TW445407B - Automated sample creation of polymorphic and non-polymorphic macro viruses - Google Patents

Automated sample creation of polymorphic and non-polymorphic macro viruses Download PDF

Info

Publication number
TW445407B
TW445407B TW087113992A TW87113992A TW445407B TW 445407 B TW445407 B TW 445407B TW 087113992 A TW087113992 A TW 087113992A TW 87113992 A TW87113992 A TW 87113992A TW 445407 B TW445407 B TW 445407B
Authority
TW
Taiwan
Prior art keywords
application
virus
file
macro
window
Prior art date
Application number
TW087113992A
Other languages
English (en)
Inventor
Jean-Michel Yann Boulay
August T Petrillo
Morton Gregory Swimmer
Original Assignee
Ibm
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ibm filed Critical Ibm
Application granted granted Critical
Publication of TW445407B publication Critical patent/TW445407B/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G06F21/564—Static detection by virus signature recognition
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/0703—Error or fault processing not based on redundancy, i.e. by taking additional measures to deal with the error or fault not making use of redundancy in operation, in hardware, or in data representation
    • G06F11/0793—Remedial or corrective actions

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Quality & Reliability (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Stored Programmes (AREA)
  • Debugging And Monitoring (AREA)

Description

4. 45 4-0 7 五、發明說明（l) 請求同在審查中之專利申請案之優先權 此處遵照35 U.S.C. §119(e)請求1997年11月21日由j
Bon lay等提出申請之同在審查中之專利申請案 . 6 0 / 0 6 6, 3 82，發明名稱"多形態和非多形態巨集病毒的自 動樣本產生”之優先權。該案併述於此以供參考。 發明領域： 概略而言本發明係關於自動分析電腦病毒，特別係 產生複數電腦病毒樣本之自動方法及裝置。 ； 發明背景： 、電腦病毒之複製為分析病毒前之首要步驟。若正 _ 複製則可對研究學者提供：（a)證實可疑病毒確實為病主仃 :(b)病毒樣本’而研究者可對該樣本從 = 毒樣本可用以擷取於各例病毒保持不 j,，病 過去數年來已經辨識客锸# 毋食名〇 明崁感興趣之電腦病毒稱作隼 、本發 於於應用程式巨集語言#^ 冴囚為其傾向 病毒相反，# - I# π ί 此係與二進制病毒及開機區 届t相反，後一者係於機器作業系統直旗 電腦巨集病毒需要复曰神 ， 、 焉執订。 '、“應用程式被載入且被激勃& 功能。只要應用程式約棗日I ,咕攸盈執仃 約走。眚Η I咗主 集之操作則此等病毒之功能受 受約束，故允許巨集執行。 旦不扣。之激發幾乎不 當懷疑帶有電腦巨隼佐I ^ μ a ^ 、 果病毒之文件或其他資料樣本（除韭 可能被誤解，$則後文僅稱為,,病 驗 接受分析’要緊地必須由接受到的可疑樣本儘可：產驗生至多
第7頁 Ι1Η C:\Program Files\Patent\54638.ptd d4540 7 五、發明說明（2) 數且多樣化 用程式並執 !行。若未能 疑，則可疑 若可疑病 生的樣本須 成。為了達 種版本包括 原因為同一 進制表現。 徵但仍保有 雖然典型 本，但某些 察得大量分 階段正確分 使用習知 勞力密集過 樣化或數目 響。 多形態巨 程或執行後
I 之樣本 行樣本 產生感 病毒可 毒不會 具有多 成多樣 外國語 應用程 同理病 病毒性 對每個 例中須 歧時， 析與試 辦法之· 程。若 過少， 。傳統 至產生 染檔則 由研究 複製， 種性質 化目的 版本重 式的不 毒於應 質。 應用程 產生更 需要多 驗。 問題為 採行捷 此等缺 之進行方式係將樣本載入適當應 感染插（本身的額外複本）人工進 稱該病毒非病毒。若對分析有懷 者人工剖析決定病毒性質。 則要緊地須產生足量樣本，及產 。此可藉多種勞力密集方法達 ’研究者可於目標應用種式之多 複複製過程。埤乃重要考慮點， 同版本可產生相同病毒之不同二 用程式之不同版本可產生不_同特 式版本無需產生多於例如6個樣 大量樣本。特別若巨集文件間觀 產生一倍版本來確保於稍後分析 若確切進行則病毒分斬為冗長的 徑則產生的樣本數目可能不夠多 點可能對隨後之分析造成負面影 參照以下 集病毒為一種可”突變"的病毒，亦即於執行過 改變病毒碼而使其更難與原先病毒版本比較3 共同讓予之美國專利案教示多種電腦病毒（不 疋巨集病毒）之檢測、去除及通知技術：1995年.8月8曰 專利.5,440,7.23名稱11電腦及電腦網路之自動 丨獲頒之美國
C:\Program Files\Patent\54638. ptd 第8頁
4.4-5 40 T 五、發明說明（3) ! 免疫系統π發明人Arno Id等；1 99 5年9月19日獲頒之美國專 利5，432,442名稱"評估及擷取電腦病毒及其他非期望軟體i 實體之簽名之方法及裝置”發明人Kephart ; 1996年1月16 曰獲頒之美國專利5, 485, 5 7 5名稱”電腦病毒結構之自動分 析及附著於其寄主之裝置"發明人Chess等；1996年11月5 曰獲頒之美國專利5, 5 72, 5 9 0名稱使用多個簽名區別惡性 改變與數位資訊”發明人Chess ;及1997年3月18日獲頒之 美國專利5，613，002名稱以電腦病毒感染之程式之解除感 染”發明人Kephart等。此等共同讓予本受讓人之美國專利 案之揭示内容併述於此以供參考，只要其揭示内容未與本 發明之教示衝突即可。 ’ 發明目的及優點： ‘ 本發明之第一目的及優點係提供一種可自動複製電腦病 毒特別巨集病毒之方法及系統。 本發明之另一目的及優點係提供一種可自動複製可疑巨j 集病毒之方法及系統’故可產生多樣化感染檔族群而輔助 可疑巨集病毒之分析’藉此提高檢測與辨識多形態巨集病 i毒之存在之機率。 發明概述 前述及其他問題皆可藉由實現根據本發明之具體例之方| 法及裝置之目的及優點克服’其中提供產生尽量多樣化可| i疑病毒樣本之自動化方法俾許可充分分析病毒。 | 本發明之方法係控制病毋固有之應用程式因而產生具有； 丨高成功率之樣本。該方法於多種應用程式版本產生樣本，丨 ! + !
C:\Program Files\Patent\54638. ptd 第 9 頁 44540 7 五、發明說明（4) 該等樣本產 病毒之不同 化為例，該 此處揭示 電腦巨集病 生可疑病毒 入如按鍵， 指令複製可 通過以該應 為，犧牲，於 系列指令包 通訊指令複 額外感染試 之步驟，及 之步驟至少 作為平行 例如由應用 用至少一個 視窗。藉此 止。 複製步驟 指令例如應 步驟。 複製步驟 生病毒 文字呈 方法可 —種自 毒之系 樣本； 滑鼠點 疑病毒 用程式 病毒之 含至少 製受感 驗檔。 該等執 部分係 方法， 程式之 棋擬按 方式複 之不同呈現及/或不同表現，結果導致 現。以病毒於病毒文字產生蓄音隨機變 辨識此種情況及產生額外樣本β 動產生至少一例應用程式之固有或關聯 統及方法。該方法包括下列步驟（3)產 及（b)使用包含至少一種模擬使用者輸 選等之程式順序或交互處理通訊GPC) 樣本於至少一個試驗檔’供執行試驗檔 而產生可疑試驗檔。試驗檔於此處考慮 檔。該方法進一步包括步驟（c)使用一 一個模擬使用者輸入如按鍵或交互處理 染的試驗棺於至少另一個試驗檔巧產生 該提供步驟包括決定可疑病毒樣本屬性 行模擬使用者輪入或交互處理通訊指令 基於決定屬性選擇。… 執行步驟包括檢測視窗之出現之步驟， 巨集病毒之一開啟的跳出視窗，然後使 鍵或父互處理通訊指令關閉該被開啟的 製過程不會被需要使用者輸入的視窗中 各自包含解譯複數腳本而產生一系列應用程式 用程式開啟，應用程式關閉及文件操縱指令之 包括比較經過執行之試驗檔與獲得之試驗檔複
C:\Program Files\Patent\54638. ptd 第10頁 ^45407 五、發明說明（5) ! i 丨本而檢測試驗棺之修改，例如存在巨集之修改或新巨集於 試驗檔之產生，及宣佈此種受改變的試驗檔為感染試驗檔 因而產生一例供隨後分析用之巨集病毒。 圖式之簡單說明 丨
前述及其他本發明之特點由隨後發明之詳細說明連同附I
. I 圖研讀將顯然易明，附圖中： 圖1為根據本發明之萬用巨集病毒複製方法之邏輯流程 圖， 圖2為處理指令檔之方法之邏輯流程圖； 圖3為執行檔操縱指令之方法之邏輯流程圖，該方法構 成圖2方法之一部分； , -♦ 圖4為執行指令之衛生檢查之方法之邏輯流程圖，；1¾方 丨 法構成圖3方法之一部分； '… 圖5為跳出視窗殺手常式之邏輯流程圖，該常式係由圖2 ： i方法起始且與圖2方法平行執行； … | 圖6為系統恢復方法之邏輯流程圖； 丨 圖7為複製樣本方法之邏輯流程圖，其構成圖1所示方法j 之一部分；及 i 圖8為根據本發明之教示之樣本複製系統之高階方塊 i :圖。 I i 發明之詳細說明 ! ^ ! ! 發明之範例具體例中，感興趣之應用程式亦即*可支援丨 受到病毒感染之巨集語言之應用程式安裝於例如於微軟視 i窗NTtm執行的個人電腦上。但提供正確功能執行該應用程 丨
C:\Program Files\Pateat\54638.ptd 第 il 頁 Λ45407 ;五、發明說明（6) ί I ! I式之作業系統較佳用於實施本發明。可發送動態資料交換| | (DDE)及物件鍵结與嵌入（〇LE)(二者皆為交互處理通訊指 | •令之例）及系統指令以及發送模擬使用者輸入如鍵盤及滑| 鼠輸入之聊本語言較佳用來控制應用程式β應用程式係於|
腳本控制下執行’若病毒錯誤或任何其他錯誤造成應用程I 式異常終止或"中止”時也確保應用程式結束。該腳本也可丨 丨檢測由病毒出現跳出視窗或應用程式必須關閉俾使複製引j I擎（參考圖ί)繼續準確執行之例。 | | 一般而言’硬體環境為可供該應用程式及應用程式所依| 賴之作業系統寄居之環境。硬體可為（IBM)個人電腦附有 丨 i例如英代爾8 0 38 6相容中央處理單元（CPU)，或可為蘋果麥； 金塔電腦或威力PCTM CPU。但僅舉出數例，需瞭解本發明 之用途非僅限於此等硬體具體例，可優異地使用可執行感| 丨興趣之應用程式之任一種硬體平臺。 |本發明之教示將於稱作Microsoft WordTM之應.用程式說 丨明，該程式用作複製過程的感染目標。再度絕非限制例， 丨本發明之教示可以類似方式應用於其他使用巨集語言例如 Microsoft ElxceT"之應用程式。資料處理業界人士容易瞭 解後文詳細說明方法可應用於多種應用程式俾成功地複製-:對該應用程式寫出的病毒。 |本發明至少部分於腳本具體表現，該腳本吊於控制應用 |程式及監控系統。適當腳本語言包括C、perl及Visual :Basi c ，其容許存取微軟視窗DDE應用程式規劃介、.面（API) 及微軟視窗OLE API ’如同微軟視窗系統介面其許可模擬
C:\PrograraFiles\Patent\54638.ptd 第 12 頁 44540 7 五 '發明說明（7) 按鍵及滑鼠2選發送給應用程式。但業界人士瞭解此僅為 I g腳本m β之例，其他腳本語言可優異地個別或組合使 用如業界人士已知腳本較佳以聊本集合執行。 隨後說明中腳本構成複^丨擎（RE)之一部分。 參照圖8所示構想方塊圖，電腦系統1包括：作業系統 (0S)2如微軟視窗NT ;複製？丨擎3其於較佳具體例包含腳本 語言之解譯器3A及腳本3β本身；感興趣之應用程式4如微 軟Word及待分析之資料樣本如含至少一種典型複數巨集之 文件D(巨集1、巨集2、…巨集n)，各自顯示關聯有病毒。 受感染的巨集（本例為巨集2)於此處稱作巨集病毒6或.簡稱 病毒6。 一方面，R£ 3作動而自動模擬使用·者與應用程式4$互 動’經由編譯腳本代表指令檔中個別指令.及產生模擬輸入 如按鍵’滑鼠活動等供執行應用程式4及巨集5嘗試制激巨 集病毒6具有病毒表現。此外RE 3可使用交互處理通訊指 令（於指令檔規定）替代模擬輸入等，此種情況出現於無法 提供期望結果或為較佳。指令檔之指令也代表模擬輸入與 交互處理通訊指令之組合。期望目標為產生額外且較诖夕-樣化之病毒樣本6顯示為複數受感染試驗檔7 β然 a 、夕 之試驗檔7可進一步分析，此乃期望結果。RE 3’y古^感染-執行已知可觸發複製之指令而激發病毒6複製。試藉由 例如Microsoft Word中後文簡稱為‘Word’巨集 成兩類巨集：自動巨集及標準巨集。自動巨集係由$可分 動執行’當Word開始時（自動執行）’ Word關閉日士W〇rd '自 ^自動退
4 45^0 7 五、發明說明（8) I出），Word開啟文件時（自動開啟）’Word關閉文件時（自動 關閉）及Word基於模版產生文件時（自動開新檔案）。 | 自動巨集對於寫病毒程式者極具吸引力，原因為其限制 使用者於操縱文件時觸發感染作業機構所需作用量及類 型。 若標準巨集具有内建word指令名稱’則於使用者點選該 指令相關項目選單或鍵入該指令之鍵盤捷徑時運作。 例如若具有存樓巨集之文件MW〇rd英文版被激發時，此i 巨集將於使用者每次點選檔案項目單中之儲存時或按下控 制鍵於S鍵時運作。標準巨集也可由其他巨集呼叫或由指 定的鍵盤捷徑。 根據 操作針 用包括 不同名 模擬 指令關 巨集而 下控制 種方式 下控制 開啟之 模擬按 鍵盤 本發明之教示’複製過程包^以多數檔案執行多種 對呼叫病毒6之標準巨集及觸發自'動巨集。此等作 :開始Word，退出Word ’開啟檔案，儲存檔案，以 稱儲存檔案，關閉檔案，產生新檔'及寫入文字檔。 按鍵係以兩種方式使用。第一方式係模擬若干^以 聯之捷徑鍵之按鍵，該等指令可，叫或觸發病毒6 使其複製。例如若病毒6含有開啟檔案巨集，則按 鍵和〇呼叫英文版ff〇rd病毒6之檔案開啟巨集。第二 係由W〇rd顯示之某些對話盒發送要求資訊^例如& 鍵和〇典型造成對話盒出現，其中使用者將鍵入待 檔案名稱及位置，RE 3等候此種視窗顯 鍵發送要求資訊。 鍵係經由Win32 ΑΡί發送特殊視窗訊息至對話盒模
C:\Program Files\Patent\54638. ptd 44540 7 五 '發明說明（9) 擬’或使用若干程式規劃語言提供之内建功钛π "与t* %擬。 資料動態交換（DDE)用於發送WordBasic指令至 後執行指令。通常DDE用於微軟視窗呈交互虚^ 2 〇rd其隨 L. 地理通訊形 式’其使用共享記憶體而於各應用程式間交# , 又供貝訊。廡田 程式可使用DDE做一次資料移轉以及繼續交拖另s * 题用 Ί为叹·灵新資 料。以本發明教示使用DDE可出現兩種作用： 、八J边使W Q γ~ d 直接執行若干經由病毒6執行時可能產生錯誤的指a (B)遨遊過檔案而編輯其内容。 及 參照第一類型作用’當指令經由DΠΕ發送時，其係由 Word内建指令執行而未觸發標準巨集，於執行其他'指令 前，自動巨集可防止由發送失能自$巨集DDE指令觸"發7。 然後再度執行失能自動巨集而致能^動巨集。 此等類型作用可用於克制巨集病毒之某些問題，否則將 造成複製方法失敗。例如英文版Word之指定巨集病毒6可 能含有訛誤巨集，其於對檔執行特殊動作.例如=啟毋存°檔 或關閉時產生錯誤。但通過DDE發送開啟、存檔或關閉指 令可繞過訛誤巨集而使處理可繼續進行。 至於第二動作，亦即遨遊通過檔及編輯其内容，注意若 干WordBasic指令可使游標移動至檔案终點或起點，可"用。 =希望添加文字至試驗檔時，因而更可模擬病毒6可能注 思之正常使用者打為範圍。相同效果可使用物件鏈結與嵌 入（0LE)指令獲得，但Word可能命令經由DDE而非經由〇LE 關機。如前述DDE及OLE為可能交互處理通訊指令之例。.但 j任何適當類型之交互處理通訊皆可用於執行本發明之教
C:\Program Fi1es\Parent\54638.ptd 第 15 頁 445407 五 '發明說明（10) 示。 如箾述’RE 3之較佳具體例包含脚本語言之解譯器a及 腳本3B本身。業界人士瞭解相同效果可以不同方式達成。 例如可使用單晶程式達成0 本發明之較佳具體例也可使用多種資料庫3C。又參照圖 8，資料庫包括下列：（a )試驗檔資料庫8，其儲存用於複 製處理的代號與活化及備份試驗檔8複本如文件間之交又 參考，（B)指令交又參考資料庫9，其以按鍵及D])e指令之 國語版本交叉參考一個指令；及（C )標準視窗資料庫丨〇， 其含有多種常規對話盒及視窗之識別資訊以及與視窗互動 所需的適當按鍵。記憶體位置也用於儲存應用程式之處理 ID及視窗柄稱作區塊11及w〇rd活性變數12。此等儲存 資料之使用容後詳述。 ； 試驗稽8Α包含Word檔，其彼此間有顯著差異而可分歧樣 本產生結果並獲得最大感染機會。其可屬-於不同類型（文 件模版及萬用模版）且含一或多個巨集或不含巨集。文件 大小可不同及可含有不同内文。 RE 3始於‘乾淨’系統丨及可疑病毒6樣本後文簡稱為樣-本。現在參照圖1 ’於1 1決定樣本屬性例如文件語言及類、 型（例如模版或平面文件）。此資訊用於使複製處理最適 化’及選擇Word之正確國語版本，按鍵及DDE指令。某些 例中’此等資訊可提供以樣本’否則該資訊於丨.1藉分析 樣本演釋。 病毒樣本可提供作為不同類型檔之一。病毒樣本載入複
44540 7 !五、發明說明（II) 數所需指令集合之方式依據類型而定，此種情況下，各種 I類型具有關聯的特定複製指令集合。 I用於fford病毒’病毒樣本可為文件模版，萬用模版或 (對於某些Word版本）文件。文件為使用者於應用程式開啟 及使用者的寫入内文之檔案。其含有對最新進w〇rd版本之 訂製程式（例如巨集）^文件模版為使用者創造的檔案，其 中使用者儲存訂製程式（例如巨集）。此等訂製程式於模版 為活性時具有被活化。使用者也可將内文寫入模版。萬用 模版為特殊模版，其中ff〇rd儲存訂製程式（例如巨集）其於 執行Word時必須呈活性。其於開始時自動由Word載入.而無 需使用者的介入《若樣本為文件模脲或文件，則一旦執行 Word文件被開啟。若樣本為萬用模版，則w〇rd之萬用模版 i於執行Word前以樣本替代。 ' ‘ I對於平面文件及文件模版處理略有不同。步驟1,2中若| 已知樣本類型則確定方法。若為是則複製前進於步驟 i I 1.3(參考圖7)。若未知樣本類型則於步驟14嘗試複製樣| :本於文件。若無法成功產生受感染的試驗檔（步驟1,5)， ! !則於步驟1,6嘗試複製樣本為萬用模版。若失敗（步驟 | 丨1.7)，則樣本最可能非為病毒6而標記供於步驟丄8人工| 析。 丨 I戸可識別為藉檢測現有巨集之變化或”或創作新i 丨不#木。例如某些病毒可未感染檔而改變檔，單純修改i |,1、内文"此種病毋稱作122〇^〇]^病毒其任意添加 | i wazzu至文件内文。但此種病毒也可能複製稱作，自動關|
C：\Program Fi ies\Patent\54638. ptd
445407 五、發明說明（12) ：閉的巨集而感染文件。繼續說明此例’特定試驗檔若發 !現先前未存在的自動關閉巨集則辨識為受感染，或發現原| 丨先存在的自動關閉巨集已經被Wazzu Word病毒自動關閉巨| j集改寫則視為受感染。 | !若感染試驗擋7於步驟1.9、1，5或1.7產生，則於步驟丄 i 10決定是否產生足量供分析之感染試驗檔7。感染試驗檔7 丨之實際分析並未構成本發明之一部分於此不再詳加說明。 |感染試驗檔7之正確數目依據病毒6性質以及使用之分析方 i法而定。通常5或6感染試驗檔即足供分析，但可使用更夕 i或更少檔。 > I 為了產生進一步樣本（及進一步之·樣本世代），較佳使用i 感染試驗檔7而非使用原始樣本來重·複複製過程。此種情| i況下，於步驟1.12選擇感染試驗檔之一 v控制其返回步a驟| j 1.3 =然後該方法使用於步驟丨.；！演繹出或步驟14及^ ^分| i析出之屬性重複進行通過目前感染試驗檔樣本匯集物 I 驟 1.3、1_10、1.11'1.12)。 ，、 ^ I 樣本無法充分複製可由步騾1.11缺乏足量樣本決定。n | |能之起因為病毒6受損3但此種情況較佳於步驟1 8以人工i |判定。同理若於步驟丨· 4*16發現未產生感.染試驗檔，=| |指示要求人工分析。 」： 丨 由於基本上無法判定指定樣本是否為病毒6，若本呈 i例敘述之處理失敗，則無法單純假定樣本非為病毒但可处 丨非為病毒。如此需要人工分析。 _此 !現在參照圖7有關複製過程之討論，參照圖丨之步驟
4 4,5 40 7 五、發明說明（13) 1.3、1.4及1.6。複製包含載入指令檔其匹配病毒6屬性及 於步驟7. 1於解譯器執行（參考圖2)。然後個別指令檔的指 令被編譯，又嘗試複製病毒6。處理後’方法比較試驗檔 8A之備份複本與使用試驗檔資料庫8之活性試驗棺（7. 2)。 試驗檔資料庫8與用於複製過程之試驗檔8A(活性）有交互 關聯具有由存取Word所得儲存之保護複本。工具用以比較 試驗檔巨集區’其指示是否試驗檔受感染。若於步驟八3 發現若干試驗檔受感染’則系統恢復於步驟7. 4 (參考圖6 ) 進行返回。若於步驟7. 3並未發現試驗檔受感染’則該方 法於步驟7. 5決定是否存在有不同指令標其匹配病毒6之屬 性。若是則控制返回步驟7. 1，否則，系統恢復於步驟7. 6並 Λ 以‘無感染試驗檔’產生指令進行返回》 / 現在參照圖2，指令檔解譯器3Α始於步驟2. 1，載入試驗 檔資料庫8其也含有用於指令檔標示試驗檔8Α之代號。其 次於步驟2. 2讀取第一指令及於步驟2. 3決1定指令屬性。指 令可為操控檔案的尋常指令*開始W 〇 r d指令或關閉W 〇 r d指 令。 若指令係開始Word則前進至步驟2, 4”硬性"關閉任何目 前正在執行的Word。’’硬性”關閉表示指令檔解譯器3 A使用 視窗AP I呼叫而殺死處理，此乃最保險的關閉處理方法。 然後Word於步驟2. 5開始及於步驟2. 6找出處理ID及視窗柄 及於步騾2 · 7儲存於記憶體區塊1 1。然後於步驟2 . 8開始跳 出殺手（參考圖5)其使用Word視窗柄定位Word原始_複本3 此種過程係與主複製過程平行進行，可負責去除典型由於
C:\Program Files\Patent\54638. ptd 第 19 頁 五 '發明說明（14) 病毒6活性結果可能出現的迷途跳出視窗，而該視窗係無 法由指令檔解譯器3Α本身處理。 若於步驟2. 3決定指令為關閉w〇rd指令則首先f試”軟性 關閉手段。於步驟2, 9鍵盤焦點基於先前儲存的處理id及 視窗柄11設定為原始W〇r(i例，於步驟2. 1 〇發送適當按鍵至 該例Word而關閉Word。首先嘗試使用此種方法而更能模擬 正常使用者行為，許可任何預期可接受此種按鍵來感染或 完成感染的病毒6。 若於步驟2 · 11判定Word藉此種技術關閉，則此處理完 成，控制進入步驟2. 1 8 »若Word未關閉，則於步驟2. 12嘗 試使用DDE關閉Word而失能自動巨集及隨後關閉tf0rd。此 種辦法對於某些病毒巨集干擾W〇rd i確結朿時為較佳， DDE許可Word自然終結但可防止巨集病毒的干擾。若於步 驟2. 13決定Word關閉，則控制進入步驟2. 18。若Word仍未 關閉則於步騾2. 14執行硬性關閉（參考步驟2. 4)-。 若於步騾2. 3決定指令為尋常Wor d指令，則控制進入步 驟2 _ 1 5執行指令（參考圖3 )，然後進入步驟2, 1 6判定被操 縱的試驗檔名稱是否改變，試驗檔名稱係由指令之.增值決― 定°若是則於步驟2 , 1 7更新試驗檔資料庫8及控制進入步- 驟2·18 。 文件試驗檔受病毒感染偶爾導致試驗檔名辦之字尾改 變’可能變成‘dot ’而非‘doc ’ 。若發生此種改變則於 步驟2, 17更新試驗檔資料庫8及控制進入步驟2, 18_。若出· 現任何其他變化例如由‘anydoc. doc ’變成
C：\Program Fi1es\Patent\54638.ptd 苐 20 頁 五'發明說明（15) ‘document doc ’ ，則RE 3推定發生某種類型之故障而忽 略該變化。 於步驟2. 18，指令檔解譯器3A決定是否存在有另—個指 令。若是，則控制返回步驟2. 2執行次一指令，否則控制 返回呼叫常式。 現在參照圖3說明於圖2步驟2, 15執行有關檔操縱指令執 行方法。當編譯指令時，步驟3. 1使用之方法由指令交又 參考資料庫9及樣本屬性擷取適當按鍵《指令交又參考資 料庫9包含按鍵DDE指令表（以列及欄格式表示），此處各欄 表示Word版本及各列表示指令.因需要不同按鍵用於不同 國語及其他Word版本故使用指令交冬參考資料庫9，如同 本發明使用之多種程式般。DDE指令*也交叉參考供稍後使 用。 、 亦即扣令是否正確執 行至次一指令。否則 發送按鍵。 否預期為視窗。若是 真正出現。若是，則 結顯示視窗。此時須 仍然存在。若是’則 令之主張（空自主張g 功。若於步騾3, 7決突 ，於此處執行、硬性關 出現預期的視窗， 於步騾3.2，若指令之衛生檢查， 行（參考圖4)。若檢查失敗則方法進 於步驟3. 3鍵盤焦點設定為Word例及 於步驟3.4判定接受處理的指令是 則於步驟3, 5檢查判定預期視窗是否 控制進入步驟3. S發送要求的按鍵終 移開視窗，於步驟3. 7決定視窗是否 控制進入步驟3_ 8使用伴隨大部分指 常藉著内設而為真）決定指令是 視窗仍然存在，則控制進入步驟3 9 閉視窗。它方面，若於步驟3 5並未
C:\Program Γϊles\Patent\54638. ptd
五、發明說明（16) 於步驟3, 9出現視窗但已經被硬性關閉，或若於步驟3 8判 定主張失敗，則控制進入步驟3· 1〇而擷取等於指令之‘ DDE，失能自動巨集，發送指令然後致能自動巨集。隨後 返回處理下一指令。 可採用多種技術來決定視窗的存在的現況。例如tfin32 API提供許多功能來操縱視窗。若干功能例如FindWindQws 及FmdWindowsEx於存在有此種視窗時返回具有特殊特徵 (名稱，類別，處理等）之視窗處理（識別編號）。另—種功 能GetLastActivePopup擷取由特定處理產生之最末跳出視 窗處理。其他功能返回視窗性質，提供其處理。 根據本發明之一方面，跳出殺手使用此種功能判定粍d 是否產生跳出視窗，獲得決定視窗‘否為常規視窗之 視窗特徵（例如名稱及類別）。 ' 7 RE 3可使用相同功能但Re 3並非決定視窗是否為常規視 窗，反而決定視窗是否為預期視窗。- 參照圖4，衛生檢查（圖3步驟3· 2)本身牽涉第一步驟 4.1，使用試驗檔資料庫8由處理擷取試驗檀名稱，及於步 驟4, 2檢查原始例是否使用預先儲存的處理id及視窗 處理11仍然運作。#非屬此種情況，則返回且附有錯誤指 Μ運作’則方法前進至步郵4.3判定 曰7貝右％ 7晕涉開啟檔’則執行步驟4. 4判定目標 稽是否可開啟供讀寫存取。#是則返回而附以成功指示， 否則返回而附有錯誤“。若指令並非涉及操縱檔，則控 制進入步驟4, 5判定择始；+ & 锦縱之文件是否同目前载於Word的文
4 4δ 4>〇 1 五、發明說明（17) 交互處理通訊指令查 否則返回而附有錯誤指 若是則返回附有成功指示 件《目前文件可使用系統呼叫或藉 個檔 則方法即刻退出附有成 示。若指令益非涉及產生 功指示。 前文说明係參照恢復系統（例如阁7止 砝夕日沾在生私V V 1如圖7步驟7, 4及7. 6)。恢
復乐統之目的係清除任何殘餘佐* D 货届毒6之複製引鼙3。現在參 照圖6，於步驟6. 1全部Word例皆鈾" Ψ 』一— 白破硬性"關閉》於步驟6. 2系統Word已經存取的檔案系统部 ^ ^ !刀错由去除全部額外檔 及以備份複本替代被改變的槽而被,，磨除”。最後於步驟6· 3系統使用者恢復其原先狀態。 現在對目前較佳之處理跳出視窗進行說明。當病毒的寄 主應用程式係藉主複製法執行時，出現某些對話盒及跳出 視窗。此種視窗屬於多種類別。例如標準_視窗係由回應於 指令需要某種資訊之應用程式產生（例如於英文版粍以， 當使用者選擇由檔案項目單開啟檔或當使-用者壓下控制鍵 和〇鍵開啟棺時出現開殷對話盒）。另一例中，視窗可藉病 毒6產生。此等視窗要求使用者的介入（點選按鈕或按壓按 鍵），否則终止R E 3之自動執行。 若視窗為標準視窗，則RE 3之主複製過程於標準視窗資 料庫1 0存取關閉視窗所需資訊，使用例如前述模挺發 送該資訊至視窗。自若視窗係來自於病毒或馬無法關閉的 標準視窗，則需關閉視窗來致能進行自動複製處理。鲈出 殺手常式（始於圖1步驟2. 8 )其回應於視窗的關閉與“ ^之 其他操作並行執行。
C:\Program Files\Patent\54638. ptd 五、發明說明（18) 跳出殺手也回應於另外兩種任務，其目的係防止RE 3故 障終止。其他任務係發現未知Word例執行時殺死（终止）未 知Word例，若發現Word將要故障終止時殺死Word。本發明 中當Word —致無法開啟檔案或關閉目前檔案時則視為Word 失活化。RE 3測量目前檔案開啟多久或並未開啟任何檔案 經過多久而瞭解此種情況。又就此方面而言若Word故障終 止，則無法對RE 3發送的指令正確反應。例如當RE 3發送 DDE指令給Word時，其等候來自〇S 2之信號指示應用程式 接收指令。若Word故障終止而未發送指令，則RE 3將無限 期的等候’除非被定期器或若干其他機搆终止。但若w〇rd 未運作’則由OS 2即刻發送錯誤碼返回RE 3，其可重建作 業。如前文討論’此等先前例係由；^成RE 3執行指令的腳 本處理> 、 ； 當於圖1步驟2.8首先啟動Word時，跳出殺手常式被引 發。參照圖5，包含始於步驟5. 1之迴路而關閉所有未知之 Word例（亦即不具有對應處理11}及視窗處理u之例）。然後 於步驟5. 2判疋疋否預定〇 r d例仍在執行。若否則常式退 出。若預定Word例仍然在執行，則於步驟5. 3使用粍rd活 性變數1 2決定Word是否已經執行或已經失活化超過一段預 定時間。此步驟涉及檢查及更新w〇rd活動之硬體或軟體定 時器以及總Word執行時間。若w〇rd&經執行過長時間或已 經失活化過長時間，則於步驟5> 4硬性關閉及常式終結’ 否則於步驟5. 5判定存在有跳出視窗。若無跳出視心κ 步驟5, 6檢查活性檔案是否已改變’該種情況下，於步驟
C:\Program Files\Patent\54638.ptd 第24頁 Δ454ϋ 7 五、發明說明（19) 5. 7設定Word活性變數12指示Word為活性。否則於步驟5. 8 設定W 〇 r d活性變數1 2指示W 〇 r d無活性。任一種情況下，控 制於步驟5.1返回迴路頂端。Word活性變數12用於步驟 5. 3，如前述。 若於步驟5. 5判定跳出視窗已經出現，則控制進入步驟 5, 9 ’使用前述一種或多種視窗相關功能判定跳出視窗是 否為標準視窗資料庫1 〇中列舉的標準視窗。若跳出視窗為 列舉視窗，則假定存在有跳出視窗係由於主執行處理結 果。此種情況下於步驟5. 1 〇延遲供關閉視窗。於步驟5 !丄 判定跳出視窗是否仍然存在。若仍然存在則視窗被硬性關 閉如同於步驟5. 9該跳出視窗未見於標準視窗資料庫1 〇時 該視窗亦關閉。控制進入步驟5· 7。硬性關閉跳出視窗可 札示跳出視齒於未預期出現時出現，或跳出視窗無法以正 常方式關閉。若於步驟5. 11發現經過步驟5,ι〇之時間延遲 後視窗”自然"關閉’則控制進入步驟5· 7設定w〇rd活性 數1 2指示W 〇 r d活性。 顯然本發明之教示提供供經由使用模擬使用者輸入如按 鍵，滑鼠點選等以及經由使用交互處理通訊指令及典型使 用者無法利用之系統階層指令提供複製£ f病毒之^ 用技術及系統。 雖然前文已經特別參照較佳具體例說明本弩明，但業界 人士顯然易知可未悖離本發明之範圍及精髓對形式及細 上做出多種變化。 v
C:\Program Fiies\Patent\54638,ptd 第25頁

Claims (1)

  1. d4B AU 7 六、申請專利範圍 1. 一種自動產生至少一例與一應用程式有關的電腦巨集 病毒之方法，該方法包含下列步驟： 提供一可疑病毒樣本；及 使用至少一模擬過的使用者輸入或交互處理通訊指令 複製可疑病毒樣本於至少一試驗檔上，用以經由該應用程 式執行試驗檔而因而產生感染試驗檔。 2. 如申請專利範圍第1項之方法，其進一步包含下述步 驟： 使用至少一模擬過的使用者輸入或交互處理通訊指令 複製被感染的試驗檔於至少另一個試驗檔上，而產生一個 額外受感染的試驗檔。 3. 如申請專利範圍第2項之方法，其中該提供步騾良括 一個決定可疑病毒樣本屬性之步驟，且其中該執行模擬使 用者輸入或交互處理通訊指令之步騾至少部分係基於所決 定的屬性而選擇。 —_ 4. 如申請專利範圍第2項之方法，其中該執行步騾包括 下列步驟： 檢測由應用程式或巨集病毒之一開啟的視窗出現；及 使用模擬使用者輸入或交互處理通訊指令中之至少一 者關閉該被開啟的視窗。 5. 如申請專利範圍第2項之方法，其中該等^复製步驟各 自包括一個解譯複數稿本而產生複數應用程式指令之步 驟。 、-. 6. 如申請專利範圍第5項之方法，其中該應用程式指令
    C:\Program Files\Patent\54638. ptd 第26頁 44540 7 P'申請專利宛圍 ~~~ ' i ! ί I包含應用程式開啟，應用程式關閉及文件操縱指令。 | 7, 如申請專利範圍第2項之方法，其中該等複製步称包 括一個比較被執行的試驗檔與試驗檔之安全複本，俾檢測 新巨集的產生或修改正在執行試驗檔中之現有巨集，及宣 佈已改變的試驗檔為受感染的試驗檔之步驟。 i i 8. —種自動產生與一應用程式有關之至少一例電腦巨集 病毒用之系統’包含一供儲存應用程式的記憶體，一含有 至少一巨集的可疑樣本，一包含表示一應用程式指令檔案 及一指令解譯器的複數稿本的複製引擎，複數試驗檔及包 含一資料庫供儲存至少可表示執行某種指令所需預定1使用| 者輪入資訊的諸資料庫；該複製引擎操作而解譯該指令檔 |案’用以產生複數個應用程式指令’及用以發送對馬預定i 模擬使用者輸入或交互處理通訊指令中之至少一者，’供透i 丨過該應用程式執行一試驗檀；該系統尚包含裝置供比較一 |已執行的試驗檔與其安全複本以檢測新£集的產生或被執Ϊ 行的試驗檔中現有巨集之修改’及供宣佈被修改的試驗檔丨 為含有已複製的巨集病毒之受感染試驗檔。 | ί 9.如申請專利範圍第8項之系統，其中該複製引擎又進 I —步操作使用對應預定模擬使用者輸入或交:互處理通訊指-丨 |令中之至少一者，供複製一可疑試驗檔於至少另一試驗檔； 上’提供另一世代巨集病毒。 ! 10·如申請專利範圍第8項之系統，其進一步包含決定可丨 疑病毒樣本屬性之裝置，及其中該解譯器至少部分係基於 決疋的屬性而選擇使用者輸入或交互處理通訊指令。
    C:\ProgramFiles\Patent\54638.ptd 第 27 頁 ^45 40 7 I六、申請專利範圍 ! 丨 11.如申請專利範圍第8項之系統，其進一步包含檢測由丨 ! !應用程式或巨集中之一者開啟之視窗出現之裝置，該裝置； | j |係與解譯器平行操作，用以根據視窗資料庫決定被開啟的i 視窗是否為標準視窗，及用以使用模擬使用者輸入或交互 處理通訊指令中之至少一者關閉被開啟的視窗。 1 2.如申請專利範圍第8項之系統 > 其中該應用程式指令 包含應用程式開啟，應用程式關閉及文件操縱指令。 1 3.如申請專利範圍第9項之系統，其中該巨集病毒為多 形態巨集病毒，且其中該巨集病毒之另一世代係與已複製 的巨集病毒不同。 -
    C:\Program Files\Patent\54638. ptd 第28頁
TW087113992A 1997-11-21 1998-08-25 Automated sample creation of polymorphic and non-polymorphic macro viruses TW445407B (en)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US6638297P 1997-11-21 1997-11-21
US09/041,493 US6108799A (en) 1997-11-21 1998-03-12 Automated sample creation of polymorphic and non-polymorphic marcro viruses

Publications (1)

Publication Number Publication Date
TW445407B true TW445407B (en) 2001-07-11

Family

ID=26718198

Family Applications (1)

Application Number Title Priority Date Filing Date
TW087113992A TW445407B (en) 1997-11-21 1998-08-25 Automated sample creation of polymorphic and non-polymorphic macro viruses

Country Status (6)

Country Link
US (1) US6108799A (zh)
EP (1) EP0918285B1 (zh)
JP (1) JP3079087B2 (zh)
KR (1) KR19990044887A (zh)
DE (1) DE69812545T2 (zh)
TW (1) TW445407B (zh)

Families Citing this family (239)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6401210B1 (en) * 1998-09-23 2002-06-04 Intel Corporation Method of managing computer virus infected files
US6192512B1 (en) * 1998-09-24 2001-02-20 International Business Machines Corporation Interpreter with virtualized interface
US6577920B1 (en) * 1998-10-02 2003-06-10 Data Fellows Oyj Computer virus screening
WO2000034867A1 (en) 1998-12-09 2000-06-15 Network Ice Corporation A method and apparatus for providing network and computer system security
US6922781B1 (en) * 1999-04-30 2005-07-26 Ideaflood, Inc. Method and apparatus for identifying and characterizing errant electronic files
GB2350449A (en) * 1999-05-27 2000-11-29 Ibm Detecting replication of a computer virus using a counter virus
US7346929B1 (en) 1999-07-29 2008-03-18 International Business Machines Corporation Method and apparatus for auditing network security
US7089591B1 (en) * 1999-07-30 2006-08-08 Symantec Corporation Generic detection and elimination of marco viruses
US8006243B2 (en) 1999-12-07 2011-08-23 International Business Machines Corporation Method and apparatus for remote installation of network drivers and software
WO2001084775A2 (en) 2000-04-28 2001-11-08 Internet Security Systems, Inc. System and method for managing security events on a network
US8086697B2 (en) 2005-06-28 2011-12-27 Claria Innovations, Llc Techniques for displaying impressions in documents delivered over a computer network
US7475404B2 (en) 2000-05-18 2009-01-06 Maquis Techtrix Llc System and method for implementing click-through for browser executed software including ad proxy and proxy cookie caching
US9213836B2 (en) 2000-05-28 2015-12-15 Barhon Mayer, Batya System and method for comprehensive general electric protection for computers against malicious programs that may steal information and/or cause damages
WO2001092981A2 (en) * 2000-05-28 2001-12-06 Yaron Mayer System and method for comprehensive general generic protection for computers against malicious programs that may steal information and/or cause damages
US6901519B1 (en) 2000-06-22 2005-05-31 Infobahn, Inc. E-mail virus protection system and method
GB2357939B (en) * 2000-07-05 2002-05-15 Gfi Fax & Voice Ltd Electronic mail message anti-virus system and method
US7093239B1 (en) * 2000-07-14 2006-08-15 Internet Security Systems, Inc. Computer immune system and method for detecting unwanted code in a computer system
US9027121B2 (en) 2000-10-10 2015-05-05 International Business Machines Corporation Method and system for creating a record for one or more computer security incidents
US20020178248A1 (en) * 2000-10-26 2002-11-28 Metilinx Application program interface for optimization integration model
US7340776B2 (en) 2001-01-31 2008-03-04 International Business Machines Corporation Method and system for configuring and scheduling security audits of a computer network
US7114184B2 (en) * 2001-03-30 2006-09-26 Computer Associates Think, Inc. System and method for restoring computer systems damaged by a malicious computer program
WO2002093334A2 (en) * 2001-04-06 2002-11-21 Symantec Corporation Temporal access control for computer virus outbreaks
KR20010070729A (ko) * 2001-06-02 2001-07-27 유진영 시큐어 캅
US7657419B2 (en) 2001-06-19 2010-02-02 International Business Machines Corporation Analytical virtual machine
US7640361B1 (en) 2001-08-24 2009-12-29 Mcafee, Inc. Systems and methods for converting infected electronic files to a safe format
US7263561B1 (en) * 2001-08-24 2007-08-28 Mcafee, Inc. Systems and methods for making electronic files that have been converted to a safe format available for viewing by an intended recipient
US7162739B2 (en) * 2001-11-27 2007-01-09 Claria Corporation Method and apparatus for blocking unwanted windows
US20030105973A1 (en) * 2001-12-04 2003-06-05 Trend Micro Incorporated Virus epidemic outbreak command system and method using early warning monitors in a network environment
US7062553B2 (en) * 2001-12-04 2006-06-13 Trend Micro, Inc. Virus epidemic damage control system and method for network environment
AU2003202876A1 (en) 2002-01-04 2003-07-24 Internet Security Systems, Inc. System and method for the managed security control of processes on a computer system
US9652613B1 (en) 2002-01-17 2017-05-16 Trustwave Holdings, Inc. Virus detection by executing electronic message code in a virtual machine
US7607171B1 (en) 2002-01-17 2009-10-20 Avinti, Inc. Virus detection by executing e-mail code in a virtual machine
US7103913B2 (en) * 2002-05-08 2006-09-05 International Business Machines Corporation Method and apparatus for determination of the non-replicative behavior of a malicious program
US7155742B1 (en) 2002-05-16 2006-12-26 Symantec Corporation Countering infections to communications modules
US7367056B1 (en) 2002-06-04 2008-04-29 Symantec Corporation Countering malicious code infections to computer files that have been infected more than once
US7100122B2 (en) * 2002-06-27 2006-08-29 International Business Machines Corporation Limiting unsolicited browser windows
US7013423B2 (en) * 2002-06-27 2006-03-14 International Business Machines Corporation Omitting forwarder pages in a history list in a browser
US7418729B2 (en) * 2002-07-19 2008-08-26 Symantec Corporation Heuristic detection of malicious computer code by page tracking
US7380277B2 (en) * 2002-07-22 2008-05-27 Symantec Corporation Preventing e-mail propagation of malicious computer code
US7478431B1 (en) 2002-08-02 2009-01-13 Symantec Corporation Heuristic detection of computer viruses
US7469419B2 (en) * 2002-10-07 2008-12-23 Symantec Corporation Detection of malicious computer code
US7159149B2 (en) * 2002-10-24 2007-01-02 Symantec Corporation Heuristic detection and termination of fast spreading network worm attacks
US7603341B2 (en) 2002-11-05 2009-10-13 Claria Corporation Updating the content of a presentation vehicle in a computer network
US7249187B2 (en) 2002-11-27 2007-07-24 Symantec Corporation Enforcement of compliance with network security policies
US7631353B2 (en) 2002-12-17 2009-12-08 Symantec Corporation Blocking replication of e-mail worms
US20040128379A1 (en) * 2002-12-30 2004-07-01 Jerry Mizell Collecting standard interval metrics using a randomized collection period
US7296293B2 (en) 2002-12-31 2007-11-13 Symantec Corporation Using a benevolent worm to assess and correct computer security vulnerabilities
US7913303B1 (en) 2003-01-21 2011-03-22 International Business Machines Corporation Method and system for dynamically protecting a computer system from attack
US20040158730A1 (en) * 2003-02-11 2004-08-12 International Business Machines Corporation Running anti-virus software on a network attached storage device
US7203959B2 (en) 2003-03-14 2007-04-10 Symantec Corporation Stream scanning through network proxy servers
US8271774B1 (en) 2003-08-11 2012-09-18 Symantec Corporation Circumstantial blocking of incoming network traffic containing code
US7657938B2 (en) 2003-10-28 2010-02-02 International Business Machines Corporation Method and system for protecting computer networks by altering unwanted network data traffic
US7434297B1 (en) * 2003-11-17 2008-10-14 Symantec Corporation Tracking computer infections
US8170912B2 (en) 2003-11-25 2012-05-01 Carhamm Ltd., Llc Database structure and front end
US7337327B1 (en) 2004-03-30 2008-02-26 Symantec Corporation Using mobility tokens to observe malicious mobile code
US8171553B2 (en) 2004-04-01 2012-05-01 Fireeye, Inc. Heuristic based capture with replay to virtual machine
US9106694B2 (en) 2004-04-01 2015-08-11 Fireeye, Inc. Electronic message analysis for malware detection
US8549638B2 (en) 2004-06-14 2013-10-01 Fireeye, Inc. System and method of containing computer worms
US8528086B1 (en) 2004-04-01 2013-09-03 Fireeye, Inc. System and method of detecting computer worms
US8793787B2 (en) 2004-04-01 2014-07-29 Fireeye, Inc. Detecting malicious network content using virtual environment components
US8898788B1 (en) 2004-04-01 2014-11-25 Fireeye, Inc. Systems and methods for malware attack prevention
US7587537B1 (en) 2007-11-30 2009-09-08 Altera Corporation Serializer-deserializer circuits formed from input-output circuit registers
US8881282B1 (en) 2004-04-01 2014-11-04 Fireeye, Inc. Systems and methods for malware attack detection and identification
US8566946B1 (en) 2006-04-20 2013-10-22 Fireeye, Inc. Malware containment on connection
US8584239B2 (en) 2004-04-01 2013-11-12 Fireeye, Inc. Virtual machine with dynamic data flow analysis
US7484094B1 (en) 2004-05-14 2009-01-27 Symantec Corporation Opening computer files quickly and safely over a network
US7373667B1 (en) 2004-05-14 2008-05-13 Symantec Corporation Protecting a computer coupled to a network from malicious code infections
US20050262567A1 (en) * 2004-05-19 2005-11-24 Itshak Carmona Systems and methods for computer security
US7370233B1 (en) 2004-05-21 2008-05-06 Symantec Corporation Verification of desired end-state using a virtual machine environment
US8255413B2 (en) 2004-08-19 2012-08-28 Carhamm Ltd., Llc Method and apparatus for responding to request for information-personalization
US8078602B2 (en) 2004-12-17 2011-12-13 Claria Innovations, Llc Search engine for a computer network
US7441042B1 (en) 2004-08-25 2008-10-21 Symanetc Corporation System and method for correlating network traffic and corresponding file input/output traffic
US7690034B1 (en) 2004-09-10 2010-03-30 Symantec Corporation Using behavior blocking mobility tokens to facilitate distributed worm detection
US7565686B1 (en) 2004-11-08 2009-07-21 Symantec Corporation Preventing unauthorized loading of late binding code into a process
WO2006101549A2 (en) 2004-12-03 2006-09-28 Whitecell Software, Inc. Secure system for allowing the execution of authorized computer program code
US7810158B2 (en) * 2004-12-16 2010-10-05 At&T Intellectual Property I, L.P. Methods and systems for deceptively trapping electronic worms
US7693863B2 (en) 2004-12-20 2010-04-06 Claria Corporation Method and device for publishing cross-network user behavioral data
TWI252976B (en) * 2004-12-27 2006-04-11 Ind Tech Res Inst Detecting method and architecture thereof for malicious codes
US8104086B1 (en) 2005-03-03 2012-01-24 Symantec Corporation Heuristically detecting spyware/adware registry activity
US8645941B2 (en) 2005-03-07 2014-02-04 Carhamm Ltd., Llc Method for attributing and allocating revenue related to embedded software
US8073866B2 (en) 2005-03-17 2011-12-06 Claria Innovations, Llc Method for providing content to an internet user based on the user's demonstrated content preferences
US8272058B2 (en) 2005-07-29 2012-09-18 Bit 9, Inc. Centralized timed analysis in a network security system
US7895651B2 (en) 2005-07-29 2011-02-22 Bit 9, Inc. Content tracking in a network security system
US8984636B2 (en) 2005-07-29 2015-03-17 Bit9, Inc. Content extractor and analysis system
WO2007143011A2 (en) 2006-05-31 2007-12-13 The Trustees Of Columbia University In The City Ofnew York Systems, methods, and media for generating bait information for trap-based defenses
US8239915B1 (en) 2006-06-30 2012-08-07 Symantec Corporation Endpoint management using trust rating data
US8020206B2 (en) * 2006-07-10 2011-09-13 Websense, Inc. System and method of analyzing web content
US8620952B2 (en) 2007-01-03 2013-12-31 Carhamm Ltd., Llc System for database reporting
US8117162B2 (en) * 2007-03-21 2012-02-14 International Business Machines Corporation Determining which user files to backup in a backup system
US8402529B1 (en) 2007-05-30 2013-03-19 M86 Security, Inc. Preventing propagation of malicious software during execution in a virtual machine
US9009829B2 (en) 2007-06-12 2015-04-14 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for baiting inside attackers
US8312539B1 (en) * 2008-07-11 2012-11-13 Symantec Corporation User-assisted security system
US8997219B2 (en) 2008-11-03 2015-03-31 Fireeye, Inc. Systems and methods for detecting malicious PDF network content
US8850571B2 (en) 2008-11-03 2014-09-30 Fireeye, Inc. Systems and methods for detecting malicious network content
US8769684B2 (en) * 2008-12-02 2014-07-01 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for masquerade attack detection by monitoring computer user behavior
US8832829B2 (en) 2009-09-30 2014-09-09 Fireeye, Inc. Network-based binary file extraction and analysis for malware detection
US8528091B2 (en) * 2009-12-31 2013-09-03 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for detecting covert malware
US9116733B2 (en) 2010-05-28 2015-08-25 Bromium, Inc. Automated provisioning of secure virtual execution environment using virtual machine templates based on requested activity
US9148428B1 (en) * 2011-05-25 2015-09-29 Bromium, Inc. Seamless management of untrusted data using virtual machines
US8752047B2 (en) 2010-05-28 2014-06-10 Bromium, Inc. Automated management of virtual machines to process untrusted data based on client policy information
US9239909B2 (en) 2012-01-25 2016-01-19 Bromium, Inc. Approaches for protecting sensitive data within a guest operating system
US10095530B1 (en) 2010-05-28 2018-10-09 Bromium, Inc. Transferring control of potentially malicious bit sets to secure micro-virtual machine
US8352522B1 (en) 2010-09-01 2013-01-08 Trend Micro Incorporated Detection of file modifications performed by malicious codes
US8806647B1 (en) * 2011-04-25 2014-08-12 Twitter, Inc. Behavioral scanning of mobile applications
US8667594B1 (en) 2012-03-13 2014-03-04 Bromium, Inc. Securing file trust with file format conversions
JP5912074B2 (ja) * 2012-10-30 2016-04-27 株式会社日立製作所 プログラム解析システム及び方法
US10572665B2 (en) 2012-12-28 2020-02-25 Fireeye, Inc. System and method to create a number of breakpoints in a virtual machine via virtual machine trapping events
US9176843B1 (en) 2013-02-23 2015-11-03 Fireeye, Inc. Framework for efficient security coverage of mobile software applications
US9195829B1 (en) 2013-02-23 2015-11-24 Fireeye, Inc. User interface with real-time visual playback along with synchronous textual analysis log display and event/time index for anomalous behavior detection in applications
US9367681B1 (en) 2013-02-23 2016-06-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications using symbolic execution to reach regions of interest within an application
US8990944B1 (en) 2013-02-23 2015-03-24 Fireeye, Inc. Systems and methods for automatically detecting backdoors
US9009823B1 (en) 2013-02-23 2015-04-14 Fireeye, Inc. Framework for efficient security coverage of mobile software applications installed on mobile devices
US9104867B1 (en) * 2013-03-13 2015-08-11 Fireeye, Inc. Malicious content analysis using simulated user interaction without user involvement
US9355247B1 (en) 2013-03-13 2016-05-31 Fireeye, Inc. File extraction from memory dump for malicious content analysis
US9626509B1 (en) 2013-03-13 2017-04-18 Fireeye, Inc. Malicious content analysis with multi-version application support within single operating environment
US9311479B1 (en) 2013-03-14 2016-04-12 Fireeye, Inc. Correlation and consolidation of analytic data for holistic view of a malware attack
US9430646B1 (en) 2013-03-14 2016-08-30 Fireeye, Inc. Distributed systems and methods for automatically detecting unknown bots and botnets
WO2014145805A1 (en) 2013-03-15 2014-09-18 Mandiant, Llc System and method employing structured intelligence to verify and contain threats at endpoints
US10713358B2 (en) 2013-03-15 2020-07-14 Fireeye, Inc. System and method to extract and utilize disassembly features to classify software intent
RU2527738C1 (ru) 2013-04-24 2014-09-10 Общество с ограниченной ответственностью "НАНО Секьюрити" Способ обезвреживания вредоносных программ, блокирующих работу пк, с использованием отдельного устройства для активации пользователем процедуры противодействия вредоносному программному обеспечению
US9495180B2 (en) 2013-05-10 2016-11-15 Fireeye, Inc. Optimized resource allocation for virtual machines within a malware content detection system
US9635039B1 (en) 2013-05-13 2017-04-25 Fireeye, Inc. Classifying sets of malicious indicators for detecting command and control communications associated with malware
US9323925B2 (en) * 2013-05-30 2016-04-26 Trusteer, Ltd. Method and system for prevention of windowless screen capture
US10133863B2 (en) 2013-06-24 2018-11-20 Fireeye, Inc. Zero-day discovery system
US9300686B2 (en) 2013-06-28 2016-03-29 Fireeye, Inc. System and method for detecting malicious links in electronic messages
US9690936B1 (en) 2013-09-30 2017-06-27 Fireeye, Inc. Multistage system and method for analyzing obfuscated content for malware
US9736179B2 (en) 2013-09-30 2017-08-15 Fireeye, Inc. System, apparatus and method for using malware analysis results to drive adaptive instrumentation of virtual machines to improve exploit detection
US10515214B1 (en) 2013-09-30 2019-12-24 Fireeye, Inc. System and method for classifying malware within content created during analysis of a specimen
US9171160B2 (en) 2013-09-30 2015-10-27 Fireeye, Inc. Dynamically adaptive framework and method for classifying malware using intelligent static, emulation, and dynamic analyses
US9294501B2 (en) 2013-09-30 2016-03-22 Fireeye, Inc. Fuzzy hash of behavioral results
US9628507B2 (en) 2013-09-30 2017-04-18 Fireeye, Inc. Advanced persistent threat (APT) detection center
US9921978B1 (en) 2013-11-08 2018-03-20 Fireeye, Inc. System and method for enhanced security of storage devices
US9756074B2 (en) 2013-12-26 2017-09-05 Fireeye, Inc. System and method for IPS and VM-based detection of suspicious objects
US9747446B1 (en) 2013-12-26 2017-08-29 Fireeye, Inc. System and method for run-time object classification
US9292686B2 (en) 2014-01-16 2016-03-22 Fireeye, Inc. Micro-virtualization architecture for threat-aware microvisor deployment in a node of a network environment
US10430614B2 (en) 2014-01-31 2019-10-01 Bromium, Inc. Automatic initiation of execution analysis
US9262635B2 (en) 2014-02-05 2016-02-16 Fireeye, Inc. Detection efficacy of virtual machine-based analysis with application specific events
US9241010B1 (en) 2014-03-20 2016-01-19 Fireeye, Inc. System and method for network behavior detection
US10242185B1 (en) 2014-03-21 2019-03-26 Fireeye, Inc. Dynamic guest image creation and rollback
US9591015B1 (en) 2014-03-28 2017-03-07 Fireeye, Inc. System and method for offloading packet processing and static analysis operations
US9432389B1 (en) 2014-03-31 2016-08-30 Fireeye, Inc. System, apparatus and method for detecting a malicious attack based on static analysis of a multi-flow object
US9223972B1 (en) 2014-03-31 2015-12-29 Fireeye, Inc. Dynamically remote tuning of a malware content detection system
US9973531B1 (en) 2014-06-06 2018-05-15 Fireeye, Inc. Shellcode detection
US9594912B1 (en) 2014-06-06 2017-03-14 Fireeye, Inc. Return-oriented programming detection
US9438623B1 (en) 2014-06-06 2016-09-06 Fireeye, Inc. Computer exploit detection using heap spray pattern matching
US10084813B2 (en) 2014-06-24 2018-09-25 Fireeye, Inc. Intrusion prevention and remedy system
US9398028B1 (en) 2014-06-26 2016-07-19 Fireeye, Inc. System, device and method for detecting a malicious attack based on communcations between remotely hosted virtual machines and malicious web servers
US10805340B1 (en) 2014-06-26 2020-10-13 Fireeye, Inc. Infection vector and malware tracking with an interactive user display
US10002252B2 (en) 2014-07-01 2018-06-19 Fireeye, Inc. Verification of trusted threat-aware microvisor
US9363280B1 (en) 2014-08-22 2016-06-07 Fireeye, Inc. System and method of detecting delivery of malware using cross-customer data
US10671726B1 (en) 2014-09-22 2020-06-02 Fireeye Inc. System and method for malware analysis using thread-level event monitoring
US9773112B1 (en) 2014-09-29 2017-09-26 Fireeye, Inc. Exploit detection of malware and malware families
US10027689B1 (en) 2014-09-29 2018-07-17 Fireeye, Inc. Interactive infection visualization for improved exploit detection and signature generation for malware and malware families
US9690933B1 (en) 2014-12-22 2017-06-27 Fireeye, Inc. Framework for classifying an object as malicious with machine learning for deploying updated predictive models
US10075455B2 (en) 2014-12-26 2018-09-11 Fireeye, Inc. Zero-day rotating guest image profile
US9934376B1 (en) 2014-12-29 2018-04-03 Fireeye, Inc. Malware detection appliance architecture
US9838417B1 (en) 2014-12-30 2017-12-05 Fireeye, Inc. Intelligent context aware user interaction for malware detection
US9690606B1 (en) 2015-03-25 2017-06-27 Fireeye, Inc. Selective system call monitoring
US10148693B2 (en) 2015-03-25 2018-12-04 Fireeye, Inc. Exploit detection system
US9438613B1 (en) 2015-03-30 2016-09-06 Fireeye, Inc. Dynamic content activation for automated analysis of embedded objects
US9483644B1 (en) 2015-03-31 2016-11-01 Fireeye, Inc. Methods for detecting file altering malware in VM based analysis
US10417031B2 (en) 2015-03-31 2019-09-17 Fireeye, Inc. Selective virtualization for security threat detection
US10474813B1 (en) 2015-03-31 2019-11-12 Fireeye, Inc. Code injection technique for remediation at an endpoint of a network
US9654485B1 (en) 2015-04-13 2017-05-16 Fireeye, Inc. Analytics-based security monitoring system and method
US9594904B1 (en) 2015-04-23 2017-03-14 Fireeye, Inc. Detecting malware based on reflection
US11113086B1 (en) 2015-06-30 2021-09-07 Fireeye, Inc. Virtual system and method for securing external network connectivity
US10454950B1 (en) 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
US10642753B1 (en) 2015-06-30 2020-05-05 Fireeye, Inc. System and method for protecting a software component running in virtual machine using a virtualization layer
US10726127B1 (en) 2015-06-30 2020-07-28 Fireeye, Inc. System and method for protecting a software component running in a virtual machine through virtual interrupts by the virtualization layer
US10715542B1 (en) 2015-08-14 2020-07-14 Fireeye, Inc. Mobile application risk analysis
US10176321B2 (en) 2015-09-22 2019-01-08 Fireeye, Inc. Leveraging behavior-based rules for malware family classification
US10033747B1 (en) 2015-09-29 2018-07-24 Fireeye, Inc. System and method for detecting interpreter-based exploit attacks
US10817606B1 (en) 2015-09-30 2020-10-27 Fireeye, Inc. Detecting delayed activation malware using a run-time monitoring agent and time-dilation logic
US10601865B1 (en) 2015-09-30 2020-03-24 Fireeye, Inc. Detection of credential spearphishing attacks using email analysis
US10210329B1 (en) 2015-09-30 2019-02-19 Fireeye, Inc. Method to detect application execution hijacking using memory protection
US9825989B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Cyber attack early warning system
US9825976B1 (en) 2015-09-30 2017-11-21 Fireeye, Inc. Detection and classification of exploit kits
US10706149B1 (en) 2015-09-30 2020-07-07 Fireeye, Inc. Detecting delayed activation malware using a primary controller and plural time controllers
US10284575B2 (en) 2015-11-10 2019-05-07 Fireeye, Inc. Launcher for setting analysis environment variations for malware detection
US10846117B1 (en) 2015-12-10 2020-11-24 Fireeye, Inc. Technique for establishing secure communication between host and guest processes of a virtualization architecture
US10447728B1 (en) 2015-12-10 2019-10-15 Fireeye, Inc. Technique for protecting guest processes using a layered virtualization architecture
US10108446B1 (en) 2015-12-11 2018-10-23 Fireeye, Inc. Late load technique for deploying a virtualization layer underneath a running operating system
US10565378B1 (en) 2015-12-30 2020-02-18 Fireeye, Inc. Exploit of privilege detection framework
US10133866B1 (en) 2015-12-30 2018-11-20 Fireeye, Inc. System and method for triggering analysis of an object for malware in response to modification of that object
US10050998B1 (en) 2015-12-30 2018-08-14 Fireeye, Inc. Malicious message analysis system
US10621338B1 (en) 2015-12-30 2020-04-14 Fireeye, Inc. Method to detect forgery and exploits using last branch recording registers
US9824216B1 (en) 2015-12-31 2017-11-21 Fireeye, Inc. Susceptible environment detection system
US11552986B1 (en) 2015-12-31 2023-01-10 Fireeye Security Holdings Us Llc Cyber-security framework for application of virtual features
US10581874B1 (en) 2015-12-31 2020-03-03 Fireeye, Inc. Malware detection system with contextual analysis
US10671721B1 (en) 2016-03-25 2020-06-02 Fireeye, Inc. Timeout management services
US10601863B1 (en) 2016-03-25 2020-03-24 Fireeye, Inc. System and method for managing sensor enrollment
US10476906B1 (en) 2016-03-25 2019-11-12 Fireeye, Inc. System and method for managing formation and modification of a cluster within a malware detection system
US10785255B1 (en) 2016-03-25 2020-09-22 Fireeye, Inc. Cluster configuration within a scalable malware detection system
US10893059B1 (en) 2016-03-31 2021-01-12 Fireeye, Inc. Verification and enhancement using detection systems located at the network periphery and endpoint devices
US10826933B1 (en) 2016-03-31 2020-11-03 Fireeye, Inc. Technique for verifying exploit/malware at malware detection appliance through correlation with endpoints
US10169585B1 (en) 2016-06-22 2019-01-01 Fireeye, Inc. System and methods for advanced malware detection through placement of transition events
US10462173B1 (en) 2016-06-30 2019-10-29 Fireeye, Inc. Malware detection verification and enhancement by coordinating endpoint and malware detection systems
US10592678B1 (en) 2016-09-09 2020-03-17 Fireeye, Inc. Secure communications between peers using a verified virtual trusted platform module
US10491627B1 (en) 2016-09-29 2019-11-26 Fireeye, Inc. Advanced malware detection using similarity analysis
US10795991B1 (en) 2016-11-08 2020-10-06 Fireeye, Inc. Enterprise search
US10587647B1 (en) 2016-11-22 2020-03-10 Fireeye, Inc. Technique for malware detection capability comparison of network security devices
US10581879B1 (en) 2016-12-22 2020-03-03 Fireeye, Inc. Enhanced malware detection for generated objects
US10552610B1 (en) 2016-12-22 2020-02-04 Fireeye, Inc. Adaptive virtual machine snapshot update framework for malware behavioral analysis
US10523609B1 (en) 2016-12-27 2019-12-31 Fireeye, Inc. Multi-vector malware detection and analysis
US10904286B1 (en) 2017-03-24 2021-01-26 Fireeye, Inc. Detection of phishing attacks using similarity analysis
US10798112B2 (en) 2017-03-30 2020-10-06 Fireeye, Inc. Attribute-controlled malware detection
US10902119B1 (en) 2017-03-30 2021-01-26 Fireeye, Inc. Data extraction system for malware analysis
US10791138B1 (en) 2017-03-30 2020-09-29 Fireeye, Inc. Subscription-based malware detection
US10848397B1 (en) 2017-03-30 2020-11-24 Fireeye, Inc. System and method for enforcing compliance with subscription requirements for cyber-attack detection service
US11194915B2 (en) 2017-04-14 2021-12-07 The Trustees Of Columbia University In The City Of New York Methods, systems, and media for testing insider threat detection systems
US10855700B1 (en) 2017-06-29 2020-12-01 Fireeye, Inc. Post-intrusion detection of cyber-attacks during lateral movement within networks
US10601848B1 (en) 2017-06-29 2020-03-24 Fireeye, Inc. Cyber-security system and method for weak indicator detection and correlation to generate strong indicators
US10503904B1 (en) 2017-06-29 2019-12-10 Fireeye, Inc. Ransomware detection and mitigation
US10893068B1 (en) 2017-06-30 2021-01-12 Fireeye, Inc. Ransomware file modification prevention technique
US10944768B2 (en) * 2017-09-15 2021-03-09 Petabi, Inc. System for automated signature generation and refinement
US10747872B1 (en) 2017-09-27 2020-08-18 Fireeye, Inc. System and method for preventing malware evasion
US10805346B2 (en) 2017-10-01 2020-10-13 Fireeye, Inc. Phishing attack detection
US11108809B2 (en) 2017-10-27 2021-08-31 Fireeye, Inc. System and method for analyzing binary code for malware classification using artificial neural network techniques
US11271955B2 (en) 2017-12-28 2022-03-08 Fireeye Security Holdings Us Llc Platform and method for retroactive reclassification employing a cybersecurity-based global data store
US11005860B1 (en) 2017-12-28 2021-05-11 Fireeye, Inc. Method and system for efficient cybersecurity analysis of endpoint events
US11240275B1 (en) 2017-12-28 2022-02-01 Fireeye Security Holdings Us Llc Platform and method for performing cybersecurity analyses employing an intelligence hub with a modular architecture
US10826931B1 (en) 2018-03-29 2020-11-03 Fireeye, Inc. System and method for predicting and mitigating cybersecurity system misconfigurations
US11558401B1 (en) 2018-03-30 2023-01-17 Fireeye Security Holdings Us Llc Multi-vector malware detection data sharing system for improved detection
US11003773B1 (en) 2018-03-30 2021-05-11 Fireeye, Inc. System and method for automatically generating malware detection rule recommendations
US10956477B1 (en) 2018-03-30 2021-03-23 Fireeye, Inc. System and method for detecting malicious scripts through natural language processing modeling
US11314859B1 (en) 2018-06-27 2022-04-26 FireEye Security Holdings, Inc. Cyber-security system and method for detecting escalation of privileges within an access token
US11075930B1 (en) 2018-06-27 2021-07-27 Fireeye, Inc. System and method for detecting repetitive cybersecurity attacks constituting an email campaign
US11228491B1 (en) 2018-06-28 2022-01-18 Fireeye Security Holdings Us Llc System and method for distributed cluster configuration monitoring and management
US11316900B1 (en) 2018-06-29 2022-04-26 FireEye Security Holdings Inc. System and method for automatically prioritizing rules for cyber-threat detection and mitigation
US11182473B1 (en) 2018-09-13 2021-11-23 Fireeye Security Holdings Us Llc System and method for mitigating cyberattacks against processor operability by a guest process
US11763004B1 (en) 2018-09-27 2023-09-19 Fireeye Security Holdings Us Llc System and method for bootkit detection
US11368475B1 (en) 2018-12-21 2022-06-21 Fireeye Security Holdings Us Llc System and method for scanning remote services to locate stored objects with malware
US12074887B1 (en) 2018-12-21 2024-08-27 Musarubra Us Llc System and method for selectively processing content after identification and removal of malicious content
US11258806B1 (en) 2019-06-24 2022-02-22 Mandiant, Inc. System and method for automatically associating cybersecurity intelligence to cyberthreat actors
US11556640B1 (en) 2019-06-27 2023-01-17 Mandiant, Inc. Systems and methods for automated cybersecurity analysis of extracted binary string sets
US11392700B1 (en) 2019-06-28 2022-07-19 Fireeye Security Holdings Us Llc System and method for supporting cross-platform data verification
US11886585B1 (en) 2019-09-27 2024-01-30 Musarubra Us Llc System and method for identifying and mitigating cyberattacks through malicious position-independent code execution
US11637862B1 (en) 2019-09-30 2023-04-25 Mandiant, Inc. System and method for surfacing cyber-security threats with a self-learning recommendation engine
TWI765706B (zh) * 2021-05-11 2022-05-21 凌華科技股份有限公司 彈出視窗的非侵入式共享處理方法及系統

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5440723A (en) * 1993-01-19 1995-08-08 International Business Machines Corporation Automatic immune system for computers and computer networks
JP2501771B2 (ja) * 1993-01-19 1996-05-29 インターナショナル・ビジネス・マシーンズ・コーポレイション 不所望のソフトウェア・エンティティの複数の有効なシグネチャを得る方法及び装置
US5398196A (en) * 1993-07-29 1995-03-14 Chambers; David A. Method and apparatus for detection of computer viruses
US5572590A (en) * 1994-04-12 1996-11-05 International Business Machines Corporation Discrimination of malicious changes to digital information using multiple signatures
ATE183592T1 (de) * 1994-06-01 1999-09-15 Quantum Leap Innovations Inc Computervirenfalle
US5485575A (en) * 1994-11-21 1996-01-16 International Business Machines Corporation Automatic analysis of a computer virus structure and means of attachment to its hosts
US5613002A (en) * 1994-11-21 1997-03-18 International Business Machines Corporation Generic disinfection of programs infected with a computer virus
US5826013A (en) * 1995-09-28 1998-10-20 Symantec Corporation Polymorphic virus detection module
US5951698A (en) * 1996-10-02 1999-09-14 Trend Micro, Incorporated System, apparatus and method for the detection and removal of viruses in macros
JP3381055B2 (ja) * 1997-01-27 2003-02-24 裕典 若山 ウィルスの侵入防止方法、及びウィルスの侵入防止機構
US6016546A (en) * 1997-07-10 2000-01-18 International Business Machines Corporation Efficient detection of computer viruses and other data traits
US5978917A (en) * 1997-08-14 1999-11-02 Symantec Corporation Detection and elimination of macro viruses
US6021510A (en) * 1997-11-24 2000-02-01 Symantec Corporation Antivirus accelerator

Also Published As

Publication number Publication date
US6108799A (en) 2000-08-22
EP0918285B1 (en) 2003-03-26
JPH11249893A (ja) 1999-09-17
DE69812545T2 (de) 2004-04-08
EP0918285A2 (en) 1999-05-26
DE69812545D1 (de) 2003-04-30
KR19990044887A (ko) 1999-06-25
EP0918285A3 (en) 1999-09-22
JP3079087B2 (ja) 2000-08-21

Similar Documents

Publication Publication Date Title
TW445407B (en) Automated sample creation of polymorphic and non-polymorphic macro viruses
US5978917A (en) Detection and elimination of macro viruses
US5999942A (en) Method and apparatus for enforcement of behavior of application processing systems without modifying application processing systems
US7398514B2 (en) Test automation stack layering
CN100547552C (zh) 用于自动化管理任务的系统和方法
US6311320B1 (en) Alterable scripting tool and method
US7861300B2 (en) Method and apparatus for determination of the non-replicative behavior of a malicious program
WO2020106437A1 (en) Testing user interfaces using machine vision
US7890948B2 (en) Methods and apparatus for customizing user-interface control in existing application
US7278059B2 (en) Method for testing operating system components
JP5258152B2 (ja) 再現可能なテストの自動化に関するテストケース実行挙動を選択するシステムおよび方法
CN101073057B (zh) 提供命令行操作环境的方法和系统
NZ537787A (en) Methods and systems for providing automated actions on recognized text strings in a computer-generated document
US20070288937A1 (en) Virtual Device Driver
EP1828902A2 (en) System and method for identifying and removing malware on a computer system
KR20010033354A (ko) 자동 컨피규레이션 생성
US20030065985A1 (en) Mangled strings for testing of internationalization
WO2008056944A1 (en) Confirmation method of api by the information at call-stack
US7617418B2 (en) Method and system for verifying and storing documents during a program failure
US5542086A (en) Document type metamorphosis in an object-oriented operating system having a graphical user interface
US8677118B1 (en) Automated kernel hook module building
Michail et al. Helping users avoid bugs in GUI applications
CN102855129A (zh) 自动创建独立进程的方法及其系统
von Suchodoletz et al. Automation of flexible migration workflows
US6769075B2 (en) Method and apparatus for performing emergency shutdown of a malfunctioning computer system saving all open files, data, and work in progress

Legal Events

Date Code Title Description
GD4A Issue of patent certificate for granted invention patent
MM4A Annulment or lapse of patent due to non-payment of fees