[发明专利]一种可疑代码分析方法及装置

权利要求书

1.一种可疑代码分析方法，包括：

创建代码虚拟执行环境，所述代码虚拟执行环境创建主机系统的常用进 程；启动可疑代码，所述可疑代码对主机系统进行操作；

将可疑代码对主机系统的常用进程的操作重定向到所述代码虚拟执行 环境创建的进程；

将可疑代码对主机系统的文件系统或注册表的操作重定向到所述代码 虚拟执行环境创建的虚拟的文件系统或虚拟的注册表；

记录可疑代码运行时的行为特征并保存为日志文件；

将所述日志文件通过命名管道发送至所述主机系统进行分析，所述命名 管道对于所述代码虚拟执行环境中的可疑代码是不可见的。

2.如权利要求1所述的方法，其特征在于：所述方法还包括：

禁止非所述代码虚拟执行环境的进程对所述代码虚拟执行环境的操作。

3.如权利要求1所述的方法，其特征在于：所述命名管道只被所述代 码虚拟执行环境中的进程本身所使用。

4.如权利要求1所述的方法，其特征在于：还包括限制所述代码虚拟 执行环境中的可疑代码进程获取主机系统中的进程信息。

5.如权利要求1所述的方法，其特征在于：还包括限制所述代码虚拟 执行环境中的可疑代码进程发消息给主机系统中的进程。

6.一种可疑代码分析装置，包括：

虚拟执行环境创建模块，用于创建代码虚拟执行环境，所述代码虚拟执 行环境创建主机系统的常用进程；

可疑代码启动模块，用于启动可疑代码，所述可疑代码对主机系统进行 操作；

重定向模块，用于将可疑代码对主机系统的常用进程的操作重定向到所 述代码虚拟执行环境创建的进程，将可疑代码对主机系统的文件系统或注册 表的操作重定向到所述代码虚拟执行环境创建的虚拟的文件系统或虚拟的 注册表；

行为记录模块，用于记录可疑代码运行时的行为特征并保存为日志文 件；

管道通信模块，用于将所述日志文件通过命名管道发送至所述主机系统 进行分析，所述命名管道对于所述代码虚拟执行环境中的可疑代码是不可见 的。

7.如权利要求6所述的装置，其特征在于：还包括访问控制模块，用 于禁止非所述代码虚拟执行环境的进程对所述代码虚拟执行环境的操作。

8.如权利要求6所述的装置，其特征在于：所述命名管道只被所述代 码虚拟执行环境中的进程本身所使用。

9.如权利要求6所述的装置，其特征在于：还包括进程信息限制模块， 用于限制所述代码虚拟执行环境中的可疑代码进程获取主机系统中的进程 信息。

10.如权利要求6所述的装置，其特征在于：还包括消息限制模块，用 于限制所述代码虚拟执行环境中的可疑代码进程发消息给主机系统中的进 程。