[发明专利]用于恶意软件检测的对应用的通用拆包

权利要求书

1.一种非瞬态计算机可读介质，包括存储在所述非瞬态计算机可读介质上的计算机可执行指令，所述计算机可执行指令使一个或多个处理单元：

将自解压可执行文件加载到存储器中，所述自解压可执行文件包括第一拆包存根和经打包的可执行文件；

允许所述第一拆包存根将所述经打包的可执行文件拆包为经拆包的可执行文件，

其中，允许所述第一拆包存根将所述经打包的可执行文件拆包包括使用硬件辅助的虚拟化来控制存储器页面访问许可以便：

检测向先前执行代码所在的存储器页面的写入；以及

检测执行先前由所述第一拆包存根写入到存储器页面中的代码的尝试；

在执行代码的每一次尝试时，独立于对所述第一拆包存根的知晓，使用一个或多个试探法来检测所述第一拆包存根的完成，其中，所述一个或多个试探法包括：用于将在检测到所述第一拆包存根的完成之前记录的栈指针值和栈内容与在允许所述第一拆包存根开始对所述经打包的可执行文件拆包之前记录的栈指针值和栈内容进行比较的试探法；以及

对所述经拆包的可执行文件扫描恶意软件。

2.如权利要求1所述的非瞬态计算机可读介质，其特征在于，

其中，所述经打包的可执行文件包括自解压可执行文件的序列，所述序列除最后一个成分之外的每一个成分包括拆包存根和后继自解压可执行文件，其中，所述最后一个成分包括最终拆包存根和最终经打包的可执行文件，

其中，所述指令使一个或多个处理单元允许所述第一拆包存根对所述经打包的可执行文件拆包包括所述指令使一个或多个处理单元：

允许所述第一拆包存根将所述经打包的可执行文件拆包为所述自解压可执行文件的序列的第一成分；以及

允许所述自解压可执行文件的序列的每一个成分对所述后继自解压可执行文件拆包，直到所述最终拆包存根将所述最终经打包的可执行文件拆包为最终经拆包的可执行文件为止，

其中，所述指令使一个或多个处理单元对所述经拆包的可执行文件扫描恶意软件包括：所述指令使一个或多个处理单元对所述最终经拆包的可执行文件扫描恶意软件。

3.如权利要求2所述的非瞬态计算机可读介质，其特征在于，所述指令使一个或多个处理单元对所述经拆包的可执行文件扫描恶意软件进一步包括：所述指令使一个或多个处理单元扫描所述自解压可执行文件的序列中的至少一些。

4.如权利要求1所述的非瞬态计算机可读介质，其特征在于，所述指令使一个或多个处理单元允许所述第一拆包存根对所述经打包的可执行文件拆包进一步包括所述指令使一个或多个处理单元：

在检测到执行先前由所述第一拆包存根写入到存储器页面中的代码的尝试之后，使用硬件辅助的虚拟化来暂停所述第一拆包存根的执行；

当所述第一拆包存根的执行被暂停时，收集试探法统计信息；以及

允许所述第一拆包存根的执行继续。

5.如权利要求1所述的非瞬态计算机可读介质，其特征在于，所述指令使一个或多个处理单元允许所述第一拆包存根对所述经打包的可执行文件拆包包括：所述指令使一个或多个处理单元使用硬件辅助的虚拟化来控制存储器页面访问许可以检测所述自解压可执行文件的入口点的执行。

6.如权利要求1所述的非瞬态计算机可读介质，其特征在于，所述指令使一个或多个处理单元允许所述第一拆包存根对所述经打包的可执行文件拆包进一步包括所述指令使一个或多个处理单元：

在检测到向先前执行代码所在的存储器页面的写入之后，使用硬件辅助的虚拟化来暂停所述第一拆包存根的执行；

当所述第一拆包存根的执行被暂停时，收集试探法统计信息；以及

允许所述第一拆包存根的执行继续。

7.如权利要求1-6中的任何一项所述的非瞬态计算机可读介质，其特征在于，在所述经拆包的可执行文件的执行之前来执行扫描所述经拆包的可执行文件。

8.如权利要求1-6中的任何一项所述的非瞬态计算机可读介质，其特征在于，所述经拆包的可执行文件不被允许执行。

9.如权利要求1-6中的任何一项所述的非瞬态计算机可读介质，其特征在于，所述经打包的可执行文件是使用未知的或不可检测的打包算法来打包的。