[发明专利]一种检测恶意代码的方法和装置

说明书

本发明公开一种恶意代码的检测方法，评估向系统请求查询系统信息的进程是否为恶意应用程序，设置监测点从所述进程处接收系统信息的查询请求，恶意代码检测装置根据所述查询请求优先查询系统信息，根据请求查询的系统信息项的类型来确定所述进程的评分，判断所述评分是否满足预定条件，当所述得分满足预定条件时，修改该进程所查询的系统信息内容，所述修改该进程所查询的系统信息内容包括对系统信息进行虚拟设置，然后将所述虚拟设置后的系统信息发送到所述进程；若所述进程不执行接收到的虚拟设置的系统信息对应的操作，则判断该进程对应的应用程序存在潜在恶意；进行白名单匹配若存在于白名单，则判断所述存在潜在恶意的应用程序为正常应用。

技术领域

本发明涉及计算机安全技术领域，尤其涉及一种检测恶意代码的方法和装置。

背景技术

互联网技术的蓬勃发展使人们的生活和工作方式发生了巨大变革，人们在享受着因特网提供便利的同时，也遭受着恶意程序带来的安全威胁，在数字化时代的今天，与恶意代码的对抗已成为信息领域的焦点。

传统的恶意代码检测技术是基于静态特征码的检测，而恶意程序采用的混淆、加密、加壳等技术，使得基于静态特征码的检测技术变得无能为力。恶意程序的动态分析技术解决了混淆、加密、加壳等技术问题，但恶意程序的变种及多态性却是动态分析无法解决的问题。

现有的恶意代码变种在实现上可大致分为两类：一类是基于基础技术的共用，恶意代码开发人员通过重用基础代码实现变种；一类是恶意代码专门针对现有防范技术而设计开发的混淆技术。混淆技术按实现机理可分为两类：一类是干扰反汇编的混淆，使反汇编无法得到正确结果，从而阻碍进一步分析；另一类是指令/控制流混淆，此类混淆技术通常采用垃圾代码插入、寄存器重分配、等价指令替换及代码变化等方式，改变代码的语法特征，隐藏其内部逻辑关系。目前已提出检测恶意代码变种的不同检测方法，当更复杂的恶意代码仍然层出不穷。

恶意代码变种的检测通常是基于一个特征向量，该向量标识了恶意代码的内在特征，良好的特征抽取算法是变种检测的关键环节。目前，主流的检测恶意代码的方法主要分为两类：基于恶意代码二进制的静态特征检测方法和基于恶意代码运行行为的动态检测方法。

基于静态特征的检测方法首先将可移植的执行体(PE，PortableExecute)文件转变为汇编文件，再通过分析恶意代码的静态文件结构、二进制字节码、反汇编后的代码、反汇编后的静态系统调用等获取恶意代码的静态特征，利用分类算法区分正常代码与恶意代码，实现已知和未知恶意代码的检测。基于静态特征的恶意代码检测通常容易受代码混淆技术(如加壳、变形、多态技术等)的影响，提高逆向(即将PE文件转变为汇编文件)的难度，使其几乎很难逆向或是不可能，而且静态检测方法没有真实地运行软件，判断是否为恶意代码的行为没有展现，误报和漏报的情况比较明显。基于动态特征的检测方法是将待检测目标程序放置在一个沙箱环境(如虚拟机)中，通过监控目标程序运行过程的行为来判断是否为恶意程序。动态检测方法又分为粗粒度方法和细粒度方法。粗粒度方法通过运行恶意代码分析其行为所对应的应用程序接口(API，ApplicationProgramInterface)调用序列来进行恶意代码检测，细粒度方法通过恶意代码的运行动态指令序列来进行检测。然而，动态检测方法是时间密集型和资源消耗型的方法，虚拟机执行包括2、执行、全路径探索来捕捉调用序列、退出等过程，动态检测方法的平均分析时间为3-5分钟。因此，动态检测方法可扩展性不足。而且，由于激发条件不能满足，一些恶意代码的行为不能表现出来。

同时，由于恶意代码具有在虚拟环境中不执行的反虚拟机技术，因此实际系统在未被恶意代码感染的状态下，也无法实现仅在虚拟环境中执行恶意代码来分析恶意代码的特征的方法。因此，需要能够弥补与恶意代码相关的局限性的研究。