[发明专利]一种基于线程反编译的多平台恶意代码检测方法和系统

权利要求书

1.一种基于线程反编译的多平台恶意代码检测方法，其特征在于，包括：

通过特征提取获取恶意指令序列；

依次检测系统中的线程信息，识别线程起始数据的指令集，并根据不同指令集对每个线程起始数据进行反编译得到线程的执行指令序列；

将所述线程的执行指令序列与所述恶意指令序列进行完全匹配，如果匹配成功则该所述线程为恶意线程。

2.如权利要求1所述的基于线程反编译的多平台恶意代码检测方法，其特征在于，所述特征提取包括静态提取或者动态提取；所述静态特征提取是指通过对恶意代码样本文件进行反编译，获取恶意程序的入口点和线程函数的起始地址的数据进行反编译得到恶意指令序列；所述动态特征提取是指在虚拟环境中执行恶意代码样本，监视创建线程，提取创建线程起始位置的数据进行反编译得到恶意指令序列。

3.如权利要求1所述的基于线程反编译的多平台恶意代码检测方法，其特征在于，所述指令集包括X86、X64、ARM。

4.如权利要求1所述的基于线程反编译的多平台恶意代码检测方法，其特征在于，还包括：如果将所述线程的执行指令序列与所述恶意指令序列进行完全匹配不成功，则将所述线程的执行指令序列前十个操作序列内的第一个跳转后的指令序列与所述恶意指令序列进行完全匹配，如果匹配成功则该所述线程为恶意线程。

5.如权利要求1所述的基于线程反编译的多平台恶意代码检测方法，其特征在于，还包括：如果所述线程所在的内存加载模块属于DLL文件或属于so文件，则该所述线程为恶意线程。

6.如权利要求1至5所述的任一种基于线程反编译的多平台恶意代码检测方法，其特征在于，还包括对所述恶意线程进行处置，所述处置包括挂起或终止所述恶意线程。

7.一种基于线程反编译的多平台恶意代码检测系统，其特征在于，包括：

恶意指令序列模块，用于通过特征提取获取恶意指令序列；

提取指令序列模块，用于依次检测系统中的线程信息，识别线程起始数据的指令集，并根据不同指令集对每个线程起始数据进行反编译得到线程的执行指令序列；

指令序列匹配模块，用于将所述线程的执行指令序列与所述恶意指令序列进行完全匹配，如果匹配成功则该所述线程为恶意线程。

8.如权利要求7所述的基于线程反编译的多平台恶意代码检测系统，其特征在于，所述特征提取包括静态提取或者动态提取；所述静态特征提取是指通过对恶意代码样本文件进行反编译，获取恶意程序的入口点和线程函数的起始地址的数据进行反编译得到恶意指令序列；所述动态特征提取是指在虚拟环境中执行恶意代码样本，监视创建线程，提取创建线程起始位置的数据进行反编译得到恶意指令序列。

9.如权利要求7所述的基于线程反编译的多平台恶意代码检测系统，其特征在于，所述指令集包括X86、X64、ARM。

10.如权利要求7所述的基于线程反编译的多平台恶意代码检测系统，其特征在于，指令序列匹配模块具体还用于如果将所述线程的执行指令序列与所述恶意指令序列进行完全匹配不成功，则将所述线程的执行指令序列前十个操作序列内的第一个跳转后的指令序列与所述恶意指令序列进行完全匹配，如果匹配成功则该所述线程为恶意线程。

11.如权利要求7所述的基于线程反编译的多平台恶意代码检测系统，其特征在于，还包括关联检查模块，用于如果所述线程所在的内存加载模块属于DLL文件或属于so文件，则该所述线程为恶意线程。

12.如权利要求7至11所述的任一种基于线程反编译的多平台恶意代码检测系统，其特征在于，还包括处置模块，用于对所述恶意线程进行处置，所述处置包括挂起或终止所述恶意线程。