[发明专利]一种基于沙箱虚拟机的逃逸检测方法

权利要求书

1.一种基于沙箱虚拟机的逃逸检测方法，其特征在于：所述方法包括以下步骤：

步骤1：将待检测文件置入沙箱虚拟机中；

步骤2：运行或者打开待检测文件，产生进程；

步骤3：将监控程序注入所述进程中，用于抓取进程的行为操作并记录；

步骤4：正常运行所述进程，监控程序记录进程的行为操作；

步骤5：进程运行结束或达到预设时间时，停止进程，分析监控程序记录的行为操作；

步骤6：对于存在属于自发判断当前是否在沙箱虚拟机中的行为操作的待检测文件，判断是否存在沙箱虚拟机逃逸行为；

所述判断是否存在沙箱虚拟机逃逸行为包括以下步骤：

步骤6.1：为每一个恶意文件自发判断当前是否在沙箱虚拟机中的行为操作匹配不同的权重系数，并设置相应的威胁分数；

所述步骤6中，恶意文件自发判断当前是否在沙箱虚拟机中的行为操作包括：

在注册表中搜索特定的字段是否存在；

获取网卡的MAC地址，并把MAC前3个字节与特定的字符串进行比较；

启动后进行长时间的休眠；

检查系统开机的时间信息；

获取硬盘分区的详细信息；

获取所在设备的内存、硬盘大小信息；

判断任一进程是否在运行，或判断是否安装任一软件；

步骤6.2：将监控程序记录的行为操作所对应的威胁分数求和；

步骤6.3：若威胁分数之和大于设定的威胁阈值，则存在沙箱虚拟机逃逸行为，否则，判定为安全；

对于存在沙箱虚拟机逃逸行为的恶意文件进行告警。

2.根据权利要求1所述的一种基于沙箱虚拟机的逃逸检测方法，其特征在于：所述步骤2中，采用挂起的方式运行或者打开待检测文件。

3.根据权利要求1所述的一种基于沙箱虚拟机的逃逸检测方法，其特征在于：所述步骤2中，所述进程包括运行或者打开待检测文件所产生的所有进程、子进程和子线程。

4.根据权利要求1所述的一种基于沙箱虚拟机的逃逸检测方法，其特征在于：所述步骤3中，监控程序是通过DLL方式注入目标进程、并通过HOOK方式钩取目标进程调用操作系统的API函数以及对应参数的操作信息的程序。

5.根据权利要求1所述的一种基于沙箱虚拟机的逃逸检测方法，其特征在于：所述步骤4中，行为操作包括调用操作系统API的操作。

6.根据权利要求1所述的一种基于沙箱虚拟机的逃逸检测方法，其特征在于：所述步骤6.1中，所述每一个恶意文件自发判断当前是否在沙箱虚拟机中的行为操作对应的威胁分数互不相等。