[发明专利]一种基于虚拟机的软件行为分析方法和系统

权利要求书

1.一种基于虚拟机的软件行为分析方法，其特征在于，包括：

虚拟机为多个软件样本分别孵化子进程；

虚拟机加载并动态执行每个子进程对应的软件样本；

捕获模块捕获软件样本的恶意行为，并提取所述软件样本代码中的与所述恶意行为对应的函数；

代码注入模块将shellcode代码注入到所述软件样本中，以替换所述软件样本代码中的与所述恶意行为对应的函数；

所述捕获模块将所述软件样本代码中的与所述恶意行为对应的函数发送至日志生成及分析模块；

所述日志生成及分析模块从后台恶意软件行为库中查询出所述软件样本代码中的与所述恶意行为对应的函数对应的危险等级。

2.根据权利要求1所述的基于虚拟机的软件行为分析方法，其特征在于，所述虚拟机为多个软件样本分别孵化子进程之前，还包括：

虚拟机存储后台恶意软件行为库和shellcode代码库；所述shellcode代码中包含至少一段所述shellcode代码。

3.根据权利要求2所述的基于虚拟机的软件行为分析方法，其特征在于，所述shellcode代码库中的至少一段所述shellcode代码与所述后台恶意软件行为库中所包含的函数具有一一对应关系。

4.根据权利要求1所述的基于虚拟机的软件行为分析方法，其特征在于，所述捕获模块捕获软件样本的恶意行为，并提取所述软件样本代码中的与所述恶意行为对应的函数之后，还包括：

所述捕获模块将所述软件样本代码中的与所述恶意行为对应的函数发送至数据模块，以供所述数据模块对所述软件样本代码中与所述恶意行为对应的函数进行存储。

5.根据权利要求1所述的基于虚拟机的软件行为分析方法，其特征在于，所述捕获模块将所述软件样本代码中的与所述恶意行为对应的函数发送至日志生成及分析模块包括：

所述捕获模块向数据传输模块发送传输指令；

所述数据传输模块建立所述捕获模块与所述日志生成及分析模块之间的安全通道；

所述捕获模块将所述软件样本代码中的与所述恶意行为对应的函数经所述安全通道发送至所述日志生成及分析模块。

6.一种基于虚拟机的软件行为分析系统，其特征在于，包括：

虚拟机，用于为多个软件样本分别孵化子进程；加载并动态执行软件样本；

捕获模块，用于捕获软件样本的恶意行为，并提取所述软件样本代码中的与所述恶意行为对应的函数；以及用于将所述软件样本代码中的与所述恶意行为对应的函数发送至日志生成及分析模块；

代码注入模块，用于将shellcode代码注入到软件样本中，以替换所述软件样本代码中的与所述恶意行为对应的函数；

日志生成及分析模块，用于从后台恶意软件行为库中查询出所述软件样本代码中的与所述恶意行为对应的函数对应的危险等级。

7.根据权利要求6所述的基于虚拟机的软件行为分析系统，其特征在于，所述虚拟机还用于：

存储后台恶意软件行为库和shellcode代码库，所述shellcode代码库中包含至少一段所述shellcode代码。

8.根据权利要求7所述的基于虚拟机的软件行为分析系统，其特征在于，所述shellcode代码库中的至少一段所述shellcode代码与所述后台恶意软件行为库中的函数具有一一对应关系。

9.根据权利要求6所述的基于虚拟机的软件行为分析系统，其特征在于，所述基于虚拟机的软件行为分析系统还包括数据模块，用于存储所述软件样本代码中的与所述恶意行为对应的函数；

所述捕获模块还用于将所述软件样本代码中的与所述恶意行为对应的函数发送至数据模块，以供所述数据模块对所述软件样本代码中与所述恶意行为对应的函数进行存储。

10.根据权利要求6所述的基于虚拟机的软件行为分析系统，其特征在于，所述基于虚拟机的软件行为分析系统还包括数据传输模块，用于接收捕获模块所发送的传输指令，以及建立所述捕获模块与所述日志生成及分析模块之间的安全通道。