CN114707149A - 一种傀儡进程检测方法、装置、电子设备和存储介质 - Google Patents

一种傀儡进程检测方法、装置、电子设备和存储介质 Download PDF

Info

Publication number
CN114707149A
CN114707149A CN202210272614.XA CN202210272614A CN114707149A CN 114707149 A CN114707149 A CN 114707149A CN 202210272614 A CN202210272614 A CN 202210272614A CN 114707149 A CN114707149 A CN 114707149A
Authority
CN
China
Prior art keywords
memory block
memory
puppet
subprocess
image file
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210272614.XA
Other languages
English (en)
Other versions
CN114707149B (zh
Inventor
张宗元
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Anxin Wangdun Beijing Technology Co ltd
Original Assignee
Anxin Wangdun Beijing Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Anxin Wangdun Beijing Technology Co ltd filed Critical Anxin Wangdun Beijing Technology Co ltd
Priority to CN202210272614.XA priority Critical patent/CN114707149B/zh
Publication of CN114707149A publication Critical patent/CN114707149A/zh
Application granted granted Critical
Publication of CN114707149B publication Critical patent/CN114707149B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D10/00—Energy efficient computing, e.g. low power processors, power management or thermal management

Abstract

本发明实施例涉及一种傀儡进程检测方法、装置、电子设备和存储介质，该方法包括：监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件；根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测；根据镜像检测的结果，判断该进程是否为傀儡进程。本发明实施例的技术方案，利用傀儡进程需要先将恶意模块写入正常程序的内存，并设置内存为可执行属性的特点对子进程进行检测，在对于傀儡进程的识别率和准确率上得到了显著的提升，同时不会被加壳软件干扰误报，有效地解决了病毒长期潜伏导致用户数据被窃取的技术问题。

Description

一种傀儡进程检测方法、装置、电子设备和存储介质
技术领域
本发明实施例涉及网络信息安全技术领域，尤其涉及一种傀儡进程检测方法、装置、电子设备和存储介质。
背景技术
傀儡进程是恶意软件隐藏自身代码的一种常用方式，其通过将恶意代码写入正常的子程序内存来伪装成正常进程。目前，现有的检测技术是通过扫描可执行文件的恶意代码特征的方式实现傀儡进程的检测，但是如果傀儡进程的负载被加密，通过静态特征检测的方式检测率将大大降低。
发明内容
基于现有技术的上述情况，本发明实施例的目的在于提供一种傀儡进程检测方法、装置、电子设备和存储介质，以提高对于傀儡进程型病毒的检测能力。
为达到上述目的，根据本发明的一个方面，提供了一种傀儡进程检测方法，包括：
监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件；
根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测；
根据镜像检测的结果，判断该进程是否为傀儡进程。
进一步的，所述可移植条件包括：
该内存区块头部是否符合可移植的可执行文件的头部特征。
进一步的，根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测，包括：
若该内存区块头部符合可移植的可执行文件的头部特征，则检测该内存区块是否有对应的镜像文件。
进一步的，所述函数包括功能为恢复线程执行的函数。
进一步的，根据镜像检测的结果，判断该进程是否为傀儡进程，包括：
若在该内存区块中未找到对应的镜像文件，则判断该进程为被利用作为傀儡进程的容器；
若在该内存区块中找到对应的镜像文件，则判断该进程为正常进程。
根据本发明的第二个方面，提供了一种傀儡进程检测装置，包括监视模块、检测模块和判断模块；其中，
所述监视模块，用于监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件；
所述检测模块，用于根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测；
所述判断模块，用于根据镜像检测的结果，判断该进程是否为傀儡进程。
进一步的，所述监视模块遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件，包括：
若该内存区块头部符合可移植的可执行文件的头部特征，则检测该内存区块是否有对应的镜像文件。
进一步的，所述判断模块根据镜像检测的结果，判断该进程是否为傀儡进程，包括：
若在该内存区块中未找到对应的镜像文件，则判断该进程为被利用作为傀儡进程的容器；
若在该内存区块中找到对应的镜像文件，则判断该进程为正常进程。
根据本发明的第三个方面，提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，所述处理器执行所述程序时实现如本发明第一个方面所述的傀儡进程检测方法。
根据本发明的第四个方面，提供了一种计算机可读存储介质，其上存储有计算机可执行指令，所述可执行指令被处理器执行时实现如本发明第一个方面所述的傀儡进程检测方法。
综上所述，本发明实施例提供了一种傀儡进程检测方法、装置、电子设备和计算机可读存储介质，该傀儡进程检测方法包括：监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件；根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测；根据镜像检测的结果，判断该进程是否为傀儡进程。本发明实施例的技术方案，充分利用傀儡进程需要先将恶意模块写入正常程序的内存，并设置内存为可执行属性的特点，根据该特点对进程中的子进程进行检测，在对于傀儡进程的识别率和准确率上得到了显著的提升，同时不会被加壳软件干扰误报，有效地解决了病毒长期潜伏导致用户数据被窃取的技术问题。
附图说明
图1是本发明实施例提供的傀儡进程检测方法的流程图；
图2是本发明实施例提供的傀儡进程检测装置的构成框图；
图3是本发明实施例提供的电子设备的结构示意图。
具体实施方式
为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式并参照附图，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。
下面对结合附图对本发明实施例的技术方案进行详细说明。傀儡进程是恶意软件隐藏自身代码的一种常用方式，其通过将恶意代码写入正常的子程序内存来伪装成正常进程。傀儡进程通常通过以下流程实现恶意代码的隐藏：(1)启动并暂停一个被杀毒软件或者其他监测软件认为是正常的子进程。(2)在该正常的子进程中申请新的内存并将该内存设置为可执行属性。(3)将恶意代码模块写入该正常的子进程内存中。
(4)通过SetThreadContext接口将该正常的子进程的执行位置修改为恶意代码模块的入口地址。
(5)使用ResumeThread函数恢复线程的运行。ResumeThread函数的作用是使线程的挂起时间计数减1，通常在创建一个挂起的线程或者手动挂起一个线程后调用。调用该函数后线程不一定会立刻执行，而是由操作系统继续调度，直到计数为0，系统为其分配资源时才开始执行。
根据上文中所述的傀儡进程将恶意代码隐藏至正常子进程的过程，本发明实施例根据要实现傀儡进程需要先将恶意代码模块写入正常程序的内存，并设置内存为可执行属性的特点，来对傀儡进程进行检测。本发明的实施例中，提供了一种傀儡进程检测方法，尤其适用于windows系统下的傀儡进程检测，该检测方法100的流程图如图1所示，包括以下步骤：
S102、监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件。根据上文中所述的傀儡进程隐藏恶意代码的实现流程，本发明实施例该步骤中，监测进程中各子进程的执行进度，当任意一个进程执行至上述实现流程的步骤(5)，即进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，以进入到对于傀儡进程的判断流程。该函数包括功能为恢复线程执行的函数，例如为上文中所述的ResumeThread函数。其中，可移植条件包括：该内存区块头部是否符合可移植的可执行文件(Portable Executable，以下简称“PE”)的头部特征，常见的例如EXE、DLL、OCX、SYS、COM等文件都属于PE文件。可以通过IMAGE_DOS_HEADER结构下的e_nagic标识，或者IMAGE_NT_HEADERS结构下的Signature标识来对PE文件的头部特征进行检测。
S104、根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测。当内存区块头部符合PE文件的头部特征时，对该内存区块进行镜像文件检测。根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测，包括如下步骤：若该内存区块头部符合可移植的可执行(PE)文件的头部特征，则检测该内存区块是否有对应的镜像文件。其中，该镜像文件即PE文件，加载到内存后，此处内存和PE文件路径将被进行记录，进程结构体(EPROCESS)中的虚拟地址描述符(Virtual Address Descriptor，以下简称“VAD”)中存储了进程内存分配信息，从而可查询出内存对应的镜像文件，如果没有查询到，就是没有对应镜像文件的内存。
S106、根据镜像检测的结果，判断该进程是否为傀儡进程。根据镜像检测的结果，判断该进程是否为傀儡进程，包括如下步骤：若在该内存区块中未找到对应的镜像文件，则判断该进程为被利用作为傀儡进程的容器；若在该内存区块中找到对应的镜像文件，则判断该进程为正常进程。在该步骤中，如果没有找到关联的文件镜像文件，则可以确认该进程是被傀儡进程利用，被作为傀儡进程的容器。因为对于正常进程来说，进程当前运行时机主线程还没有得到时机运行时，PE文件加载器不会创建上述特征的内存区域，，即没有镜像关联的可执行内存。从而通过本实施例提供的上述步骤可以实现傀儡进行的检测。
本发明的实施例中，还提供了一种傀儡进程检测装置，尤其适用于windows系统下的傀儡进程检测，该检测装置200的构成框图如图2所示，包括监视模块201、检测模块202和判断模块203。
所述监视模块201，用于监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件。其中，监视模块遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件，包括：若该内存区块头部符合可移植的可执行文件的头部特征，则检测该内存区块是否有对应的镜像文件。
所述检测模块202，用于根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测。
所述判断模块203，用于根据镜像检测的结果，判断该进程是否为傀儡进程。其中，根据镜像检测的结果，判断该进程是否为傀儡进程，包括：若在该内存区块中未找到对应的镜像文件，则判断该进程为被利用作为傀儡进程的容器；若在该内存区块中找到对应的镜像文件，则判断该进程为正常进程。
上述傀儡进程检测装置200中的各个模块的具体功能和操作已经在上述实施例的傀儡进程检测方法中进行了详细介绍，因此，这里将省略其重复描述。
本发明的实施例中，还提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，所述处理器执行所述程序时实现如本发明上述实施例中所述的傀儡进程检测方法。图3所示为本申请该实施例提供的电子设备300的结构示意图。如图3所示，该电子设备300包括：一个或多个处理器301和存储器302；以及存储在存储器302中的计算机可执行指令，可执行指令在被处理器301运行时使得处理器301执行如上述实施例的傀儡进程检测方法。处理器301可以是中央处理单元(CPU)或者具有数据处理能力和/或指令执行能力的其他形式的处理单元，并且可以控制电子设备中的其他组件以执行期望的功能。存储器302可以包括一个或多个计算机程序产品，计算机程序产品可以包括各种形式的计算机可读存储介质，例如易失性存储器和/或非易失性存储器。易失性存储器例如可以包括随机存取存储器(RAM)和/或高速缓冲存储器(cache)等。非易失性存储器例如可以包括只读存储器(ROM)、硬盘、闪存等。在计算机可读存储介质上可以存储一个或多个计算机程序指令，处理器301可以运行程序指令，以实现上文的本发明实施例的傀儡进程检测方法中的步骤以及/或者其他期望的功能。在一些实施例中，电子设备300还可以包括：输入装置303和输出装置304，这些组件通过总线系统和/或其他形式的连接机构(图3中未示出)互连。例如，在该电子设备是单机设备时，该输入装置303可以是通信网络连接器，用于从外部的可移动设备接收所采集的输入信号。此外，该输入设备303还可以包括例如键盘、鼠标、麦克风等。该输出装置304可以向外部输出各种信息，例如可以包括例如显示器、扬声器、打印机、以及通信网络及其所连接的远程输出设备等。
本发明的实施例中，还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如本发明上述实施例中所述的方法中的步骤。计算机可读存储介质可以采用一个或多个可读介质的任意组合。可读介质可以是可读信号介质或者可读存储介质。可读存储介质例如可以包括但不限于电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器((RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
应当理解的是，本发明实施例中的处理器可以为中央处理单元(CentralProcessing Unit，CPU)，该处理器还可以是其他通用处理器、数字信号处理器(DigitalSignal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。
综上所述，本发明实施例涉及一种傀儡进程检测方法、装置、电子设备和存储介质，该傀儡进程检测方法包括：监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件；根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测；根据镜像检测的结果，判断该进程是否为傀儡进程。本发明实施例的技术方案，充分利用傀儡进程需要先将恶意模块写入正常程序的内存，并设置内存为可执行属性的特点，根据该特点对进程中的子进程进行检测，在对于傀儡进程的识别率和准确率上得到了显著的提升，同时不会被加壳软件干扰误报，有效地解决了病毒长期潜伏导致用户数据被窃取的技术问题。
应当理解的是，以上任何实施例的讨论仅为示例性的，并非旨在暗示本发明的范围(包括权利要求)被限于这些例子；在本发明的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本发明一个或多个实施例的不同方面的许多其它变化，为了简明它们没有在细节中提供。本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (10)

1.一种傀儡进程检测方法，其特征在于，包括：
监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件；
根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测；
根据镜像检测的结果，判断该进程是否为傀儡进程。
2.根据权利要求1所述的方法，其特征在于，所述可移植条件包括：
该内存区块头部是否符合可移植的可执行文件的头部特征。
3.根据权利要求2所述的方法，其特征在于，根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测，包括：
若该内存区块头部符合可移植的可执行文件的头部特征，则检测该内存区块是否有对应的镜像文件。
4.根据权利要求1所述的方法，其特征在于，所述函数包括功能为恢复线程执行的函数。
5.根据权利要求3或4所述的方法，其特征在于，根据镜像检测的结果，判断该进程是否为傀儡进程，包括：
若在该内存区块中未找到对应的镜像文件，则判断该进程为被利用作为傀儡进程的容器；
若在该内存区块中找到对应的镜像文件，则判断该进程为正常进程。
6.一种傀儡进程检测装置，其特征在于，包括监视模块、检测模块和判断模块；其中，
所述监视模块，用于监视进程中各子进程的执行进度；当任意一个进程调用函数恢复该子进程所在的线程的运行时，遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件；
所述检测模块，用于根据该内存区块是否符合可移植条件，对该内存区块进行镜像文件检测；
所述判断模块，用于根据镜像检测的结果，判断该进程是否为傀儡进程。
7.根据权利要求6所述的装置，其特征在于，所述监视模块遍历该子进程所有包含可执行属性的内存区块，并判断其是否符合可移植条件，包括：
若该内存区块头部符合可移植的可执行文件的头部特征，则检测该内存区块是否有对应的镜像文件。
8.根据权利要求7所述的装置，其特征在于，所述判断模块根据镜像检测的结果，判断该进程是否为傀儡进程，包括：
若在该内存区块中未找到对应的镜像文件，则判断该进程为被利用作为傀儡进程的容器；
若在该内存区块中找到对应的镜像文件，则判断该进程为正常进程。
9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的可执行指令，其特征在于，所述处理器执行所述程序时实现如权利要求1-5中任一项所述的傀儡进程检测方法。
10.一种计算机可读存储介质，其上存储有计算机可执行指令，其特征在于，所述可执行指令被处理器执行时实现如权利要求1-5中任一项所述的傀儡进程检测方法。
CN202210272614.XA 2022-03-18 2022-03-18 一种傀儡进程检测方法、装置、电子设备和存储介质 Active CN114707149B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210272614.XA CN114707149B (zh) 2022-03-18 2022-03-18 一种傀儡进程检测方法、装置、电子设备和存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210272614.XA CN114707149B (zh) 2022-03-18 2022-03-18 一种傀儡进程检测方法、装置、电子设备和存储介质

Publications (2)

Publication Number Publication Date
CN114707149A true CN114707149A (zh) 2022-07-05
CN114707149B CN114707149B (zh) 2023-04-25

Family

ID=82168979

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210272614.XA Active CN114707149B (zh) 2022-03-18 2022-03-18 一种傀儡进程检测方法、装置、电子设备和存储介质

Country Status (1)

Country Link
CN (1) CN114707149B (zh)

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101183418A (zh) * 2007-12-25 2008-05-21 北京大学 一种Windows隐蔽性恶意软件检测方法
CN107679399A (zh) * 2017-10-19 2018-02-09 郑州云海信息技术有限公司 一种基于容器的恶意代码检测沙盒系统及检测方法
CN108830078A (zh) * 2018-05-09 2018-11-16 中国船舶重工集团公司第七〇四研究所 一种针对工控设备的恶意代码发现方法
CN109583202A (zh) * 2017-09-29 2019-04-05 卡巴斯基实验室股份制公司 用于检测进程的地址空间中的恶意代码的系统和方法
US20190163908A1 (en) * 2017-11-30 2019-05-30 Siemens Aktiengesellschaft Control method and unit of mobile storage devices, and storage medium
CN110837641A (zh) * 2019-11-13 2020-02-25 电子科技大学广东电子信息工程研究院 一种基于内存分析的恶意软件检测方法及检测系统
CN110851824A (zh) * 2019-11-13 2020-02-28 哈尔滨工业大学 一种针对恶意容器的检测方法
CN111177716A (zh) * 2019-06-14 2020-05-19 腾讯科技（深圳）有限公司 一种内存中可执行文件获取方法、装置、设备及存储介质
CN111597553A (zh) * 2020-04-28 2020-08-28 腾讯科技（深圳）有限公司 病毒查杀中的进程处理方法、装置、设备及存储介质

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101183418A (zh) * 2007-12-25 2008-05-21 北京大学 一种Windows隐蔽性恶意软件检测方法
CN109583202A (zh) * 2017-09-29 2019-04-05 卡巴斯基实验室股份制公司 用于检测进程的地址空间中的恶意代码的系统和方法
CN107679399A (zh) * 2017-10-19 2018-02-09 郑州云海信息技术有限公司 一种基于容器的恶意代码检测沙盒系统及检测方法
US20190163908A1 (en) * 2017-11-30 2019-05-30 Siemens Aktiengesellschaft Control method and unit of mobile storage devices, and storage medium
CN108830078A (zh) * 2018-05-09 2018-11-16 中国船舶重工集团公司第七〇四研究所 一种针对工控设备的恶意代码发现方法
CN111177716A (zh) * 2019-06-14 2020-05-19 腾讯科技（深圳）有限公司 一种内存中可执行文件获取方法、装置、设备及存储介质
CN110837641A (zh) * 2019-11-13 2020-02-25 电子科技大学广东电子信息工程研究院 一种基于内存分析的恶意软件检测方法及检测系统
CN110851824A (zh) * 2019-11-13 2020-02-28 哈尔滨工业大学 一种针对恶意容器的检测方法
CN111597553A (zh) * 2020-04-28 2020-08-28 腾讯科技（深圳）有限公司 病毒查杀中的进程处理方法、装置、设备及存储介质

Also Published As

Publication number Publication date
CN114707149B (zh) 2023-04-25

Similar Documents

Publication Publication Date Title
US11586736B2 (en) Systems and methods for detecting malicious processes
US20150213260A1 (en) Device and method for detecting vulnerability attack in program
US9237171B2 (en) System and method for indirect interface monitoring and plumb-lining
US9094451B2 (en) System and method for reducing load on an operating system when executing antivirus operations
JP6829718B2 (ja) 複数のソフトウェアエンティティにわたって悪意あるビヘイビアを追跡するためのシステムおよび方法
RU2627107C2 (ru) Профилирование выполнения кода
KR100645983B1 (ko) 불법 프로세스 검출 모듈 및 그 방법
KR101051722B1 (ko) 모니터 장치, 모니터링 방법 및 그에 관한 하드웨어용 컴퓨터 프로그램 산출물
US8645923B1 (en) Enforcing expected control flow in program execution
US20230144818A1 (en) Malicious software detection based on api trust
WO2015119522A2 (en) Systems and methods for detecting return-oriented programming (rop) exploits
US20210342445A1 (en) Systems and Methods for Identifying Malware Injected into a Memory of a Computing Device
US20150121531A1 (en) System and method for preserving and subsequently restoring emulator state
JP2019521400A (ja) 推測的なエクスプロイトの試みの検出
US20190286820A1 (en) Apparatus and method for detecting container rootkit
KR20090067569A (ko) 가상화 기법을 이용한 윈도우 커널 보호 시스템
US20170286670A1 (en) Malware detection and identification using deviations in one or more operating parameters
CN112231198A (zh) 一种恶意进程调试方法、装置、电子设备及介质
KR102149711B1 (ko) 위장 프로세스를 이용한 랜섬웨어 행위 탐지 및 방지 장치, 이를 위한 방법 및 이 방법을 수행하는 프로그램이 기록된 컴퓨터 판독 가능한 기록매체
EP2881883B1 (en) System and method for reducing load on an operating system when executing antivirus operations
CN114707149B (zh) 一种傀儡进程检测方法、装置、电子设备和存储介质
JP4643201B2 (ja) バッファオーバーフロー脆弱性分析方法、データ処理装置、分析情報提供装置、分析情報抽出処理用プログラムおよび分析情報提供処理用プログラム
KR20110057297A (ko) 악성 봇 동적 분석 시스템 및 방법
KR20220080347A (ko) 서버 모니터링 방법 및 장치
US10809924B2 (en) Executable memory protection

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant