[发明专利]一种基于沙箱的恶意行为分析方法

权利要求书

1.一种基于沙箱的恶意行为分析方法，其特征在于包括以下步骤：

步骤1：提交需要动态检测的文件至沙箱，启动一个虚拟机，上传分析脚本和待检测文件至虚拟机中的代理程序；

步骤2: 虚拟机中的代理程序根据文件类型选择执行的模块，向恶意软件进程注入Hook系统调用库，对网络流量抓包，模拟用户点击操作行为；

步骤3: 保存虚拟机中软件运行的动态行为原始监控结果，与恶意行为特征进行匹配，计算软件恶意行为分值；

步骤4: 综合分析静态和动态行为检测结果进行恶意软件推断。

2.根据权利要求1所述的一种基于沙箱的恶意行为分析方法，其特征在于：所述步骤2中虚拟机中的代理程序根据文件类型选择执行的模块，通过向运行的软件进程注入的方式Hook系统调用，自动模拟人工操作，产生软件操作行为，软件运行过程中调用系统函数时会跳转到劫持的函数，完成相应处理后再正常执行原函数，能够监控运行过程中产生的文件创建、删除、进程创建、进程衍生等行为，注册表中键值的添加、修改、禁用行为。