基于函數(shù)監(jiān)控的惡意程序行為自動(dòng)分析方法研究與實(shí)現(xiàn).pdf

1、現(xiàn)代互聯(lián)網(wǎng)已經(jīng)與人類生活非常緊密，人們?cè)谙碛镁W(wǎng)絡(luò)便利的同時(shí)，也面臨著來(lái)自互聯(lián)網(wǎng)上惡意程序傳播所帶來(lái)的安全隱患。而惡意程序行為分析正是安全研究人員關(guān)注的重點(diǎn)。
　　傳統(tǒng)惡意程序分析方法源于二進(jìn)制碼的靜態(tài)分析技術(shù)。靜態(tài)分析技術(shù)在長(zhǎng)期使用中得到了不斷改進(jìn)，但是在惡意程序數(shù)量爆炸式增長(zhǎng)趨勢(shì)面前，靜態(tài)分析方法逐漸顯得力不從心。惡意程序通過(guò)采用加密、加殼或者增加花指令的方法躲避靜態(tài)分析。為了解決以上問(wèn)題，安全研究領(lǐng)域出現(xiàn)了基于程序行為分析的研

2、究技術(shù)。行為分析的特點(diǎn)是記錄程序在運(yùn)行時(shí)發(fā)生的動(dòng)作，然后通過(guò)對(duì)不同動(dòng)作的定義來(lái)表示程序的行為。這種分析技術(shù)突破了二進(jìn)制分析的技術(shù)限制，解決了未知代碼檢測(cè)問(wèn)題。同時(shí)惡意程序的快速增長(zhǎng)迫使程序行為分析自動(dòng)化成為安全研究方向的重要課題。
　　在這種背景下，本文提出了一種基于函數(shù)監(jiān)控的程序行為自動(dòng)分析方法，并使用該方法對(duì)惡意程序進(jìn)行檢測(cè)。該方法的核心可以分為三個(gè)部分：系統(tǒng) API監(jiān)控，捕獲程序運(yùn)行調(diào)用的系統(tǒng)API，在本文基于的課題中使用Q

3、EMU開源模擬器搭建程序運(yùn)行平臺(tái)，實(shí)現(xiàn)對(duì)系統(tǒng) API調(diào)用的監(jiān)控；基本行為抽象，定義一系列規(guī)則將捕獲得到的API抽象為可讀性高且具有明確含義的基本行為，基本行為指單個(gè)API函數(shù)表示的行為；高級(jí)行為抽象，定義組合關(guān)系，總結(jié)惡意程序常見操作，將其按照與、或、順序等邏輯關(guān)系拆分成基本行為的組合，實(shí)現(xiàn)對(duì)惡意程序的檢測(cè)，完成程序行為的自動(dòng)化分析。文章最后實(shí)驗(yàn)部分詳細(xì)演示了該自動(dòng)分析方法實(shí)際操作流程，并將實(shí)驗(yàn)結(jié)果與手工程序行為分析結(jié)果進(jìn)行比較。對(duì)比結(jié)