[发明专利]基于行为增量标识躲避的恶意对象

摘要

本申请的各实施方式涉及基于行为增量标识躲避的恶意对象。一种安全设备可以接收与对象相关联的实际行为信息。实际行为信息可以标识与在真实环境中执行对象相关联的第一行为集合。安全设备确定与对象相关联的测试行为信息。测试行为信息可以标识与在测试环境中测试对象相关联的第二行为集合。安全设备可以比较第一行为集合和第二行为集合以确定在第一行为集合和第二行为集合之间的差别。安全设备可以基于在第一行为集合和第二行为集合之间的差别标识对象是否为躲避的恶意对象。安全设备可以提供对象是否为躲避的恶意对象的指示。

主权项

1.一种设备，包括一个或者多个处理器，用以：接收对象；在测试环境中执行所述对象；执行对所述对象的静态分析，包括以下各项中的至少一项：利用反病毒软件扫描所述对象，执行对所述对象的字符串搜索，或者对所述对象反汇编；基于在所述测试环境中执行所述对象以及执行对所述对象的所述静态分析，来确定与所述对象相关联的测试行为信息，所述测试行为信息标识与在所述测试环境中测试所述对象相关联的第一行为；确定与所述对象相关联的实际行为信息，所述实际行为信息标识当所述对象在用户设备上被打开或者执行时，由所述对象展现的第二行为；基于所述实际行为信息不同于所述测试行为信息，来确定所述对象是恶意对象；以及基于确定所述对象是所述恶意对象，来提供所述对象是所述恶意对象的指示。