CN107590382A - 一种基于虚拟机动态执行的恶意软件检测分析方法与装置 - Google Patents

Abstract

本发明实施例提出一种基于虚拟机动态执行的恶意软件检测分析方法与装置，涉及软件安全领域。首先通过虚拟机加载并动态执行待检测软件，然后记录待检测软件在动态执行状态下的日志，再对日志进行行为分析，并获取分析后的行为结果，最后对分析后的行为结果进行展现。本发明提供的基于虚拟机动态执行的恶意软件检测分析方法与装置具有防止对软件进行静态检测漏报情况出现的优点。

Description

一种基于虚拟机动态执行的恶意软件检测分析方法与装置

技术领域

本发明涉及软件安全领域，具体而言，涉及一种基于虚拟机动态执行的恶意软件检测分析方法与装置。

背景技术

恶意软件是指在计算机系统上执行恶意任务的病毒、蠕虫和特洛伊木马等的程序。对恶意软件的检测和恶意软件攻防技术一直是热门话题。

对于静态检测技术，恶意软件可以通过改变攻击代码(加壳、修改源代码等方式)来逃避静态恶意代码检测工具的检测，因此静态恶意软件检测存在一定的局限性。

如何解决上述问题，是本领域技术人员关注的重点。

发明内容

有鉴于此，本发明的目的在于提供一种基于虚拟机动态执行的恶意软件检测分析方法，以解决现有技术中恶意程序绕过静态检测从而无法判断该恶意软件的危害性的问题。

有鉴于此，本发明的另一目的在于提供一种基于虚拟机动态执行的恶意软件检测分析装置，以解决现有技术中恶意程序绕过静态检测从而无法判断该恶意软件的危害性的问题。

为了实现上述目的，本发明实施例采用的技术方案如下：

第一方面，本发明实施例提出一种基于虚拟机动态执行的恶意软件检测分析方法，所述基于虚拟机动态执行的恶意软件检测分析方法包括：

加载并动态执行待检测软件；

记录所述待检测软件在动态执行状态下的日志；

对所述日志进行行为分析，并获取分析后的行为结果；

对所述分析后的行为结果进行展现。

第二方面，本发明实施例还提出一种基于虚拟机动态执行的恶意软件检测分析装置，所述基于虚拟机动态执行的恶意软件检测分析装置包括：

动态执行单元，用于加载并动态执行待检测软件；

日志记录单元，用于记录所述待检测软件在动态执行状态下的日志；

行为分析单元，用于对所述日志进行行为分析，并获取分析后的行为结果；

展现单元，用于对所述分析后的行为结果进行展现。

相对现有技术，本发明具有以下有益效果：

本发明提供的了一种基于虚拟机动态执行的恶意软件检测分析方法与装置，首先通过虚拟机加载并动态执行待检测软件，然后记录待检测软件在动态执行状态下的日志，再对日志进行行为分析，并获取分析后的行为结果，最后对分析后的行为结果进行展现，从而使工作人员能够了解到该待检测软件的恶意程度。由于待检测软件可能在恶意代码上做过特定修改，所以能够绕过静态检测。但是，待检测软件无论怎样修改代码以绕过静态检测，其程序功能是不变的，即其行为链保持不变，其所调用的底层函数也是不变的，所以通过虚拟机能够执行该待检测软件，并记录详细行为，并对各种行为进行分析，从而实现了判断该待检测软件的危害性的效果。

为使本发明的上述目的、特征和优点能更明显易懂，下文特举较佳实施例，并配合所附附图，作详细说明如下。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本发明的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1示出了本发明的一个实施例提供的虚拟机的结构框图。

图2示出了本发明的一个实施例提供的基于虚拟机动态执行的恶意软件检测分析方法的流程示意图。

图3示出了图2中步骤S102的子步骤流程示意图。

图4示出了本发明的另一个实施例提供的基于虚拟机动态执行的恶意软件检测分析装置的模块示意图。

图5示出了本发明的另一个实施例提供的日志记录单元的模块示意图。

图标：10-虚拟机；12-存储器；13-存储控制器；14-处理器；100-基于虚拟机动态执行的恶意软件检测分析装置；110-动态执行单元；120-日志记录单元；121-检测模块；122-记录模块；130-行为分析单元；140-展现单元。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

下面将结合本发明实施例中附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。同时，在本发明的描述中，还需要说明的是，除非另有明确的规定和限定，术语“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是机械连接，也可以是电连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。下面结合附图，对本发明的一些实施方式作详细说明。在不冲突的情况下，下述的实施例及实施例中的特征可以相互组合。

如图1所示，是本发明提供的虚拟机10的功能模块示意图。该虚拟机10包括基于虚拟机动态执行的恶意软件检测分析装置100、存储器12、存储控制器13以及处理器14。

所述存储器12、存储控制器13、处理器14各元件相互之间直接或间接地电性连接，以实现数据的传输或交互。例如，这些元件相互之间可通过一条或多条通讯总线或信号线实现电性连接。所述基于虚拟机动态执行的恶意软件检测分析装置100包括至少一个可以软件或固件(firmware)的形式存储于所述存储器12中或固化在所述虚拟机10的操作系统(operating system，OS)中的软件功能模块。所述处理器14用于执行存储器12中存储的可执行模块，例如所述障碍物距离判定图像生成装置包括的软件功能模块或计算机程序。

其中，存储器12可以是，但不限于，随机存取存储器(Random Access Memory，RAM)，只读存储器(Read Only Memory，ROM)，可编程只读存储器(Programmable Read-OnlyMemory，PROM)，可擦除只读存储器(Erasable Programmable Read-Only Memory，EPROM)，电可擦除只读存储器(Electric Erasable Programmable Read-Only Memory，EEPROM)等。其中，存储器12用于存储程序，所述处理器14在接收到执行指令后，执行所述程序，前述本发明实施例任一实施例揭示的流过程定义的服务器200所执行的方法可以应用于处理器14中，或者由处理器14实现。

处理器14可能是一种集成电路芯片，具有信号的处理能力。上述的处理器14可以是通用处理器，包括中央处理器(Central Processing Unit，简称CPU)、网络处理器(Network Processor，简称NP)等；还可以是数字信号处理器(DSP)、专用集成电路(ASIC)、现成可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本发明实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器14也可以是任何常规的处理器等。

请参照图2，是本发明较佳实施例提供的应用于图1所示的基于虚拟机10动态执行的恶意软件检测分析方法的流程图，下面对图2所示的具体流程进行详细阐述。

步骤S101，加载并动态执行待检测软件。

在进行恶意软件的危害性的检测时，现有技术中一般采用静态检测技术。但是，对于静态检测技术，恶意软件可以通过改变攻击代码(如通过加壳、修改源代码等方式)来逃避静态恶意代码检测工具的检测，因此静态恶意软件检测存在一定的局限性。静态检测技术指不通过实际运行该软件，而只是通过对软件的源代码等方式进行检测的技术。

由于一款恶意软件无论怎样修改代码或加壳以绕过静态检测工具，其程序功能是不变的，即其行为链保持不变，其所调用的底层函数也是不变的。所以在本实施例中，通过利用虚拟机10进行动态检测该恶意软件。虚拟机10(Virtual Machine)指通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统，在该虚拟机10内的操作不会对整体的系统产生任何影响。通过虚拟机10动态执行恶意软件，可以记录恶意软件的详细行为，通过记录运行函数及相应参数来分析恶意程序的各种行为，从而判断该程序的危害性。并且，由于虚拟机10为单独隔离出的环境，所以即使在虚拟机10中运行恶意软件，也不会对计算机真实系统造成损坏。

具体地，由于需要对软件的行为进行记录，所以首先需在虚拟机10中加载待检测的软件，该待检测的软件即为可能存在病毒、蠕虫或木马的恶意软件。同时，虚拟机10还会对该软件动态执行，即运行该软件。

步骤S102，记录所述待检测软件在动态执行状态下的日志。

在虚拟机10动态执行该待检测软件时，虚拟机10会记录待检测软件在动态执行状态下的日志。

具体地，请参阅图3，步骤S102包括：

子步骤S1021，检测在所述待检测软件在动态执行状态下所运行的所有的函数与函数参数。

在本实施例中，虚拟机10中装载有多个指定函数与函数参数，该指定函数与函数参数为软件在运行时通常需要调用的指定函数与函数参数。

需要说明的是，在本实施例中，所述函数至少包括CreateFileW、WinExec、CreateProcessInternalW、CreateRemoteThread等120多个普遍应用的函数。每个软件在动态执行时，均需调用在执行过程中多需要的函数。同样地，当待检测软件动态执行时，该软件会调用其中部分函数，该函数即为待检测软件在动态执行过程中需要的函数。同时，每当待检测软件调用其中一个函数，虚拟机10就能够检测出该软件调用的函数名称以及调用该函数的时间，从而检测出了待检测软件在动态执行状态下所运行的所有的函数、函数参数及调用函数的时间。需要说明的是，本实施例所述的日志，即指待检测软件在动态执行状态下所运行的所有的函数、函数参数及调用函数的时间。

子步骤S1022，记录所述函数与函数参数。

在检测到待检测软件在动态执行状态下所运行的所有的函数、函数参数及调用函数的时间后，虚拟机10能够记录待检测软件调用的函数。函数参数以及调用函数的时间，从而实现了记录待检测软件在动态执行状态下的日志的效果。

步骤S103，对所述日志进行行为分析，并获取分析后的行为结果。

在获取了待检测软件在动态执行状态下的日志后，需对待检测体的日志进行行为分析，从而获取分析后的行为结果。

在本实施例中，行为分析包含进程行为、注册表行为、网络行为、文件行为以及可疑行为等。行为即指软件在安装时会执行的动作。由于在步骤S102时已经获取了待检测软件在动态执行过程中需调用的函数与函数参数，所以可对这些函数与函数参数进行分析。其中，进程行为对进程相关的函数进行分析，注册表行为对注册表相关的函数进行分析，网络行为对网络相关的函数进行分析，文件行为对文件相关的函数进行分析，可疑行为罗列出一些比较特殊的行为如远程线程注入等。通过行为进行分析，可以得到分析后的结果。例如，在注册表行为从待检测软件调用的函数分析出有相关的函数，即该待检测软件可能存在的风险为在安装该软件的过程中，该待检测软件可自动关联其它注册表实现注册。当然地，在其它的一些实施例中，行为分析还可包括其它行为模块，本实施例对此并不做任何限定。

在对待检测体调用的所有函数均进行行为分析后，虚拟机10能够获取分析后的行为结果。

步骤S104，对所述分析后的行为结果进行展现。

在得到分析后的行为结果后，为了使操作人员能够直观地看到该待检测软件在动态执行过程中会执行哪儿动作，从而使操作人员判断出该待检测软件的恶意程度。在本实施例中，虚拟机10还会对分析后的行为结果进行展现，从而使操作人员了解待检测软件在动态执行过程中会做出的动作。需要说明的是，该展现内容可以为文字内容，也可以为图像内容，本实施例不做具体限定。

第二实施例

请参阅图4，是本发明较佳实施例提供的图1所示的基于虚拟机动态执行的恶意软件检测分析装置100的功能单元示意图。需要说明的是，本实施例所提供的基于虚拟机动态执行的恶意软件检测分析装置100，其基本原理及产生的技术效果和上述实施例相同，为简要描述，本发明实施例部分未提及之处，可参考上述的实施例中相应内容。所述基于虚拟机动态执行的恶意软件检测分析装置100包括动态执行单元110、日志记录单元120、行为分析单元130以及展现单元140。

具体地，动态执行单元110，用于加载并动态执行待检测软件。

可以理解地，通过动态执行单元110可执行步骤S101。

日志记录单元120，用于记录所述待检测软件在动态执行状态下的日志。

可以理解地，通过动态执行单元110可执行步骤S102。

其中，请参阅图5，日志记录单元120包括：

检测模块121，用于检测在所述待检测软件在动态执行状态下所运行的所有的函数与函数参数。

可以理解地，通过检测模块121可执行步骤S1021。

记录模块122，用于记录所述函数与函数参数。

可以理解地，通过记录模块122可执行步骤S1022。

行为分析单元130，用于对所述日志进行行为分析，并获取分析后的行为结果。

可以理解地，通过行为分析单元130可执行步骤S103。

展现单元140，用于对所述分析后的行为结果进行展现。

可以理解地，通过展现单元140可执行步骤S104。

综上所述，本发明提供的了一种基于虚拟机动态执行的恶意软件检测分析方法与装置，首先通过虚拟机加载并动态执行待检测软件，然后记录待检测软件在动态执行状态下的日志，再对日志进行行为分析，并获取分析后的行为结果，最后对分析后的行为结果进行展现，从而使工作人员能够了解到该待检测软件的恶意程度。由于待检测软件可能在恶意代码上做过特定修改，所以能够绕过静态检测。但是，待检测软件无论怎样修改代码以绕过静态检测，其程序功能是不变的，即其行为链保持不变，其所调用的底层函数也是不变的，所以通过虚拟机能够执行该待检测软件，并记录详细行为，并对各种行为进行分析，从而实现了判断该待检测软件的危害性的效果。

需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

Claims (10)

1.一种基于虚拟机动态执行的恶意软件检测分析方法，其特征在于，所述基于虚拟机动态执行的恶意软件检测分析方法包括：

加载并动态执行待检测软件；

记录所述待检测软件在动态执行状态下的日志；

对所述日志进行行为分析，并获取分析后的行为结果；

对所述分析后的行为结果进行展现。

2.如权利要求1所述的基于虚拟机动态执行的恶意软件检测分析方法，其特征在于，所述记录所述待检测软件在动态执行状态下的日志的步骤包括：

检测在所述待检测软件在动态执行状态下所运行的所有的函数与函数参数；

记录所述函数与函数参数。

3.如权利要求2所述的基于虚拟机动态执行的恶意软件检测分析方法，其特征在于，所述函数至少包括CreateFileW、WinExec、CreateProcessInternalW、CreateRemoteThread。

4.如权利要求1所述的基于虚拟机动态执行的恶意软件检测分析方法，其特征在于，所述行为包括进程行为、注册表行为、网络行为、文件行为以及可疑行为，所述进程行为用于对进程进行分析，所述注册表行为用于对注册表进行分析，所述网络行为用于对网络进行分析，所述文件行为用于对文件进行分析，所述可疑行为用于罗列出特殊的行为。

5.如权利要求4所述的基于虚拟机动态执行的恶意软件检测分析方法，其特征在于，所述进程行为、注册表行为、网络行为以及文件行为均通过对相关的函数进行分析。

6.一种基于虚拟机动态执行的恶意软件检测分析装置，其特征在于，所述基于虚拟机动态执行的恶意软件检测分析装置包括：

动态执行单元，用于加载并动态执行待检测软件；

日志记录单元，用于记录所述待检测软件在动态执行状态下的日志；

行为分析单元，用于对所述日志进行行为分析，并获取分析后的行为结果；

展现单元，用于对所述分析后的行为结果进行展现。

7.如权利要求6所述的基于虚拟机动态执行的恶意软件检测分析装置，其特征在于，所述日志记录单元包括：

检测模块，用于检测在所述待检测软件在动态执行状态下所运行的所有的函数与函数参数；

记录模块，用于记录所述函数与函数参数。

8.如权利要求7所述的基于虚拟机动态执行的恶意软件检测分析装置，其特征在于，所述函数至少包括CreateFileW、WinExec、CreateProcessInternalW、CreateRemoteThread。

9.如权利要求6所述的基于虚拟机动态执行的恶意软件检测分析装置，其特征在于，所述行为包括进程行为、注册表行为、网络行为、文件行为以及可疑行为，所述进程行为用于对进程进行分析，所述注册表行为用于对注册表进行分析，所述网络行为用于对网络进行分析，所述文件行为用于对文件进行分析，所述可疑行为用于罗列出特殊的行为。

10.如权利要求9所述的基于虚拟机动态执行的恶意软件检测分析装置，其特征在于，所述进程行为、注册表行为、网络行为以及文件行为均通过对相关的函数进行分析。