一种检测具有反分析能力的恶意软件的方法  

APPROACH FOR DETECTING ANTI-ANALYSIS MALWARE

作　　者：杨兆[1] 曾庆凯[2] 

机构地区：[1]南京大学计算机软件新技术国家重点实验室,江苏南京210093 [2]南京大学计算机科学与技术系,江苏南京210093

出　　处：《计算机应用与软件》2013年第4期1-4,39,共5页Computer Applications and Software

基　　金：国家自然科学基金项目(61170070);国家科技支撑计划项目(2012BAK26B01);江苏省科技支撑计划项目(BE2010032)

摘　　要：提出一种自动检测具有反分析能力的恶意软件的方法。在四种不同的分析环境中,采用两种不同类型的监控技术记录恶意程序执行的系统调用序列和指令序列。首先比较系统调用序列,如果发现不同,进一步比较指令序列,判断不同的原因是否由反分析导致。实验结果表明,该方法能检测出不同类型的逃避分析技术。This paper proposes a method to automatically detect anti-analysis malware.This approach records the traces of system calls and instructions executed by malware across four different analysis platform based on two monitoring and recording technologies.At first,the system call traces are compared.If a deviation exists,further comparison on instruction traces is needed to determine whether the root cause is anti-analysis or not.Experimental results have demonstrated that the approach can detect varies of analysis evasion technology.

关 键 词：虚拟机发现 行为比较 序列对齐 动态后向切片 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]