“挂马”

网页挂马就是在网页的源代码中加入一段恶意代码,利用系统漏洞实现将木马程序自动下载到用户电脑之中。     

恶意后门代码审计分析技术

现有代码安全审计主要是关注语言自身的缺陷,即语言所包含的API函数的风险,无法理解软件源代码中逻辑和核心资产与外界的关系,更无法判断源代码中所存在的恶意后门代码,因此,外包开发团队或者恶意开发人员设置的后门代码将无法查找和定位。为了解决上述现有方案的缺点和盲点,在现有的代码安全审计的基础之上,结合最小攻击面和保护资产列表,分析所有受保护的信息资产与攻击面的关系,查找保护资产在系统内对所有代码元素的影响,并审查其相关路径,找出不期望的代码执行路径,从而达到定位恶意代码功能。识别恶意程序,降低源代码安全风险。     

Dynamic Analysis of Malicious Code

Malware analysis is the process of determining the purpose and functionality of a given malware sample (such as a virus, worm, or Trojan horse). This process is a necessary step to be able to develop effective detection techniques for malicious code. In addition, it is an important prerequisite for the development of removal tools that can thoroughly delete malware from an infected machine. Traditionally, malware analysis has been a manual process that is tedious and time-intensive. Unfortunately, the number of samples that need to be analyzed by security vendors on a daily basis is constantly increasing. This clearly reveals the need for tools that automate and simplify parts of the analysis process. In this paper, we present TTAnalyze, a tool for dynamically analyzing the behavior of Windows executables. To this end, the binary is run in an emulated operating system environment and its (security-relevant) actions are monitored. In particular, we record the Windows native system calls and Windows API functions that the program invokes. One important feature of our system is that it does not modify the program that it executes (e.g., through API call hooking or breakpoints), making it more difficult to detect by malicious code. Also, our tool runs binaries in an unmodified Windows environment, which leads to excellent emulation accuracy. These factors make TTAnalyze an ideal tool for quickly understanding the behavior of an unknown malware.     

Android应用的恶意代码注入

本文分析了Android应用文件和Android系统广播机制的特点,介绍了一种基于SDK的Android应用恶意代码注入的方法,并且用该方法测试了30款Android应用,通过实验说明了Android应用软件缺少防止恶意注入的安全机制.     

基于DynamoRIO的恶意代码行为分析

提出一种基于动态二进制分析的恶意代码行为分析方法,以动态二进制分析平台DynamoRIO为基础设计实现恶意代码行为分析的原型系统.实验结果证明,该系统能够全面地获取恶意代码的API调用序列和参数信息,通过对API调用的关联性进行分析,准确得到恶意代码在文件、注册表、服务及进程线程操作等方面的行为特征.     

恶意程序的发展趋势分析

在对比分析07年到08年上半年期间恶意代码发展特点的基础上,指出了恶意代码今后将具有对抗安全软件加剧、利用热点事件进行攻击、社会工程学攻击、利用僵尸网络等发展趋势,并提出了防御恶意代码的策略和建议。     

恶意代码特征及其危害

随着互联网信息技术的不断发展,代码的"恶意"性以及其给用户造成的危害引起人们普遍的关注。本文将简单介绍"恶意代码"的基本概念和特征,并分析其传播原理及危害,最后提出一些简单的预防措施,以激发我们的网络安全意识。     

一种新的恶意代码检测方法

基于主机的检测系统对文件检测能力更强．但是因为开销,成本过高,因此实际中基于网络的检测系统应用场景更广泛,可以部署的节点更多,提升网络恶意代码检测系统的检测能力可以更有效地为之后的恶意代码防御做出支持。但是其节点设备数量虽然多,却相对低端,单台成本更低,不能像主机检测一样将捕捉到的网络数据包还原,即使可以,也费时费力,处理速度跟不上网络流量,将会造成大量的丢包。因此,如果能让检测系统的前端主机在能够不重组数据包就检测出数据包是否为恶意代码意义重大,在不还原数据包的情况下,通过对单包的内容进行检测从而对有问题的包产生告警信息,可以显著增强基于网络的恶意代码检测系统前端主机的检测能力,使其在病毒种植过程中就能探测到异常。     

恶意代码多态变形技术的研究

恶意代码的深层隐藏和检测技术已经成为当前计算机安全技术的一个研究热点.多态变形技术是一种新型隐藏技术,它使得传统的基于特征码的检测技术相对滞后,论文详细阐述了恶意代码变种生成技术,主要包括加密技术、多态技术、变形技术.深入研究了m序列的随机性和状态遍历特性,提出的基于m序列的多态方法,能够有效提高恶意代码多态的效率和随机性.     

基于密码隔离的恶意代码免疫模型

基于访问控制的恶意代码防御模型对恶意代码实行的是逻辑隔离,它可能被旁路且防御效果受限于访问控制策略的有效性.本文基于密码学原理建立了一个恶意代码免疫模型,以克服逻辑隔离的脆弱性;定义了代码植入规则、保护规则和执行规则,实现代码存储和执行的安全;证明了在系统初态安全且代码加、解密密钥安全的条件下,任何时刻恶意代码都不会被执行和传播.     

基于差异分析的隐蔽恶意代码检测

隐蔽性恶意程序Rootkit通过篡改系统内核代码与指令,导致操作系统返回虚假的关键系统信息,从而逃避管理员和主机型安全工具的检查.通过分析Rootkit技术的实现原理,包括进程、TCP端口、注册表和文件的隐藏技术,提出了基于差异分析的隐藏行为检测技术.该技术将可信任的系统信息与不可信任的系统信息进行比较,从而获得被隐藏的信息.最终实现了相应的原型系统.与特征码扫描法相比,该检测方法检测在未知和变形Rootkit方面具有明显优势.     

基于网络的恶意代码检测技术探析

近几年,恶意代码侵袭网络范围不断扩大,对网络健康发展构成了巨大威胁,如何能有效消除恶意代码对网络的影响已成为社会关注焦点。恶意代码具有多变性和快速性,传统的基于特征的检测手段已经被淘汰,目前基于网络的恶意代码检测技术已经普遍运用,并且取得令人满意的成效。在对恶意代码种类分析的前提下,进一步探析了恶意代码检测技术的实施方法以及实施效果,希望能为网络减少恶意代码侵害起到积极的促进作用。     

恶意代码自动脱壳技术研究

恶意程序普遍使用一些高级的软件保护技术躲避检测工具等的查杀,而复杂的程序加壳技术就是其中的典型代表,必须对其进行脱壳操作才能进行彻底的分析。文章以对壳程序特征的分析为基础,提取样本程序的外壳特征,自动提取加壳程序隐藏的代码和数据,并提出了基于动态分析平台的自动脱壳系统的设计方案。实验结果表明,该系统可以有效处理常见的外壳程序类型,一方面提高了脱壳技术的自动化程度,另一方面大大增强了脱壳技术的通用性。     

有临时免疫的恶性代码传播模型

研究恶性代码的一个带时延SIRS模型。恶性代码和反病毒软件的斗争使得易感的计算机被恶性代码感染,而被感染的计算机由于反病毒软件的安装具有免疫力,但恶性代码的进一步变种和升级让这些安装了反病毒软件的计算机仅仅具有临时的免疫功能。对所建立的模型,分析了平衡点以及平衡点的稳定性,得到恶性代码的传播阈值,同时还研究了时延传播的影响。该模型通过引入时延更真实地反映了恶性代码传播的长期状况。     

恶意代码模糊变换技术研究

在分析恶意代码模糊变换技术的基础上,给出了恶意代码模糊变换的形式化描述,提出了模糊变换引擎的框架结构,实现了恶意代码模糊变换引擎原型。试验结果表明模糊变换技术可以有效地提高恶意代码的生存能力。     

基于CNN-BiLSTM的恶意代码家族检测技术

近年来快速增加的恶意代码数量中大部分是由原有家族中通过变异产生,所以对恶意代码家族进行检测分类显得尤为重要。提出了一种基于CNN-BiLSTM网络的恶意代码家族检测方法,将恶意代码家族可执行文件直接转换为灰度图像,利用CNN-BiLSTM网络模型对图像数据集进行检测分类。此方法在避免计算机受到恶意代码伤害的同时全面高效地提取特征,结合CNN和BiLSTM的优点从局部和全局两个方面学习恶意代码家族的特征并实现分类。实验对4个恶意代码家族的4 418个样本进行识别,结果表明该模型相对于传统机器学习具有更高的准确率。     

What We Can Learn About Malicious Mobile Code

Just as graffiti has been around for as long as humans have been capable of written communication, malicious mobile code has existed for as long as humans have mastered digital communication. It is only in the last few years that viruses and worms have become worthy of mainstream media attention. The first notable instance was the ‘Apple Virus’ that broke out in 1981. By 1986, one of the first PC based viruses — ‘The Brain’ — had been created.     

一种基于本地化特征的恶意代码检测系统设计

随着网络安全技术的发展,计算机病毒已经不能够准确描述安全事件,提出了用恶意代码来描述,由于恶意代码的多样性,目前的恶意代码检测技术不能满足需要。在对恶意代码特征研究的基础上,提出了基于本地化特征的恶意代码检测技术。恶意代码要获取执行的机会,必然要进行本地化设置,对恶意代码的本地化特点进行了研究,在此基础上设计出了一种基于本地化特征的恶意代码检测系统,并进行了测试,结果证明基于本地化特征的恶意代码检测方法是一种有效的方法。     

基于恶意代码行为分析的入侵检测技术研究

在进行人侵检测的过程中,传统方法由于对入侵判断过程的约束性过强,同时入侵数据中存在大量的冗余数据与噪声,导致无法抵御行为层混淆干扰造成的检测精确性过低的问题,不能从网络安全立体、纵深、多层次防御的角度出发对网络入侵进行检测.为此,提出了一种基于半监督聚类算法的恶意代码行为分析的入侵检测方法.提取系统调用流图特征,将其融合于代码的行为结构与特征中,标记后按照类型将其归纳整理,将整理后带有标记的代码行为特性数据的信息范围扩展到所在簇内的全部数据上,实现类型标记,完成对恶意代码行为的分析,实现入侵检测.仿真结果表明,提出的基于半监督聚类算法的恶意代码行为分析的入侵检测方法精准度高,实用性强.     

基于恶意代码的检测技术研究

恶意代码检测是保证信息系统安全的一个重要手段,从传统的特征码匹配到启发式检测,甚至基于神经网络的代码检测,整个检测手段在向着更加智能化更加具有自动适应能力的方向发展,检测系统也越来越具有自动分析与自动学习的能力。