[发明专利]一种PowerShell代码的去混淆方法及装置

权利要求书

1.一种PowerShell代码的去混淆方法，其特征在于，包括：

提供目标Office文档自动运行的虚拟环境；

利用Hook机制从所述目标Office文档内混淆过的代码中提取出初步去混淆的PowerShell代码；

分析所述初步去混淆的PowerShell代码的混淆特征，并根据所述混淆特征对所述初步去混淆的PowerShell代码进行解混淆，获取原始PowerShell代码。

2.根据权利要求1所述的方法，其特征在于，所述利用Hook机制从所述目标Office文档内混淆过的代码中提取出初步去混淆的PowerShell代码的步骤，具体为：

利用Hook机制监控所述目标Office文档运行时的PowerShell.exe进程和cmd.exe进程，获取命令参数；

对所述命令参数进行正则化匹配处理，获得初步去混淆的PowerShell代码。

3.根据权利要求1所述的方法，其特征在于，所述分析所述初步去混淆的PowerShell代码的混淆特征，并根据所述混淆特征对所述初步去混淆的PowerShell代码进行解混淆，获取原始PowerShell代码的步骤，具体为：

判断所述初步去混淆的PowerShell代码中是否包含Split函数或ASCII编码；

若所述初步去混淆的PowerShell代码中包含Split函数，则根据所述Split函数的功能对所述初步去混淆的PowerShell代码进行处理；和/或，若所述初步去混淆的PowerShell代码中包含ASCII编码，

则对所述ASCII编码进行解码；

对剩余部分的初步去混淆的PowerShell代码进行拼接和格式化处理。

4.根据权利要求2所述的方法，其特征在于，所述对所述命令参数进行正则化匹配处理的步骤，具体为：

利用\-[Ee^]{1,2}[NnCcOoDdEeMmAa^]+[A-Za-z0-9+/＝]{5,}对所述命令参数进行正则化匹配。

5.根据权利要求4所述的方法，其特征在于，所述对所述命令参数进行正则化匹配处理的步骤之后，还包括：

若匹配到-EncodeCommand命令，则保留-EncodeCommand命令后面的有效参数字段；相应地，

所述分析所述初步去混淆的PowerShell代码的混淆特征，并根据所述混淆特征对所述初步去混淆的PowerShell代码进行解混淆，获取原始PowerShell代码的步骤，具体为：

对所述有效参数字段进行base64位解码，并去除\0X00和空格的混淆，获得解码后的PowerShell代码；

若所述解码后的PowerShell代码中包含Split函数，则根据所述Split函数的功能对所述解码后的PowerShell代码进行处理；和/或，若所述解码后的PowerShell代码中包含ASCII编码，则对所述ASCII编码进行解码；

对剩余部分的有效参数字段进行拼接和格式化处理。

6.一种PowerShell代码的去混淆装置，其特征在于，包括：

预处理模块，用于提供目标Office文档自动运行的虚拟环境；

动态解混淆模块，用于利用Hook机制从所述目标Office文档内混淆过的代码中提取出初步去混淆的PowerShell代码；

静态解混淆模块，用于分析所述初步去混淆的PowerShell代码的混淆特征，并根据所述混淆特征对所述初步去混淆的PowerShell代码进行解混淆，获取原始PowerShell代码。

7.根据权利要求6所述的装置，其特征在于，所述动态解混淆模块具体包括：

监控子模块，用于利用Hook机制监控所述目标Office文档运行时的PowerShell.exe进程和cmd.exe进程，获取命令参数；

正则匹配子模块，用于对所述命令参数进行正则化匹配处理，获得初步去混淆的PowerShell代码。