[发明专利]一种基于编译器识别的APT检测方法及系统

说明书

技术领域

本发明涉及计算机网络安全技术领域，尤其涉及一种基于编译器识别的APT检测方法及系统。

背景技术

传统的病毒检测方法通常都是基于特征码的检测，即根据捕获的样本，对同一种病毒或同一病毒家族提取一段共有的代码作为特征码，从而避免对正常的文件产生误报，实现病毒检测的目的。

传统的病毒检测方法由于是基于特征码的检测方法，对已知病毒的检测效果较为有效，但是对于未知病毒就显得无能为力了。而且，传统的病毒检测方法需要携带庞大的病毒库，检测能力在很大程度上取决于病毒库的更新是否及时。对于新型病毒的出现，例如变型病毒或者多态病毒，都对传统的病毒检测提出了挑战，因为传统方法无法提取出公共特征。

目前，网络威胁已经进入高级可持续威胁（APT）时代，单纯依靠已知信息是不能解决APT问题的，APT时代需要的是发现未知威胁的能力。

发明内容

针对上述技术问题，本发明提供了一种基于编译器识别的APT检测方法及系统，该方法通过使用编译器识别技术来判定所述PE文件是否携带病毒，可以更加有效的检测未知病毒。

本领域的技术人员可以知道：一般经过编译器编译过的二进制程序都具有共同的框架。不同类型的编译器具有不同的框架。同时，作为正常的程序，其框架通常位于程序的特定位置（例如程序入口点、程序可开始执行的位置等）。由此，可以利用所述框架作为编译器识别的特征码。

由于病毒体代码不是由编译器编译的，不是一个完整的程序，因此，病毒体代码本身不具备编译器特征码。病毒为了获得执行权限，通常会修改程序的框架，以此改变程序的执行顺序，以便可以优先执行病毒体代码。因此，通常含有病毒代码的程序的编译器特征码位于其他位置。

本发明采用如下方法来实现：一种基于编译器识别的APT检测方法，包括：

步骤1、获取待检测的PE文件，并检测所述PE文件在特定位置处是否存在编译器特征码，若存在，则判定所述PE文件为非病毒程序，否则执行步骤2；

步骤2、检测所述PE文件在除特定位置外的其他位置是否存在编译器特征码，若存在，则判定所述PE文件为病毒程序，否则判定所述PE文件为加壳程序，对所述PE文件进行脱壳处理后，继续执行步骤1；

所述特定位置是不同程序经相同编译器编译后具有相同框架代码的位置，至少包括：程序入口点或者程序开始执行的位置；

所述编译器特征码是从经编译器编译后的程序的所述特定位置处提取的特征码。

进一步地，当判定所述PE文件为非病毒程序后，还包括：使用反病毒引擎进一步检测。

进一步地，所述检测所述PE文件在除特定位置外的其他位置是否存在编译器特征码的方法为滑动检测技术，所述滑动检测技术为：从程序的设定位置开始，按照设定的顺序，依次向后滑动检测，当检测到特征码时则停止的检测技术。

一种基于编译器识别的APT检测系统，包括： 

第一检测模块，获取待检测的PE文件，并检测所述PE文件在特定位置处是否存在编译器特征码，若存在，则判定所述PE文件为非病毒程序，否则将所述PE文件发送至第二检测模块；

第二检测模块，接收发送来的所述PE文件，检测所述PE文件在除特定位置外的其他位置是否存在编译器特征码，若存在，则判定所述PE文件为病毒程序，否则判定所述PE文件为加壳程序，对所述PE文件进行脱壳处理后，将所述PE文件发送至第一检测模块；

所述特定位置是不同程序经相同编译器编译后具有相同框架代码的位置，至少包括：程序入口点或者程序开始执行的位置；

所述编译器特征码是从经编译器编译后的程序的所述特定位置处提取的特征码。

进一步地，当第一检测模块判定所述PE文件为非病毒程序后，还包括：使用反病毒引擎进一步检测。

进一步地，所述检测所述PE文件在除特定位置外的其他位置是否存在编译器特征码的方法为滑动检测技术，所述滑动检测技术为：从程序的设定位置开始，按照设定的顺序，依次向后滑动检测，当检测到特征码时则停止的检测技术。