惡意軟件行為分析及變種檢測技術(shù)研究.pdf

1、對軟件進行行為分析并確定其功能是檢測未知惡意軟件的一個關(guān)鍵環(huán)節(jié)?；陟o態(tài)的行為分析技術(shù)雖然可以較為完整地獲取程序信息，但也面臨著許多挑戰(zhàn)，這些挑戰(zhàn)包括加殼、加密等傳統(tǒng)軟件保護技術(shù)和惡意軟件變種技術(shù)?；趧討B(tài)的行為分析技術(shù)可以有效地繞過這些挑戰(zhàn)，并可以在較高的系統(tǒng)抽象度層次上獲取惡意軟件的信息，但動態(tài)行為分析系統(tǒng)也受到反調(diào)試與反跟蹤技術(shù)的挑戰(zhàn)。在傳播過程中，惡意軟件通常會使用各種變種技術(shù)來逃避檢測，如加密、多態(tài)和變形技術(shù)。針對上述問題，本

2、文對基于動態(tài)行為分析的惡意軟件變種檢測技術(shù)進行了研究。主要研究內(nèi)容如下：
　　 首先針對動態(tài)行為分析系統(tǒng)的完整性需求，從理論層面分析構(gòu)建一個合理動態(tài)行為分析系統(tǒng)所需要的必要條件?；谶@些必要條件，我們給出了一個基于Intel VT的動態(tài)行為分析系統(tǒng)實例。該系統(tǒng)將目標(biāo)惡意軟件和分析工具分別安裝在兩個不同的操作系統(tǒng)中，通過虛擬機監(jiān)視器技術(shù)進行實時系統(tǒng)調(diào)用跟蹤，并使用我們提出的最大模式挖掘算法從系統(tǒng)調(diào)用序列中挖掘最大模式來對程序進行行

3、為建模。最大模式是指一段系統(tǒng)調(diào)用子序列，它反復(fù)出現(xiàn)在程序的執(zhí)行序列中，代表著某個特定的系統(tǒng)功能或程序模塊。實驗證明：基于Intel VT的行為分析系統(tǒng)能夠高效地對惡意程序進行動態(tài)行為跟蹤和程序行為描述。
　　 其次，對惡意軟件變種檢測中的關(guān)鍵技術(shù)——軟件相似度計算技術(shù)進行了研究，提出了三種計算方法。(1)基于系統(tǒng)調(diào)用序列排列的相似度計算方法使用我們提出的進化相似度算法計算相似度；(2)基于最大模式序列排列的相似度計算方法使用最大

4、模式挖掘算法從系統(tǒng)調(diào)用序列中挖掘最大模式序列，然后使用進化相似度算法計算相似度；(3)基于最大模式覆蓋率的相似度計算方法忽略程序的線性執(zhí)行順序，使用最大模式集合表現(xiàn)程序行為，通過兩個惡意軟件之間的最大模式交集計算相似度。
　　 最后，在軟件相似度計算方法基礎(chǔ)之上，對惡意軟件變種檢測技術(shù)進行了研究，提出了三種檢測方法：基于系統(tǒng)調(diào)用序列排列的變種檢測、基于最大模式序列排列的變種檢測和基于最大模式覆蓋率的變種檢測。對比實驗結(jié)果表明基于