一种改进的基于在线解耦的轻量级动态污点分析方法

在针对二进制程序的实际分析场景中,动态分析方法因具有更高的准确性而得到更为广泛的关注和运用.但是以动态污点分析为代表的细粒度分析方法通常会产生较高的性能和资源开销.为缓解这些问题,本文提出一种改进的轻量级在线解耦的动态污点分析方法,其主要思想是在线解耦程序执行和指令分析,同步构建分析代码并完成分析.该方法能够进一步降低对目标程序运行时的性能影响,并易将分析过程迁移至其它上下文环境中,从而可进一步减小对目标程序运行环境的干扰.本文通过采用多种实际程序进行实验,结果表明该方法能够比传统在线污点分析具有更高的分析性能,并具有较低的系统资源消耗,易于在实际环境中进行部署和应用.     

融合虚拟化和操作系统的动态程序分析框架

各种高级恶意代码在网络空间中不断出现, 具有分析对抗能力强、恶意行为更隐蔽等新特点, 对各类信息系统的安全性产生严重威胁。为深度了解恶意代码及相关攻击活动, 需研究更实用和高效的分析方法, 以提高对威胁的分析能力和响应速度。针对二进制程序分析, 尽管已有较多的研究成果, 但随着软硬件技术的发展, 仍面临实用性和灵活性较低、性能和资源开销较高、难以适应新的应用场景等问题。因此在已有工作的基础上, 本文以动态细粒度程序分析为目标, 将操作系统和虚拟机监视器进行深度融合, 提出一种新的二进制程序动态分析方法。该方法充分利用硬件虚拟化新特性对目标程序的执行进行动态拦截,能够更便捷地对用户模式应用程序进行自动化分析, 并采用新的动态分析相关内存管理方案, 以提高细粒度分析的效率和分析代码构建的灵活性; 同时综合程序执行和指令分析进行分离的策略, 进一步降低分析过程对目标程序运行时的性能影响。本文在 Windows 平台上设计了该方法的原型并实现相应的分析框架, 采用基准程序和实际应用程序进行大量实验, 验证了该方法的可行性和高效性, 并通过数据流分析案例进一步展示了框架在实际分析中具有较高的应用价值。     

一种新的Windows木马检测方法研究

针对目前木马病毒种类多、检测难度大、隐蔽功能强等难点,在研究Windows系统下木马程序特点以及生物免疫机制的基础上,考虑到人体免疫机制与木马检测机制的相似性,提出一种基于免疫的木马检测方法,设计了基于免疲的木马检测模型,提出了改进的否定选择算法中的检测器产生算法EV-Detector,并将其用于木马检测.实验结果表明,相比同类方法,基于EV-Detector的否定选择算法EVD-NSA在检测木马方面有着较高的检测率与较低的误报率,能够有效地检测出Windows系统下新颖未知木马程序.