[发明专利]基于API HOOK的恶意代码自动分析方法和系统

摘要

本发明利用API钩子技术和远线程注入技术，对样本进行监控。记录恶意代码运行过程中对整个系统的影响，并自动生成动态分析报告，记录恶意代码样本对文件，网络，注册表，进程所产生的影响，当样本运行结束后，将系统恢复到样本执行前的状态。整个监控、记录和还原的过程不需要人工的干预，自动完成。监控软件每次只运行一个样本，对样本主进程及其创建的进程线程进行监控，监控完毕后，恢复系统到样本运行前的状态。检测恶意代码样本对文件的创建，删除，修改等行为；检测恶意代码样本对网络的操作行为；检测恶意代码样本对注册表添加，删除和修改等行为。检测恶意代码样本创建进程的操作行为。最终提交恶意代码样本动态监控报告。监控完成后，监控软件按照样本对操作系统的操作和影响，进行逆操作，恢复系统到运行样本前的状态。本发明提到的恶意代码智能分析技术，适用于大量样本的无人工干预的分析，分析速度比较快，分析报告中的无用信息比较少。

主权项

一种基于API HOOK的恶意代码自动分析方法和系统，利用API钩子技术和远线程注入技术，对样本进行监控。记录恶意代码运行过程中对整个系统的影响，并自动生成动态分析报告，记录恶意代码样本对文件，网络，注册表，进程所产生的影响，当样本运行结束后，将系统恢复到样本执行前的状态。这种基于APIHOOK的恶意代码自动分析方法和系统主要使用由恶意代码自动分析系统从收集到的大量样本中，分析出样本对系统的影响，最终生成样本分析报告，最终的分析报告保存在样本报告库中。这个系统包括以下模块：监控中心、4个监控模块(文件监控、网络监控、注册表监控、进程监控)和系统恢复模块。