使用敏感路徑搜索分析技術(shù)進(jìn)行控制引導(dǎo)，完成目標(biāo)程序關(guān)鍵行為路徑的快速覆蓋和逼近分析，獲取目標(biāo)代碼的敏感行為信息；在此基礎(chǔ)上，使用惡意程序和正常程序樣本集，基于各子特征分類器的輸出結(jié)果，對(duì)設(shè)計(jì)的BP神經(jīng)網(wǎng)絡(luò)模型進(jìn)行集成學(xué)習(xí)和訓(xùn)練，構(gòu)建集成決策分類器進(jìn)行惡意代碼種類和家