[发明专利]一种基于沙箱虚拟机的逃逸检测方法

说明书

本发明涉及一种基于沙箱虚拟机的逃逸检测方法，将待检测文件置入沙箱虚拟机中，以挂起的方式运行或者打开待检测文件，产生进程，将监控程序注入进程中，正常运行进程，监控程序记录进程的行为操作，进程运行结束或达到预设时间时停止进程，分析记录的行为操作，对于存在行为操作属于恶意文件自发判断当前是否在沙箱虚拟机中的待检测文件，判断是否存在沙箱虚拟机逃逸行为，对于存在沙箱虚拟机逃逸行为的恶意文件进行告警。本发明判断可疑软件是否存在沙箱虚拟机逃逸行为，可疑文件执行判断行为但未执行恶意行为，仍可通过其执行的判断行为来判断其是否存在沙箱虚拟机逃逸行为，为判断其是否是危险文件提供参考，能更准确全面的判断恶意文件。

技术领域

本发明涉及防止未授权行为的保护计算机、其部件、程序或数据的安全装置的技术领域，特别涉及一种不仅根据可疑文件的恶意行为判断是否存在危害、还根据可疑文件是否存在执行恶意操作的潜在可能进行逃逸检测的基于沙箱虚拟机的逃逸检测方法。

背景技术

互联网时代的到来为人们的生活、工作、学习带来了便利，但也伴随着越来越重要的网络安全问题，越来越多的恶意软件在网络上肆意横行，为人们的生活、工作和学习带来了隐患，各大安全厂商都在寻求更好的恶意文件检测方法。

基于恶意行为分析判断恶意文件必须具备一点：所检测的程序必须执行恶意操作，否则无法判断。所以恶意文件的开发者总是在寻找新的方法，试图隐藏恶意文件的攻击行为来逃避检测。随着恶意文件的更新迭代，部分恶意文件运行前会先判断是否身处于沙箱虚拟机中（虚拟机和真实系统的环境存在某些特征的差别），如果判断在沙箱虚拟机中，则会立刻调整执行路线，执行非恶意行为并且仅执行无害操作，这种情况基于恶意行为分析的方法就会失效。因此要求我们制作的沙箱虚拟机越来越接近真实系统环境，以此来达到防止恶意文件逃逸的目的，但是沙箱虚拟机和真实系统环境始终无法完全一样。

现有技术中，使用比较多的就是基于沙箱虚拟机动态行为分析检测，对可疑恶意文件进行执行或打开操作、记录行为、检查行为结果并分析典型的恶意行为，从而判断是否为恶意文件。也就是说，对于恶意文件的逻辑为依据恶意行为判断恶意文件的前提是必须有恶意行为，然而，如果恶意文件发现在沙箱虚拟机中，就不会释放恶意行为，恶意文件会被判断为安全的，从而对部分高级的恶意文件产生漏判的情况，进而对网络环境产生危害。

发明内容

为了解决现有技术中存在的问题，本发明提供一种优化的基于沙箱虚拟机的逃逸检测方法，判断可疑文件是否存在沙箱虚拟机逃逸行为，也可给恶意文件的判断提供帮助。

本发明所采用的技术方案是，一种基于沙箱虚拟机的逃逸检测方法，所述方法包括以下步骤：

步骤1：将待检测文件置入沙箱虚拟机中；

步骤2：运行或者打开待检测文件，产生进程；

步骤3：将监控程序注入所述进程中，用于抓取进程的行为操作并记录；

步骤4：正常运行所述进程，监控程序记录进程的行为操作；

步骤5：进程运行结束或达到预设时间时，停止进程，分析监控程序记录的行为操作；

步骤6：对于存在属于自发判断当前是否在沙箱虚拟机中的行为操作的待检测文件，判断是否存在沙箱虚拟机逃逸行为，对于存在沙箱虚拟机逃逸行为的恶意文件进行告警。

优选地，所述步骤2中，采用挂起的方式运行或者打开待检测文件。

优选地，所述步骤2中，所述进程包括运行或者打开待检测文件所产生的所有进程、子进程和子线程。

优选地，所述步骤3中，监控程序是通过DLL方式注入目标进程、并通过HOOK方式钩取目标进程调用操作系统的API函数以及对应参数的操作信息的程序。

优选地，所述步骤4中，行为操作包括调用操作系统API的操作。