面向惡意代碼分析的二進(jìn)制組件提取關(guān)鍵技術(shù)研究.pdf

1、近年來，網(wǎng)絡(luò)攻擊事件頻發(fā)，造成的危害越來越大，新型惡意代碼的發(fā)展又進(jìn)入到新的高峰期，日益嚴(yán)重的網(wǎng)絡(luò)安全問題不僅使普通用戶和企業(yè)遭受到巨大的經(jīng)濟(jì)損失，更給國(guó)家安全帶來了嚴(yán)重的威脅。隨著網(wǎng)絡(luò)威脅進(jìn)入到APT時(shí)代，復(fù)雜的代碼結(jié)構(gòu)、多樣化的行為特征和精巧的逃避分析策略使得現(xiàn)有的惡意代碼分析技術(shù)面臨新的挑戰(zhàn)，針對(duì)新型惡意代碼的分析技術(shù)更加成為網(wǎng)絡(luò)安全領(lǐng)域的研究熱點(diǎn)。
　　新型惡意代碼結(jié)構(gòu)復(fù)雜、功能多樣，代碼量大，利用傳統(tǒng)方法進(jìn)行行為分析的準(zhǔn)

2、確率和效率很低。針對(duì)完整代碼樣本的分析既不能保證分析結(jié)果的準(zhǔn)確性，同時(shí)也增加了分析的難度，因此針對(duì)惡意代碼的核心算法與關(guān)鍵功能的分析成為應(yīng)對(duì)新型惡意代碼的有效方法，二進(jìn)制組件（Binary Gadget）的定位與提取技術(shù)是實(shí)施這種新型行為分析的關(guān)鍵。二進(jìn)制組件是從原始惡意代碼樣本中提取出的實(shí)現(xiàn)特定關(guān)鍵功能的代碼片段。通過二進(jìn)制組件的定位與提取可以有效簡(jiǎn)化惡意代碼分析的過程，使得針對(duì)核心算法和關(guān)鍵功能的分析過程脫離原始復(fù)雜的代碼樣本，有效

3、地彌補(bǔ)了靜態(tài)分析準(zhǔn)確率低和動(dòng)態(tài)分析實(shí)現(xiàn)難度大的不足。本文針對(duì)新型惡意代碼分析中存在的問題，圍繞惡意代碼執(zhí)行監(jiān)控和二進(jìn)制組件構(gòu)建兩方面內(nèi)容展開深入研究，本文主要工作和創(chuàng)新點(diǎn)如下：
　　本文首先從二進(jìn)制代碼行為分析的角度入手研究精細(xì)化的行為執(zhí)行監(jiān)控技術(shù)。本文采用動(dòng)靜態(tài)結(jié)合的行為分析方法，基于DECAF平臺(tái)實(shí)現(xiàn)惡意代碼執(zhí)行的全系統(tǒng)監(jiān)控，獲取API調(diào)用過程、指令執(zhí)行序列和內(nèi)存狀態(tài)等關(guān)鍵信息。結(jié)合IDA Pro等工具的靜態(tài)分析結(jié)果構(gòu)建API

4、行為知識(shí)庫，利用API函數(shù)的調(diào)用序列挖掘惡意代碼的典型行為特征。
　　其次，研究代碼片段提取和二進(jìn)制組件構(gòu)建技術(shù)?；谛袨閳?zhí)行監(jiān)控的結(jié)果提出了針對(duì)核心算法和關(guān)鍵功能的代碼片段定位和二進(jìn)制組件的提取方法，以達(dá)到惡意代碼隔離分析與功能重現(xiàn)的目的。提出了語義推導(dǎo)和接口識(shí)別的關(guān)鍵算法，給出了參數(shù)符號(hào)化和地址重定位這兩個(gè)關(guān)鍵問題的解決方案，并以內(nèi)聯(lián)匯編的方式構(gòu)建二進(jìn)制組件。通過實(shí)驗(yàn)驗(yàn)證了二進(jìn)制組件構(gòu)建流程的有效性和正確性。
　　最后，