基于VMware的惡意程序分析技術(shù).pdf

1、惡意程序的頻現(xiàn)使得網(wǎng)絡(luò)信息安全形勢日益嚴(yán)峻，其變形逃避技術(shù)的不斷升級也使分析檢測變得愈加困難。本文在學(xué)習(xí)當(dāng)前惡意程序檢測技術(shù)及虛擬機相關(guān)技術(shù)的基礎(chǔ)上，提出了一個綜合分析檢測模型，結(jié)合多種檢測分析工具，通過在不同階段對程序代碼的認(rèn)真分析，提取出不同的特征，并采取逐步分類的方式最大程度上正確分類惡意程序，為后面采取相應(yīng)的處理措施提供依據(jù)。主要做了以下一些工作：
　　1.基于虛擬機技術(shù)提出了一個綜合分析模型。鑒于當(dāng)前惡意程序變形技術(shù)的復(fù)

2、雜化，本文提出的模型將對程序的預(yù)處理作為第一個單獨的模塊重點進行分析，對程序進行脫殼解密處理，呈現(xiàn)程序的本來面目，方便后續(xù)的分析。同時本模型在靜態(tài)分析和動態(tài)分析的基礎(chǔ)上，加入了綜合分析模塊用于對分析檢測比較困難的惡意程序進行分析檢測。
　　2.給出了新的特征提取方法。本文提出了在預(yù)處理階段提取程序的基本信息，在靜態(tài)分析階段提取程序的函數(shù)特征和在動態(tài)分析階段提取程序的行為特征的方法。一方面這樣提取的特征信息比較完整，另一方面這些特征

3、更能準(zhǔn)確表現(xiàn)程序的功能，便于做出正確的判斷。
　　3.提出了分步分類綜合衡量的思路。以往的方法都是在可疑程序檢測分析的基礎(chǔ)上最后做一個分類，本文提出了分步分類的思路，即在對可疑程序檢測分析的靜態(tài)、動態(tài)和最后綜合階段分別進行分類，這樣既能實現(xiàn)對可疑程序的快速分類，提高檢測效率，節(jié)省分析成本，又能根據(jù)每個可疑程序的復(fù)雜程度對其做出最大限度的正確分類。
　　4.針對各模塊給出了不同的分類方法。靜態(tài)、動態(tài)模塊根據(jù)各自提取特征的特點設(shè)