[发明专利]一种基于跨进程行为监控恶意代码同源性分析的方法

摘要

本发明提出了一种基于跨进程行为监控恶意代码同源性分析的方法，通过定义污点传播规则、保存跨进程相关日志记录，并针日志记录进行过滤、提取、对比分析，对相关操作进行污点判断。本发明不仅能够发现通过创建不同的进程，或远程线程插入的行为，对和某个文件直接和间接相关的事件进行记录；而且能够对利用漏洞间接执行，如利用dll劫持执行的程序行为进行记录；同时，可大大减少记录的日志数量。

主权项

1.一种基于跨进程行为监控恶意代码同源性分析的方法，其特征在于，具有以下步骤：步骤S01：创建目标进程关系树，所述目标进程关系树包括所述目标进程以及所述目标进程的子进程、孙进程的关联关系，对所述目标进程、所述子进程、所述孙进程进行关系树监控；步骤S02：采用挂钩方式，对相关操作对应的目标代码进行协同监控；其中，所述相关操作包括进程操作、文件操作、网络操作；步骤S03：定义污点的创建规则、传播规则，将所述相关操作以及产生的相应数据作为所述污点的来源；步骤S04：基于所述关系树监控与所述协同监控，产生日志记录，并基于所述创建规则与所述传播规则，对所述日志记录进行提取和过滤，确定疑似污点，保存所述疑似污点的数据相关规则；步骤S05：对经过过滤后的所述日志记录与已经确定为恶意进程代码相应的污点日志记录进行图编辑距离算法对比，计算匹配记录数；步骤S06：对得到所述匹配记录数进行判定，当所述匹配记录数大于预设值时，则判定相应的所述相关操作为恶意。