基于归一化的变形恶意代码检测

许多未知恶意代码是由已知恶意代码变形而来。该文针对恶意代码常用的变形技术,包括等价指令替换、插入垃圾代码和指令重排,提出完整的归一化方案,以典型的变形病毒Win32.Evol对原型系统进行测试,是采用归一化思想检测变形恶意代码方面的有益尝试。     

针对指令乱序变形技术的归一化研究

新出现的恶意代码大部分是在原有恶意代码基础上修改转换而来.许多变形恶意代码更能自动完成该过程,由于其特征码不固定,给传统的基于特征码检测手段带来了极大挑战.采用归一化方法,并结合使用传统检测技术是一种应对思路.本文针对指令乱序这种常用变形技术提出了相应的归一化方案.该方案先通过控制依赖分析将待测代码划分为若干基本控制块,然后依据数据依赖图调整各基本控制块中的指令顺序,使得不同变种经处理后趋向于一致的规范形式.该方案对指令乱序的两种实现手段,即跳转法和非跳转法,同时有效.最后通过模拟测试对该方案的有效性进行了验证.     

针对等价指令替换变形的归一化研究

针对等价指令替换常用变形技术提出了相应的归一化方法。该方法先通过引入标准指令和建立等价转换规则来对检测代码进行重写处理;然后,再根据各基本块的数据依赖图对标准指令顺序进行调整。在该方法基础上,提出了一种综合归一化方案,该方案旨在能有效应对现实中使用了多种常用变形技术的恶意代码。最后以Win32.Evol,Win32.Zperm和Win32.Bistro为对象的实例研究验证了该方案的有效性。     

基于抽象特征检测变形恶意代码

传统的恶意代码检测方法通常以固定的指令或字节序列这些具体特征作为检测依据,因此难以检测变形恶意代码.使用抽象特征是解决该问题的一个思路.本文针对恶意代码常用的变形技术,即等价指令替换、垃圾代码插入以及指令乱序进行研究.定义了一种抽象特征,同时提出了依据该抽象特征检测变形恶意代码的方法.最后,以典型变形病毒Win32.Evol为对象进行了实验,将该方法与其它方法进行了对比.实验结果验证了该方法的有效性.     

基于语义的恶意代码行为特征提取及检测方法

提出一种基于语义的恶意代码行为特征提取及检测方法,通过结合指令层的污点传播分析与行为层的语义分析,提取恶意代码的关键行为及行为间的依赖关系;然后,利用抗混淆引擎识别语义无关及语义等价行为,获取具有一定抗干扰能力的恶意代码行为特征.在此基础上,实现特征提取及检测原型系统.通过对多个恶意代码样本的分析和检测,完成了对该系统的实验验证.实验结果表明,基于上述方法提取的特征具有抗干扰能力强等特点,基于此特征的检测对恶意代码具有较好的识别能力.     

Windows内核恶意代码分析与检测技术研究

Windows内核恶意代码是指能够通过改变Windows执行流程或者改变内核审计和簿记系统所依赖的数据结构等手段以达到隐藏自身,实现恶意功能的程序或程序集,对操作系统安全造成很大的危害.对近年来基于NT内核的微软Windows操作系统下恶意代码主要的隐藏实现技术(包括对进程函数、注册表函数、SSDT等的HOOK行为)进行了深入分析研究,提出了一些具有实用价值的恶意代码检测技术方案.实践表明文中提出的恶意代码分析检测技术在实际中具有积极的指导意义.     

恶意代码演化与溯源技术研究

恶意代码溯源是指通过分析恶意代码生成、传播的规律以及恶意代码之间衍生的关联性，基于目标恶意代码的特性实现对恶意代码源头的追踪.通过溯源可快速定位攻击来源或者攻击者，对攻击者产生一定的震慑打击作用，具有遏制黑客攻击、完善网络安全保障体系的重要作用和价值.近年来，网络安全形势愈加严峻，归类总结了学术界和产业界在恶意代码溯源领域的研究工作，首先揭示了恶意代码的编码特性以及演化特性，并分析这些特性与溯源的关系；然后，分别从学术界和产业界对恶意代码的溯源技术和研究进行梳理，同时对每个溯源阶段的作用以及影响程度进行了讨论，并对目前恶意代码的溯源对抗手段进行分析；最后讨论了恶意代码溯源技术面对的挑战和未来的发展趋势.     

恶意代码检测研究前沿与发展趋势的计量分析

主要应用CiteSpace可视化工具，以近16年在恶意代码检测领域的CNKI中文期刊数据和WOS数据为研究对象，基于文献计量内容分析方法系统地回顾了国内外在恶意代码检测领域的关注点、研究脉络的发展规律、存在的共性与差异性和研究现状。通过对比国内外恶意代码检测的研究进展，可以发现目前恶意代码检测的研究处于增长阶段，并且研究主要关注领域为手机客户端和WEB应用安全等。同时，恶意代码检测研究目前存在的典型问题也暴露出来。展望了恶意代码检测研究可能的发展方向，为国内相关的研究提供参考。     

一种恶意代码变种检测的有效方法

为了改变基于特征码病毒查杀存在的滞后性,以及对于恶意代码变种的无效性,提出了一种基于支持向量机和模糊推理技术的恶意代码及其变种的检测方法。基于Radux原型系统,通过使用多分类机,将恶意程序进一步细分为病毒、蠕虫和木马程序,然后进行恶意代码判定的模糊推理,使得未知病毒的检测概率进一步提升,对于已有恶意程序的检测率高达99.03%,对于恶意程序变种的检测率达到93.38%。     

病毒的新栖息地

曾经有一位前辈说过：“有程序的地方就会有病毒”，这句话一点都不假。日前，可以说凡是能够执行代码的地方都已经发现了病毒或者是恶意代码。     

一种评估恶意代码危害性方法的研究

本文分析了恶意代码危害性评估不统一工作的现状,确定了趋利性和破坏性是当前恶意代码的主要特征,研究了恶意代码危害性评估要素和指标体系,制定了恶意代码危害性评估标准,并在国家计算机病毒应急处理中心和反病毒行业试用,为今后统一和规范我国恶意代码和网络攻击事件预警发布、应急处置工作提供了标准和依据,也为防范打击网络犯罪和信息安全等级保护工作提供技术支撑。     

网络安全形势略有好转风险依旧存在

2009年9月以来根据CNCERT检测指出,国内网络安全形势略有好转,通过数据显示,以网络篡改行为为主的安全事件与上月相比有了明显的下降,然而僵尸网络数量依然有大幅上升,对于网络安全风险依然要保持高度的警惕。     

基于谓词时序逻辑的恶意代码行为描述及检测

基于行为的判别已成为恶意代码检测技术研究的主流方向,现有方法容易受到拟态攻击或影子攻击的影响.针对这些问题,提出了一种全新的使用谓词时序逻辑描述恶意代码行为的方法,该方法能够同时刻画一组函数调用之间的逻辑组合、时序、参数依赖和主客体关联等关系,因此能更准确细致地描述恶意代码行为.在此基础上,提出了相应的恶意行为检测算法,通过实例测试验证了该方法的有效性.