自动二进制恶意代码行为分析方法技术

本发明专利技术涉及一种自动二进制恶意代码行为分析方法；该方法为：ａ．首先确定二进制恶意代码中可能存在的待分析的恶意行为，然后，在全系统模拟环境中执行待分析程序；ｂ．取一条程序指令；ｃ．如果该指令有输入值，则将输入值定义为符号变量；ｄ．如果该指令是为条件分支指令，则生成、解析路径判定谓词，生成新路径，并将新路径加入路径存储池；ｅ．如果该指令中包含待分析的ＷｉｎｄｏｗｓＡＰＩ序列，则求解与该ＷｉｎｄｏｗｓＡＰＩ序列相关的代码段，并生成相关触发输入集；ｆ．如果路径存储池为空，则生成分析报告后结束；如不空，选择下一条要执行的路径，然后执行步骤ｂ；本发明专利技术提供了一种高效的自动二进制恶意代码行为分析方法。

【技术实现步骤摘要】

本发 明涉及一种恶意代码行为分析方法，特别是涉及一种自动 二进制恶意代码行为分析方法。
技术介绍
恶意代码是威胁计算机系统和网络安全的重要因素之一。 恶意代码是对在不被用户所知的情况下渗透或破坏计算机系统的具有恶意行为的软件的 总称，是各种攻击、入侵、破坏软件或代码的泛指，包括计算机病毒、蠕虫、特洛伊木 马、Rootkits、间谍软件等。恶意代码分析用于提取恶意代码的特征信息，是恶意代码检 测和发现的基础和前提，近年来，由于恶意代码发展迅猛，自动分析恶意二进制代码显 得十分必要，分析结果不仅在设计防御系统方面很有用，还有助于了解攻击者的攻击能 力。目前，恶意代码分析的方法之一是人工使用调试器，并且对代码执行行为进行 推理。然而，人工分析的效率很低，还比较容易出错，无法与大量涌现的恶意代码进行 对抗。恶意二进制分析的另一种方法就是在一个有条件限制的环境(比如虚拟机环境) 中运行一段二进制代码程序观察并记录其行为。然而，此类方法提供的信息十分有限， 日志信息只记录了在具体设置下运行的恶意代码的表象行为。恶意二进制代码某些功 能，只在某些特定的环境或是条件下(比如当收到一个正确的命令或是本文档来自技高网...

【技术保护点】
一种自动二进制恶意代码行为分析方法，其特征是：在全系统模拟环境下，对二进制恶意代码进行如下分析：ａ．首先确定二进制恶意代码中可能存在的待分析的恶意行为，待分析的恶意行为由一张恶意行为列表来维护，恶意行为列表中含有Ｗｉｎｄｏｗｓ　ＡＰＩ调用序列；然后，在全系统模拟环境中执行待分析程序；ｂ．取一条程序指令；ｃ．判断该指令是否有输入值？如有，执行步骤ｄ；如没有，执行步骤ｅ；ｄ．引入符号变量，将输入值定义为符号变量，在全系统模拟环境中采用符号执行方式执行；ｅ．判断该指令是否为条件分支指令？如是，执行步骤ｆ；如不是，执行步骤ｉ；ｆ．为该指令生成包含符号变量的路径判定谓词；ｇ．解析路径判定谓词，生成程序执...

【技术特征摘要】

【专利技术属性】
技术研发人员：张平，李清宝，徐冰，曾光裕，
申请(专利权)人：张平，
类型：发明
国别省市：41