基于PE文件的啟發(fā)式特征碼自動提取的研究.pdf

1、隨著互聯(lián)網(wǎng)的飛速發(fā)展,計算機病毒技術也在迅速發(fā)展,逐漸融合了網(wǎng)絡蠕蟲、木馬、拒絕服務攻擊等各種攻擊手段。
　　 造成的損失也由最初的數(shù)據(jù)丟失,發(fā)展到現(xiàn)在的信息泄密,甚至互聯(lián)網(wǎng)的癱瘓,破壞力越來越大。但不幸的是病毒檢測技術還不能完全跟上病毒編寫者的速度。特別在特征碼提取這一塊,現(xiàn)在仍舊停留在人工分析提取特征碼的階段,這使得一個新病毒從發(fā)現(xiàn)到檢測需要一個很長的過程,而現(xiàn)在的新型病毒的傳播速度越來越快,破壞程度也越來越嚴重。基于上述分

2、析,特征碼的提取方式和提取速度必須跟上病毒的傳播速度。
　　 本文針對特征碼提取技術做了如下工作:
　　 (1)提出了基于PE文件啟發(fā)式特征碼自動提取技術。該技術是建立在對病毒感染策略詳細分析的基礎上,通過對病毒樣本的PE結(jié)構(gòu)掃描,利用病毒復制和傳播的特性,尋找病毒在PE結(jié)構(gòu)中區(qū)別于正常文件的啟發(fā)性標志。該啟發(fā)性標志的選擇主要依據(jù)病毒的感染策略,從PE文件的PE頭部,可選頭部,入口點地址,節(jié)表等病毒容易感染區(qū)段進行選取,

3、然后通過啟發(fā)性標志提煉出病毒的特征序列,最后選出最能代表該病毒特性的特征序列組合成特征碼。
　　 (2)設計并實現(xiàn)特征碼自動提取系統(tǒng)。討論系統(tǒng)的總體設計和各模塊的之間的關系,詳細介紹了系統(tǒng)核心模塊的設計流程和算法。該系統(tǒng)是根據(jù)基于PE文件啟發(fā)式掃描的思想設計的并在該系統(tǒng)中融入了對病毒樣本的特征碼實現(xiàn)無人工干預的自動提取技術。接著我們通過該系統(tǒng)對大量惡意樣本進行特征碼提取,并在積累大量病毒樣本的特征碼基礎上對基于PE文件啟發(fā)式特征