基于vmem文件的隐藏信息检测研究  

Analysis on Malware's Hidden Information Detection based onVM's vmem File

作　　者：何祥[1] 周安民[1] 蒲伟 周妍 

机构地区：[1]四川大学电子信息学院,四川成都610065 [2]四川省信息安全测评中心,四川成都610017

出　　处：《信息安全与通信保密》2012年第10期67-68,71,共3页Information Security and Communications Privacy

摘　　要：针对采用Rootkit技术进行隐藏的恶意程序,文中提出了一种基于虚拟机内外视图交叉比对的恶意程序检测方案来提取其隐藏的信息。该方案通过将虚拟机内部获取的不可信系统信息和虚拟机外部通过vmem文件分析得到的可信系统信息进行交叉比对,发现系统中被Rootkit所隐藏的进程信息,使得Rootkit类型恶意代码检测的有效性得到了保障。For detection of malware＇s hidden information with Rootkit, a new scheme based on VM Cross-view comparison is proposed. In this scheme, malwares are analyzed in a virtual machine and the information of the virtual machine is acquired from virtual machine itself and the vmem file in the host machine. By comparing the information, the process information hidden in the malware could thus be found.

关 键 词：恶意程序 虚拟机 vmem分析 ROOTKIT技术 交叉视图 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]