路径条件驱动的混淆恶意代码检测  

Obfuscated Malicious Code Detection with Path Condition Analysis

作　　者：安靖[1,2] 杨义先[1,2] 李忠献[1,3] 

机构地区：[1]北京邮电大学信息安全中心,北京100876 [2]北京邮电大学灾备技术国家工程实验室,北京100876 [3]国瑞数码安全系统有限公司,北京100088

出　　处：《湖南大学学报（自然科学版）》2013年第9期86-90,共5页Journal of Hunan University:Natural Sciences

基　　金：国家重大科技专项(2011ZX03002-005-01);国家自然科学基金资助项目(61121061);国家科技支撑计划项目(2012BAH37B05)

摘　　要：代码混淆是恶意代码隐藏自身的主要手段之一.本文提出了一种新的动态检测方法,能够有效检测混淆后的恶意代码.该方法能够利用ISR进行动态调试.在调试过程中通过对路径条件的约束求解,驱动恶意代码执行不同的路径更深入地检测隐藏恶意代码.此外,对于需要读取外部资源的恶意代码,恶意行为往往需要结合外部资源才能检测.本文方法能够准确定位外部资源并结合原始恶意代码进行检测,提高检测的准确性.在原型系统的测试中,与12种杀毒软件的横向测试表明,该方法在对混淆恶意代码检测中能有效地降低漏报率.Codes obfuscation is one of the main methods to hide malicious codes. This paper proposed a new dynamic method to effectively detect obfuscated malicious codes. This method used ISR to conduct dy- namic debugging. The constraint solving during the debugging process can detect deeply hidden malicious codes by covering different execution paths. Besides, for malicious codes that read external resources, the detection of abnormal behaviors can only be detected by taking the resources into consideration. The meth- od proposed has better accuracy by locating the external resources precisely and combining it with the anal- ysis of original malicious codes. According to the test result of 12 anti-virus softwares, this prototype sys- tem can noticeably decrease False Negatives rate in the detection of obfuscated malicious codes.

关 键 词：程序调试 恶意代码检测 代码混淆 路径分析 动态测试 

分 类 号：TP309[自动化与计算机技术—计算机系统结构]