基于系統(tǒng)調(diào)用依賴圖的惡意代碼檢測(cè).pdf

1、身處網(wǎng)絡(luò)時(shí)代，每個(gè)人的電腦都幾乎受到過(guò)惡意代碼的攻擊，如病毒、蠕蟲(chóng)和木馬等。人們通過(guò)殺毒軟件來(lái)防御惡意代碼，但每年有大量惡意代碼通過(guò)產(chǎn)生變種的方式來(lái)逃避殺毒軟件的查殺。
　　許多研究者致力于通過(guò)靜態(tài)分析的方法提取泛化能力好的特征，從而更有效地檢測(cè)惡意代碼。但靜態(tài)方法易受加殼或混淆技術(shù)的影響，隨著對(duì)抗升級(jí)，靜態(tài)分析的難度越來(lái)越大。與之相比，動(dòng)態(tài)方法則不受此影響，通過(guò)在受控環(huán)境中運(yùn)行惡意代碼可以捕獲到許多關(guān)鍵信息，如系統(tǒng)調(diào)用。

2、　　系統(tǒng)調(diào)用是應(yīng)用程序用來(lái)與操作系統(tǒng)交互的接口，其執(zhí)行通常會(huì)改變系統(tǒng)的狀態(tài)，并且惡意代碼的大多數(shù)敏感操作都要轉(zhuǎn)入系統(tǒng)調(diào)用去執(zhí)行，所以從系統(tǒng)調(diào)用層面可以獲取程序運(yùn)行的本質(zhì)特征。在系統(tǒng)調(diào)用序列基礎(chǔ)上，通過(guò)機(jī)器學(xué)習(xí)方法可以對(duì)大量惡意代碼進(jìn)行聚類或分類，但該方法并不能有效提取出某一惡意家族的本質(zhì)行為特征。考慮到許多惡意操作需要通過(guò)一系列存在依賴關(guān)系的系統(tǒng)調(diào)用來(lái)實(shí)現(xiàn)，有研究者嘗試用系統(tǒng)調(diào)用依賴圖來(lái)刻畫(huà)惡意行為，并基于依賴圖對(duì)惡意代碼進(jìn)行有效地檢測(cè)

3、或分析。該方法的關(guān)鍵是依賴圖的構(gòu)造，并且從運(yùn)行記錄文件構(gòu)造的原始依賴圖包含許多噪聲信息，不能直接用于惡意代碼檢測(cè)。
　　為解決這兩方面的問(wèn)題，本文提出了一種新的基于依賴圖的惡意代碼檢測(cè)方法。該方法采用動(dòng)態(tài)污點(diǎn)分析技術(shù)對(duì)系統(tǒng)調(diào)用參數(shù)進(jìn)行污點(diǎn)標(biāo)記，進(jìn)而根據(jù)這些標(biāo)記構(gòu)建依賴圖。同時(shí)為了提取具有代表性的依賴圖，該方法利用圖聚類算法，將同一惡意家族多個(gè)樣本剪枝后的依賴圖聚集成一個(gè)加權(quán)最小公共超圖，然后通過(guò)圖匹配的方法進(jìn)行惡意代碼檢測(cè)。實(shí)驗(yàn)表