[发明专利]一种恶意代码检测方法及装置

说明书

本发明公开了一种恶意代码检测方法，包括：通过PIN工具获取执行可疑代码时可疑代码调用的API函数序列的相关信息，基于API函数序列的相关信息，判断API函数序列是否合法，若API函数序列不合法，则将可疑代码确定为恶意代码。相比于现有技术中通过人工方式逐条指令进行特征分析的方法，本申请中技术方案能够有效地提高恶意代码的检测效率。同时，本发明还公开了一种恶意代码检测装置。

技术领域

本发明涉及计算机技术领域，尤其涉及一种恶意代码检测方法及装置。

背景技术

随着计算机应用的日益普及，包括病毒、木马在内的恶意程序的数量也迅速增长，其中的木马程序是一类可以通过在用户的计算机上运行，进而窃取用户文件、隐私、账户等信息，有的甚至还可以让黑客远程控制用户电脑的恶意程序。相比较传统的单纯以破坏计算机设备为目的的病毒，木马对计算机用户的侵害行为更具有获取利益的目的性，其窃取信息的行为常常会给用户造成巨大的损失，因此木马程序的危害也更大。恶意程序可以通过很多传播途径来侵害用户的电脑，例如便携的移动介质，如闪存盘，光盘等，而随着计算机网络技术的广泛应用，互联网逐渐成为恶意程序传播的主要途径之一，黑客或恶意程序传播者将木马等恶意程序文件伪装成其他类型文件，并引诱用户点击和下载，而恶意程序一旦被下载到用户计算机并成功运行，黑客或恶意程序传播者就可以利用这些恶意程序，进行破坏用户计算机，窃取用户个人信息等不法行为。

利用操作系统以及应用软件的漏洞实施攻击，是使恶意程序在用户计算机上成功植入和运行的最主要手段之一。漏洞是指操作系统软件或应用软件在逻辑设计上的缺陷或在编写时产生的错误。这些缺陷或错误往往可以被黑客利用来植入木马等恶意程序，侵害或控制甚至破坏用户计算机软硬件系统，或者窃取用户的重要资料和信息。

目前，主要是通过人工方式对可疑代码中每条指令逐条进行特征分析，来检测可疑代码是否为恶意代码，存在速度慢、效率低的技术问题。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的恶意代码检测方法及装置。

本发明的一个方面，提供了一种恶意代码检测方法，包括：

通过应用程序编程接口执行记录工具PIN，获取执行可疑代码时所述可疑代码调用的应用程序编程接口API函数序列的相关信息；

基于所述API函数序列的相关信息，判断所述API函数序列是否合法；

若所述API函数序列不合法，则将所述可疑代码确定为恶意代码。

优选地，所述通过应用程序编程接口执行记录工具PIN，获取执行可疑代码时所述可疑代码调用的应用程序编程接口API函数序列的相关信息，包括：

在执行所述可疑代码过程中，在所述可疑代码中的每个API函数的头和尾插入所述PIN的监控代码；

通过所述监控代码监控所述可疑代码调用的每个API函数，并将所述可疑代码调用的每个API函数的相关信息存储到日志文件中；

从所述日志文件中提取所述可疑代码调用的每个API函数的相关信息，从而获取到所述可疑代码调用的API函数序列的相关信息。

优选地，所述可疑代码调用的应用程序编程接口API函数序列的相关信息，包括：

所述可疑代码调用的每个API函数的名称，以及所述每个API函数被调用的先后顺序。

优选地，所述基于所述API函数序列的相关信息，判断所述API函数序列是否合法，包括：

基于所述API函数序列的相关信息，判断所述API函数序列是否被记录在一恶意API函数序列库中，其中，所述恶意API函数序列库中记录有全部恶意代码在被执行时可能调用的API函数序列；