基于CPU缓存操作模式差异的虚拟机检测方法  

Virtual machine detection method based on discrepancies of CPU cache mode

作　　者：杨鹏[1] 方勇[1] 刘亮[1] 浦伟 左政[1] 

机构地区：[1]四川大学信息安全研究所,四川成都610065 [2]四川省信息安全测评中心,四川成都610017

出　　处：《信息与电子工程》2012年第6期775-778,782,共5页information and electronic engineering

摘　　要：虚拟化技术已被广泛用于恶意软件分析系统,而虚拟机检测技术作为一种反分析技术,对恶意软件作者和安全研究人员都有重要意义。为了描述和探索虚拟机检测方法,给出了虚拟机检测的基本思想并介绍了几种已有检测方法,考虑到检测方法的通用性,提出了基于CPU缓存(Cache)操作模式差异的虚拟机检测方法,通过比较启用CPU缓存和禁用CPU缓存时的指令执行效率来判断当前环境是否为虚拟环境。通过实验发现在真机环境中禁用CPU缓存对指令执行效率有显著影响,而在虚拟环境中禁用CPU缓存对指令执行效率没有显著影响。实验结果表明,利用CPU缓存操作模式在真机环境与虚拟环境中的差异来检测虚拟机是可行的。Virtualization technology has been widely used for malware analysis system,and as a kind of anti-analysis technology,the detecting technology of virtual machine is meaningful to both the authors of malware and the researchers of security.In order to describe and explore virtual machine detection method,this paper gives the basic principles and several existing methods for detection.Taking into account the versatility,a method based on discrepancies of CPU cache mode is proposed.The experiment results show that disabling CPU caching has significant influence on instruction execution efficiency in real machine environment,but not in virtual environment;and it is feasible to detect virtual machine via the distinction of different CPU cache modes.

关 键 词：虚拟机检测 虚拟化 CPU缓存 恶意软件分析 

分 类 号：TP302[自动化与计算机技术—计算机系统结构] TP274[自动化与计算机技术—计算机科学与技术]