[发明专利]一种防止恶意代码探测虚拟环境的方法及系统

权利要求书

1.一种防止恶意代码探测虚拟环境的方法，其特征在于，包括：

获取恶意代码样本，分析所述恶意代码样本，获取用于判断虚拟环境的判断条件；

提取所述判断条件中所使用的参数或数据，以及所使用的API接口；

HOOK所述API，获取虚拟环境中的参数或数据，逐一判断所述虚拟环境中的参数或数据是否与所述判断条件中所使用的参数或数据相同，如果是，则根据所述参数或数据的格式，随机修改或生成新的参数或数据替换原有参数或数据，或修改所述API的返回值，并触发执行相关恶意代码；否则直接触发执行相关恶意代码。

2.如权利要求1所述的方法，其特征在于，所述虚拟环境包括虚拟机和沙箱。

3.如权利要求1所述的方法，其特征在于，所述的用于判断虚拟环境的判断条件包括：操作系统信息及硬件信息。

4.如权利要求3所述的方法，其特征在于，所述操作系统信息包括：操作系统用户名、系统服务特征字符串及开发脚本语言环境；

所述硬件信息包括：BIOS信息、设备映射信息及CPU数量。

5.一种防止恶意代码探测虚拟环境的系统，其特征在于，包括：

样本分析模块，用于获取恶意代码样本，分析所述恶意代码样本，获取用于判断虚拟环境的判断条件；

参数提取模块，用于提取所述判断条件中所使用的参数或数据，以及所使用的API接口；

数据修改模块，用于HOOK所述API，获取虚拟环境中的参数或数据，逐一判断所述虚拟环境中的参数或数据是否与所述判断条件中所使用的参数或数据相同，如果是，则根据所述参数或数据的格式，随机修改或生成新的参数或数据替换原有参数或数据，或修改所述API的返回值，并触发执行相关恶意代码；否则直接触发执行相关恶意代码。

6.如权利要求5所述的系统，其特征在于，所述虚拟环境包括虚拟机和沙箱。

7.如权利要求5所述的系统，其特征在于，所述的用于判断虚拟环境的判断条件包括：操作系统信息及硬件信息。

8.如权利要求7所述的系统，其特征在于，所述操作系统信息包括：操作系统用户名、系统服务特征字符串及开发脚本语言环境；

所述硬件信息包括：BIOS信息、设备映射信息及CPU数量。