[发明专利]一种防止恶意代码探测虚拟环境的方法及系统

说明书

技术领域

本发明涉及计算机网络安全领域，特别涉及一种防止恶意代码探测虚拟环境的方法及系统。

背景技术

随着计算机技术的发展，人们对计算机信息技术的需求与依赖也越来越强。人们的生产、生活都离不开计算机技术。计算机的广泛使用也伴随着计算机的安全问题。一些人由于利益的驱使或者价值观的错误导向，利用计算机安全漏洞，通过恶意程序对用户的计算机信息进行窃取，对计算机系统进行破坏，给人们造成了经济损失。为了防止这一现象的恶化，计算机安全人员开发了一系列的查毒杀毒软件，检测计算机恶意程序。而为了躲避杀毒软件或者病毒分析软件的分析与查杀，计算机恶意程序也是不断更新，在躲查免杀方面做了很多掩饰。由于虚拟环境（如沙箱环境或者虚拟机环境）与用户使用的物理机在系统环境上有着一定的区别。恶意代码通过对这些环境上用户信息数据的对比来判断该环境为用户环境还是病毒或者木马检测的虚拟环境。若侦测到为恶意代码的检测环境，它将退出执行或者进行代码载体的自删除操作。这种恶意代码的环境检测行为影响了对病毒的分析与检测。

发明内容

本发明针对上述问题提出了一种防止恶意代码探测虚拟环境的方法及系统，解决了虚拟环境被恶意代码识别出，而无法进行检测的问题。

一种防止恶意代码探测虚拟环境的方法，包括：

获取恶意代码样本，分析所述恶意代码样本，获取用于判断虚拟环境的判断条件；

提取所述判断条件中所使用的参数或数据，以及所使用的API接口；

HOOK所述API，获取虚拟环境中的参数或数据，逐一判断所述虚拟环境中的参数或数据是否与所述判断条件中所使用的参数或数据相同，如果是，则根据所述参数或数据的格式，随机修改或生成新的参数或数据替换原有参数或数据，或修改所述API的返回值，并触发执行相关恶意代码；否则直接触发执行相关恶意代码。

所述的方法中，所述虚拟环境包括虚拟机和沙箱。

所述的方法中，所述的用于判断虚拟环境的判断条件包括：操作系统信息及硬件信息。

所述方法中，

所述操作系统信息包括：操作系统用户名、系统服务特征字符串及开发脚本语言环境；

所述硬件信息包括：BIOS信息、设备映射信息及CPU数量。

一种防止恶意代码探测虚拟环境的系统，包括：

样本分析模块，用于获取恶意代码样本，分析所述恶意代码样本，获取用于判断虚拟环境的判断条件；

参数提取模块，用于提取所述判断条件中所使用的参数或数据，以及所使用的API接口；

数据修改模块，用于HOOK所述API，获取虚拟环境中的参数或数据，逐一判断所述虚拟环境中的参数或数据是否与所述判断条件中所使用的参数或数据相同，如果是，则根据所述参数或数据的格式，随机修改或生成新的参数或数据替换原有参数或数据，或修改所述API的返回值，并触发执行相关恶意代码；否则直接触发执行相关恶意代码。

所述的系统中，所述虚拟环境包括虚拟机和沙箱。

所述的系统中，所述的用于判断虚拟环境的判断条件包括：操作系统信息及硬件信息。

所述的系统中，所述操作系统信息包括：操作系统用户名、系统服务特征字符串及开发脚本语言环境；

所述硬件信息包括：BIOS信息、设备映射信息及CPU数量。

本发明综合考虑恶意代码识别虚拟环境的多种方法，通过集成注册表，用户名，特殊文件路径，脚本语言环境等信息，HOOK对这些信息进行识别的API，动态随机的修改用来被作为虚拟环境识别标志的数据，来防止恶意代码的探测。

本发明提出了一种防止恶意代码探测虚拟环境的方法及系统，所述方法通过获取并分析恶意代码样本用于判断虚拟环境的判断条件；提取判断条件中所使用的参数或数据，以及所使用的API接口；HOOK所述API，获取虚拟环境中的参数或数据，逐一判断所述虚拟环境中的参数或数据是否与所述判断条件中所使用的参数或数据相同，如果是，则根据参数或数据的格式，随机修改或生成新的参数或数据替换原参数或数据，并触发执行相关恶意代码。本发明还相应提供了系统结构。通过本发明的方法，能够有效使虚拟环境躲避开恶意代码的探测。

附图说明

为了更清楚地说明本发明或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。