WO2009143742A1 - 一种可疑文件分析方法及系统 - Google Patents

一种可疑文件分析方法及系统 Download PDF

Info

Publication number
WO2009143742A1
WO2009143742A1 PCT/CN2009/071759 CN2009071759W WO2009143742A1 WO 2009143742 A1 WO2009143742 A1 WO 2009143742A1 CN 2009071759 W CN2009071759 W CN 2009071759W WO 2009143742 A1 WO2009143742 A1 WO 2009143742A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
suspicious
module
virtual machine
analysis result
Prior art date
Application number
PCT/CN2009/071759
Other languages
English (en)
French (fr)
Inventor
张增现
Original Assignee
成都市华为赛门铁克科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 成都市华为赛门铁克科技有限公司 filed Critical 成都市华为赛门铁克科技有限公司
Publication of WO2009143742A1 publication Critical patent/WO2009143742A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/51—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems at application loading time, e.g. accepting, rejecting, starting or inhibiting executable software based on integrity or source reliability

Definitions

  • the present invention relates to the field of computer security technologies, and in particular, to a method and system for analyzing suspicious files.
  • a virtual machine (Vi r tua l Machine) is a fictitious computer that is implemented by simulating various computer functions on a real computer.
  • Virtual machine software can simulate one or more virtual computers (virtual machines) on one computer (host), and each virtual computer can run a separate operating system without interference, that is, one virtual
  • the machine is a separate computer with a separate operating system.
  • the virtual machine uses the real system's CPU, part of the disk space, and memory.
  • the virtual machine works just like a real computer, such as installing an operating system, installing applications, accessing network resources, and so on.
  • the embodiment of the invention provides a method and system for analyzing suspicious files, which can automatically complete analysis of suspicious files and improve the efficiency of analyzing and testing suspicious files.
  • Selecting one of the suspicious files is transferred to the virtual machine and running the selected suspicious file; analyzing the suspicious file according to the recorded log and outputting the analysis result.
  • a file obtaining module configured to acquire one or more suspicious files according to a pre-stored configuration file, where the configuration file is information related to the suspicious file;
  • a virtual machine module configured to run the transmitted suspicious file, record behavior characteristics of the suspicious file when running in the virtual machine, and save the log as a log;
  • An analysis module configured to analyze the suspicious file according to the recorded log and output the analysis result.
  • the embodiment of the present invention automatically transmits the one or more suspicious files to the virtual machine, automatically outputs the analysis result by monitoring and analyzing the behavior characteristics of the suspicious file during the running of the virtual machine, and can automatically analyze the suspicious file and output the analysis result. Increased analysis efficiency, saving time and labor costs.
  • FIG. 1 is a schematic flow chart of a method for analyzing a suspicious file according to an embodiment of the present invention
  • FIG. 2 is a schematic structural diagram of a suspicious file analysis system according to an embodiment of the present invention.
  • FIG. 3 is a schematic structural diagram of a suspicious file analysis system according to Embodiment 2 of the present invention.
  • FIG. 1 is a schematic flowchart of a method for analyzing a suspicious file according to an embodiment of the present invention, and the steps thereof include:
  • Step S10 Read the configuration file.
  • the configuration file is pre-stored information related to suspicious files, such as path of suspicious files, custom rules for suspicious file analysis (including steps or policies for suspicious file analysis).
  • the configuration file may be modified according to actual needs, such as a path location change of a suspicious file actually placed, a step of analyzing a suspicious file, or a policy adjustment.
  • Step S12 Acquire one or more suspicious files according to the configuration file.
  • one or more suspicious files are obtained from the path of the suspicious file according to related information in the configuration file, such as a path of the suspicious file.
  • one or more suspicious files to be analyzed may be placed in advance at a path location of the suspicious file in the configuration file.
  • Step S14 Select a suspicious file to be transferred to the virtual machine and run the selected suspicious file.
  • the virtual machine is an analog device that can simulate a processor and a memory of a real system, and simulates a part of the hard disk of the real system as a hard disk.
  • the virtual machine in the initial state is For example, a suspicious file is selected from one or more suspicious files obtained by traversing or randomly, and the selected suspicious file is transferred to a virtual machine in an initial state and runs.
  • the virtual machine in the initial state means that the virtual machine has just been created or initialized, and has not been infected by any malicious program. In the specific implementation, an initial virtual machine image can be created.
  • the virtual machine in the initial state may be run in advance, and the suspicious file may be run after the suspicious file is transmitted, or the virtual machine in the initial state may be started to run after the suspicious file is transmitted.
  • the suspicious file is then run by the virtual machine, and the specific sequence of steps is determined by a custom rule for analyzing suspicious files in the configuration file. ⁇ .
  • the current behavioral characteristics of malicious programs after running are: Modify the registry (the purpose is to let yourself boot from the next boot), find yourself not in the system directory, copy yourself to the system directory (and then delete yourself, prevent Users suspect that it also includes malicious behavior features such as system keyboard operations, user information collection, system vulnerability, and remote injection by hooking up system hooks.
  • the virtual machine module monitors behavior characteristics of the suspicious file when it is running in the virtual machine, and records the behavior characteristic as a log and saves it in the log recording module.
  • Step S18 analyzing the suspicious file according to the recorded log and outputting the analysis result.
  • the analysis may be performed according to a custom rule, such as scoring behavior characteristics in the log of the record, such as a malicious program copying itself to a system directory, modifying a specific registry, and translating other files ( Derivatives are scored in the system catalog, etc., and the analysis results are output based on the comparison of the score with a preset threshold.
  • a custom rule such as scoring behavior characteristics in the log of the record, such as a malicious program copying itself to a system directory, modifying a specific registry, and translating other files ( Derivatives are scored in the system catalog, etc., and the analysis results are output based on the comparison of the score with a preset threshold.
  • the suspicious file when the score reaches a threshold set in advance, it is determined to be a malicious program, that is, the suspicious file is output as an analysis result of the malicious program file; if the score is zero or the score is low, the suspicious file is respectively output as The non-malicious program file or the analysis result that needs further confirmation by the engineer; in addition, the recorded log may be compared with the malicious program behavior feature stored in a malicious program database module, and the analysis result is output according to the comparison result.
  • the suspicious file is outputted as an analysis result of the malicious program file, and if the non-compliant or partially matched, the suspicious file is output as a non-malicious program file or an analysis that requires further confirmation by the engineer.
  • specific analysis rules can be customized according to user needs, or can be determined by custom rules for analyzing suspicious files in the configuration file.
  • Step S20 Determine if there are other suspicious files.
  • step S18 After the analysis result of the suspicious file is output in step S18, it is determined whether there are other suspicious files that have not been transmitted. If the determination is yes, step S22 is performed; if the determination is no, the suspicious file analysis is ended.
  • Step S22 Restore the virtual machine to an initial state.
  • step S14 is performed to perform analysis of another suspicious file.
  • the embodiment of the present invention automatically transmits the one or more suspicious files to the virtual machine, automatically outputs the analysis result by monitoring and analyzing the behavior characteristics of the suspicious file during the running of the virtual machine, and can automatically analyze the suspicious files in batches, thereby improving Analyze efficiency, saving time and labor costs.
  • FIG. 2 is a schematic structural diagram of a suspicious file analysis system according to an embodiment of the present invention.
  • the suspicious file analysis system includes a configuration file module 50 , a file acquisition module 52 , a virtual machine module 60 , an analysis module 54 , and a malicious program database module 56 . And judging module 58.
  • the configuration file module 50 is configured to store a configuration file, where the configuration file is information related to the suspicious file, such as a path of the suspicious file, a custom rule for analyzing the suspicious file (including a step or policy of analyzing the suspicious file) And other information.
  • the configuration file is information related to the suspicious file, such as a path of the suspicious file, a custom rule for analyzing the suspicious file (including a step or policy of analyzing the suspicious file) And other information.
  • the file obtaining module 52 is configured to read the configuration file from the configuration file module 50, obtain one or more suspicious files according to the configuration file, and select a suspicious file to be transferred to the virtual machine module 60.
  • the virtual machine runs the selected suspicious file. Specifically, the file obtaining module 52 acquires a suspicious file placed in advance according to a path of the suspicious file in the configuration file, and selects a suspicious file from one or more suspicious files obtained by traversing or randomly, and The selected suspicious file is transferred to an imaginary state in the initial state of the virtual machine module 60. It is running in the machine.
  • the virtual machine module 60 is configured to run the transmitted suspicious file, record behavior characteristics of the suspicious file when running in the virtual machine, and save the log as a log.
  • the current behavioral characteristics of malicious programs after running are: Modify the registry (the purpose is to let yourself boot from the next boot), find that you are not in the system directory, copy yourself to the system directory (and then delete yourself, to prevent users from suspecting) It also includes hooking system hooks to get user keyboard operations, collecting user information, exploiting system vulnerabilities, remote injection, and more.
  • the virtual machine module monitors behavioral characteristics of the suspicious file while it is running in the virtual machine and saves the behavioral feature as a log.
  • the malicious program database module 56 is configured to store behavior characteristics of an existing malicious program, such as modifying a registry, copying itself to a system directory, hanging a system hook, releasing a driver or other file (derivative) to System directory, interception API (SSDT chain), ATTACH file (network, keyboard driver), etc.
  • behavior characteristics of an existing malicious program such as modifying a registry, copying itself to a system directory, hanging a system hook, releasing a driver or other file (derivative) to System directory, interception API (SSDT chain), ATTACH file (network, keyboard driver), etc.
  • the analyzing module 54 is configured to analyze the suspicious file according to the recorded log and output the analysis result; specifically, the analysis may be performed according to a custom rule, such as scoring behavior characteristics in the recorded log, such as Malicious programs copy themselves to the system directory, modify a particular registry, translate drivers or other files (derivatives) to the system directory, intercept API (SSDT chain), ATTACH files (network, keyboard driver), etc.
  • scoring behavior characteristics in the recorded log such as Malicious programs copy themselves to the system directory, modify a particular registry, translate drivers or other files (derivatives) to the system directory, intercept API (SSDT chain), ATTACH files (network, keyboard driver), etc.
  • the recorded log may be compared with a malicious program behavior feature stored in the malicious program database module 56, if the recorded log record has all of the behavioral characteristics Corresponding to the malware behavior characteristics stored in the malicious program database module,
  • the suspicious file is an analysis result of the malicious program file, and if it is not met or partially met, the suspicious file is separately output as a non-malicious program file or an analysis result requiring further confirmation by the engineer, and the specific analysis rule may be customized according to the user's needs.
  • the definition can also be determined by a custom rule for suspicious file analysis in the configuration file.
  • the determining module 58 is configured to determine whether there are other suspicious files. Specifically, after the analyzing module 54 outputs the analysis result of the suspicious file, the determining module 58 determines whether the file obtaining module 52 still has If the determination is yes, the virtual machine module 60 is notified to restore the virtual machine to an initial state, and the file obtaining module 52 is notified to transmit the next suspicious file to the virtual machine; If the judgment is no, the suspicious file analysis is ended.
  • the determining module 58 is separately provided in this embodiment, and may also be integrated with the file obtaining module 52 in a specific implementation.
  • the configuration file in the embodiment of the present invention may be pre-stored in the file obtaining module 52, that is, the configuration file module 50 is not required to be additionally set.
  • the embodiment of the present invention automatically transmits the one or more suspicious files to the virtual machine module 60 by the file obtaining module 52, and monitors and analyzes the behavior characteristics of the suspicious file during the running of the virtual machine through the analyzing module 54. Automatically output analysis results, improve analysis efficiency, and save time and labor costs.
  • FIG. 3 is a schematic structural diagram of a suspicious file analysis system according to a second embodiment of the present invention.
  • the difference from the first embodiment of the present invention is that the virtual machine module 60 is specifically refined.
  • the virtual machine module 60 includes a virtual machine 62, a monitoring module 64, a logging module 66, and a virtual machine recovery module 68.
  • the virtual machine 62 is configured to run the suspicious file after receiving the suspicious file transmitted by the file obtaining module 52.
  • the virtual machine 62 is a simulation device that can simulate a real system processor, memory, and simulate a part of the real system hard disk as its own hard disk, so that the suspicious file can be run when the real system is running. same.
  • the monitoring module 64 is configured to monitor behavior characteristics of the suspicious file when running in the virtual machine 62;
  • the logging module 66 is configured to record behavior characteristics of the suspicious file monitored by the monitoring module 64 when running in the virtual machine and save the log as a log.
  • the virtual machine recovery module 68 is configured to restore the virtual machine 62 to an initial state after the determining module 58 determines that the file obtaining module 52 has a suspicious file that is not transmitted.
  • the virtual machine module 60 may have other combinations of modules, such as the functions of the monitoring module 64 and the log recording module 66, and the function of monitoring and recording behavior characteristics by using one module.
  • the present invention is intended to be illustrative only and not to limit the invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Debugging And Monitoring (AREA)

Description

一种可疑文件分析方法及系统 本申请要求于 2008 年 5 月 30 日提交中国专利局、 申请号为 200810067552. 9 , 发明名称为 "一种可疑文件分析方法及系统" 的中国专利 申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及计算机安全技术领域， 尤其涉及一种可疑文件分析方法及系 统。
背景技术
虚拟机 ( Vi r tua l Machine )是一个虚构出来的计算机， 是通过在真实的 计算机上仿真模拟各种计算机功能来实现的。 通过虚拟机软件可以在一台电 脑 （宿主机）上模拟出一个或多个台虚拟的计算机（虚拟机） ， 且每台虚拟 计算机都可以运行单独的操作系统而互不干扰， 即一台虚拟机就是一台独立 的计算机， 拥有独立的操作系统。 虚拟机使用真实系统的 CPU、 部分磁盘空间 及内存， 虚拟机完全就像真正的计算机进行工作， 例如可以安装操作系统、 安装应用程序、 访问网络资源等。
由于虚拟机最大的优点就是方便、 快捷、 节省资源， 所以成为很多个人 或企业的必备工具， 尤其是信息安全行业。 由于信息安全行业工作性质的特 殊性， 尤其是研究或测试恶意程序的部门， 在研究每一个恶意程序时都需要 一个 "干净" 的操作系统， 因为恶意程序之间会相互干扰， 可能会导致操作 系统紊乱， 从而干扰研究人员对其行为的判断。
为了得到准确的结果， 研究人员必须采用 "干净" 的操作系统。 若研究 人员选择真实主机系统来研究恶意程序， 恢复（重装） 系统需要较长时间， 从而会浪费大量时间， 软件公司必须节省这个时间， 另外当今流行的恶意软 件大都能在虚拟机里正常运行， 和在真实主机操作系统里运行结果没有任何 区别， 不会影响研究人员的判断力， 所以软件信息安全公司在对大部分恶意 软件 ( Ma lware ) 的分析和测试处理时大都选用了虚拟机环境。
在实现本发明的过程中， 发明人发现现有技术中至少存在如下问题： 在使用虚拟机时需要手动操作， 如对单一对象存储（ S ing le Ins tance Storage, SIS ) 的创建、 恢复、 删除操作以及对 Vi r tua l Machine 系统的启 动、 暂停、 重启、 关机等操作都需要人工参与， 软件信息安全公司的分析工 程师和测试工程师在对恶意软件进行分析和测试时就必须手动操作虚拟机来 达到工作目的。 因此， 软件信息安全公司在此环节花费大量的人力物力。 发明内容
本发明实施例提供一种可疑文件分析方法及系统， 可以自动完成对可疑 文件的分析， 提高分析和测试可疑文件的效率。
本发明实施方式例可疑文件分析方法， 包括：
根据预先存储的配置文件获取一个或多个可疑文件， 所述配置文件为与 可疑文件相关的信息；
选取其中一可疑文件传送到虚拟机并运行所述选取的可疑文件； 根据所述记录的日志分析所述可疑文件并输出分析结果。
本发明实施例可疑文件分析系统， 包括：
文件获取模块， 用于根据预先存储的配置文件获取一个或多个可疑文件， 所述配置文件为与可疑文件相关的信息；
虚拟机模块， 用于运行所述传送的可疑文件， 记录所述可疑文件在所述 虚拟机中运行时的行为特征并保存为日志；
分析模块， 用于根据所述记录的日志分析所述可疑文件并输出分析结果。 本发明实施例将所述一个或多个可疑文件自动传送到所述虚拟机， 通过 监视和分析可疑文件在虚拟机运行时的行为特征自动输出分析结果， 可自动 分析可疑文件并输出分析结果， 提高了分析效率， 节省了时间和人力成本。 附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对实 施例或现有技术描述中所需要使用的附图作一简单地介绍， 显而易见地， 下 面描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1是本发明实施例可疑文件分析方法的流程示意图；
图 2是本发明实施例一可疑文件分析系统的结构示意图；
图 3是本发明实施例二可疑文件分析系统的结构示意图。
具体实施方式
为了使本发明的目的、 技术方案及优点更加清楚明白， 以下结合附图及 实施方式， 对本发明进行进一步详细说明。 应当理解， 此处所描述的具体实 施方式仅仅用以解释本发明， 并不用于限定本发明。
请参考图 1 , 为本发明实施例可疑文件分析方法的流程示意图， 其步骤具 体包括：
步骤 S10: 读取配置文件。
所述配置文件为预先存储的与可疑文件相关的信息， 比如可疑文件的路 径、 用于可疑文件分析的自定义规则 （包括可疑文件分析的步骤或策略）等 信息。 所述配置文件可根据实际需要进行修改， 比如实际放置的可疑文件的 路径位置改变、 可疑文件分析的步骤或策略需要调整等。
步骤 S12 : 根据所述配置文件获取一个或多个可疑文件。
具体的， 在读取所述配置文件后， 根据所述配置文件中的相关信息， 如 可疑文件的路径， 从可疑文件的路径获取一个或多个可疑文件。 具体实现时， 可将一个或多个待分析的可疑文件预先放置在所述配置文件中可疑文件的路 径位置处。
步骤 S14 : 选取一可疑文件传送到虚拟机并运行所述选取的可疑文件。 所述虚拟机为一可模拟真实系统的处理器、 内存， 并将真实系统的硬盘 的一部分模拟成自己硬盘的模拟装置， 本发明实施例以初始状态的虚拟机为 例进行说明； 具体的， 通过遍历或者随机的方式从获取的一个或多个可疑文 件中选取一个可疑文件， 将所述选取的可疑文件传送到一个处于初始状态的 虚拟机中并运行。 处于初始状态的虚拟机即表示所述虚拟机刚被创建或者初 始化， 没有被任何恶意程序感染过， 具体实现时可创建一个初始状态的虚拟 机镜像。 所述初始状态的虚拟机可事先已被运行， 等所述可疑文件传送过来 后即运行所述可疑文件， 也可等所述可疑文件传送过来后， 启动所述初始状 态的虚拟机开始运行， 接着由虚拟机运行所述可疑文件， 具体步骤顺序由所 述配置文件中的可疑文件分析的自定义规则决定。 曰志。
具体的， 目前的恶意程序运行后的行为特征主要有： 修改注册表（目的 让自己下次开机自启动）、 发现自己不是在系统目录就将自己拷贝到系统目录 (然后还会删除自己， 防止用户怀疑）， 还包括通过挂系统钩子以获取用户键 盘操作、 收集用户信息， 利用系统漏洞、 远程注入等恶意行为特征。 所述虚 拟机模块监视所述可疑文件在虚拟机中运行时的行为特征， 并将所述行为特 征记录为日志， 保存在日志记录模块中。
步骤 S 18 : 根据所述记录的日志分析所述可疑文件并输出分析结果。
具体的， 可根据自定义规则进行分析， 比如对所述记录的日志中的行为 特征进行打分， 如恶意程序将自己拷贝到系统目录、 修改了某个特定的注册 表、 译放了其它文件（衍生物） 到系统目录等都进行打分， 根据分值与预先 设定的阈值的比较结果输出分析结果。 本实施例中， 当分值达到事先设置好 的阈值则判定为恶意程序， 即输出所述可疑文件为恶意程序文件的分析结果； 若分数为零或分数较低则分别输出所述可疑文件为非恶意程序文件或需要工 程师进一步确认的分析结果； 另外， 还可将所述记录的日志与一恶意程序数 据库模块中存储的恶意程序行为特征进行比较， 根据比较结果输出分析结果。 本实施例中， 若所述记录的日志中的行为特征全部与所述恶意程序数据库模 块中存储的恶意程序行为特征相符， 则输出所述可疑文件为恶意程序文件的 分析结果， 若不符合或部分符合， 则分别输出所述可疑文件为非恶意程序文 件或需要工程师进一步确认的分析结果， 具体的分析规则可根据用户需要自 定义， 也可由所述配置文件中的可疑文件分析的自定义规则决定。
步骤 S20: 判断是否还有其他可疑文件。
具体的， 在步骤 S18 输出所述可疑文件的分析结果后， 判断是否还有其 他未传送的可疑文件， 若判断为是， 则执行步骤 S22 ; 若判断为否， 则结束可 疑文件分析。
步骤 S22: 恢复所述虚拟机到初始状态。
具体的， 通过恢复虚拟机镜像的方式将所述虚拟机恢复到初始状态， 执 行步骤 S14以进行另一可疑文件的分析。
本发明实施例将所述一个或多个可疑文件自动传送到所述虚拟机， 通过 监视和分析可疑文件在虚拟机运行时的行为特征自动输出分析结果， 可自动 批量的分析可疑文件， 提高了分析效率， 节省了时间和人力成本。
请参考图 2 , 为本发明实施例一可疑文件分析系统的结构示意图， 所述可 疑文件分析系统包括配置文件模块 50、 文件获取模块 52、 虚拟机模块 60、 分 析模块 54、 恶意程序数据库模块 56及判断模块 58。
所述配置文件模块 50, 用于存储配置文件， 所述配置文件为与可疑文件 相关的信息， 如可疑文件的路径、 用于可疑文件分析的自定义规则 （包括可 疑文件分析的步骤或策略）等信息。
所述文件获取模块 52 , 用于从所述配置文件模块 50读取所述配置文件， 根据所述配置文件获取一个或多个可疑文件， 选取一可疑文件传送到所述虚 拟机模块 60中的虚拟机并运行所述选取的可疑文件。 具体的， 所述文件获取 模块 52根据所述配置文件中的可疑文件的路径获取预先放置的可疑文件， 通 过遍历或者随机的方式从获取的一个或多个可疑文件中选取一个可疑文件， 将所述选取的可疑文件传送到所述虚拟机模块 60中的一个处于初始状态的虚 拟机中并运行。
所述虚拟机模块 60, 用于运行所述传送的可疑文件， 记录所述可疑文件 在所述虚拟机中运行时的行为特征并保存为日志。 目前的恶意程序运行后的 行为特征主要有： 修改注册表（目的让自己下次开机自启动）、 发现自己不是 在系统目录就将自己拷贝到系统目录（然后还会删除自己， 防止用户怀疑）， 还包括通过挂系统钩子以获取用户键盘操作、 收集用户信息， 利用系统漏洞、 远程注入等。 所述虚拟机模块监视所述可疑文件在虚拟机中运行时的行为特 征， 并将所述行为特征保存为日志。
所述恶意程序数据库模块 56 , 用于存储现有的恶意程序运行时的行为特 征， 如修改注册表、 将自身拷贝到系统目录、 挂系统钩子、 译放了驱动或其 它文件（衍生物）到系统目录、 拦截 API ( SSDT链）、 ATTACH文件（网络、 键 盘驱动）等。
所述分析模块 54 , 用于根据所述记录的日志分析所述可疑文件并输出分 析结果； 具体的， 可根据自定义规则进行分析， 比如对所述记录的日志中的 行为特征进行打分， 如恶意程序将自己拷贝到系统目录、 修改了某个特定的 注册表、 译放了驱动或其它文件（衍生物）到系统目录、 拦截 API ( SSDT链）、 ATTACH文件（网络、 键盘驱动）等都进行打分， 当分值达到事先设置好的阈 值则判定为恶意程序， 即输出所述可疑文件为恶意程序文件的分析结果； 若 分数为零或分数较低则分别输出所述可疑文件为非恶意程序文件或需要工程 师进一步确认的分析结果； 另外， 还可将所述记录的日志与所述恶意程序数 据库模块 56中存储的恶意程序行为特征进行比较， 若所述记录的日志记录的 行为特征全部与所述恶意程序数据库模块中存储的恶意程序行为特征相符， 则输出所述可疑文件为恶意程序文件的分析结果， 若不符合或部分符合， 则 分别输出所述可疑文件为非恶意程序文件或需要工程师进一步确认的分析结 果， 具体的分析规则可根据用户需要自定义， 也可由所述配置文件中的可疑 文件分析的自定义规则决定。 所述判断模块 58 , 用于判断是否还有其他可疑文件， 具体的， 在所述分 析模块 54输出所述可疑文件的分析结果后， 所述判断模块 58判断所述文件 获取模块 52是否还有其他未传送的可疑文件， 若判断为是， 则通知所述虚拟 机模块 60将所述虚拟机恢复到初始状态， 并通知所述文件获取模块 52传送 下一可疑文件到所述虚拟机； 若判断为否， 则结束可疑文件分析。 所述判断 模块 58 在本实施例中单独设置， 在具体实现中也可与所述文件获取模块 52 集成在一起。
本发明实施例中所述配置文件可预先存储在所述文件获取模块 52 , 即不 需要另外设置所述配置文件模块 50。
本发明实施例通过所述文件获取模块 52将所述一个或多个可疑文件自动 传送到所述虚拟机模块 60, 通过监视和分析可疑文件在虚拟机运行时的行为 特征通过所述分析模块 54 自动输出分析结果， 提高了分析效率， 节省了时间 和人力成本。
请参考图 3 , 为本发明实施例二可疑文件分析系统的结构示意图， 其与本 发明实施例一的区别在于具体细化了所述虚拟机模块 60。 所述虚拟机模块 60 包括虚拟机 62、 监视模块 64、 日志记录模块 66及虚拟机恢复模块 68。
所述虚拟机 62 , 用于接收到所述文件获取模块 52传送的可疑文件后，运 行所述可疑文件。 具体的， 所述虚拟机 62为一可模拟真实系统的处理器、 内 存， 并将真实系统的硬盘的一部分模拟成自己硬盘的模拟装置， 可使所述可 疑文件运行时像在真实系统运行时一样。
所述监视模块 64 ,用于监视所述可疑文件在虚拟机 62中运行时的行为特 征；
所述日志记录模块 66 ,用于记录所述监视模块 64监视的可疑文件在所述 虚拟机中运行时的行为特征并保存为日志。
所述虚拟机恢复模块 68 ,用于在所述判断模块 58判断所述文件获取模块 52还有未传送的可疑文件后， 将所述虚拟机 62恢复到初始状态。 在具体实现中， 所述虚拟机模块 60可能有其他模块组合形式， 如可将所 述监视模块 64及所述日志记录模块 66的功能集合在一起， 用一个模块实现 监视和记录行为特征的功能， 本发明实施例只是用来举例说明， 以解释本发 明， 并不用于限定本发明。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤 是可以通过程序来指令相关的硬件来完成， 所述程序可以存储于一计算机可 读取存储介质中， 所述存储介质为 R0M/RAM、 磁碟、 光盘等。
以上所述， 仅为本发明较佳的具体实施方式， 但本发明的保护范围并不 局限于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可 轻易想到的变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明 的保护范围应该以权利要求的保护范围为准。

Claims

权利要求 书
1、 一种可疑文件分析方法， 包括：
根据预先存储的配置文件获取一个或多个可疑文件， 所述配置文件为与可 疑文件相关的信息；
选取其中一可疑文件传送到虚拟机并运行所述选取的可疑文件； 根据所述记录的日志分析所述可疑文件并输出分析结果。
2、 如权利要求 1所述的方法， 其特征在于： 所述配置文件包括所述可疑文 件的路径；
根据预先存储的配置文件获取一个或多个可疑文件具体为：
从所述可疑文件的路径获取预先放置的一个或多个可疑文件。
3、 如权利要求 1所述的方法， 其特征在于： 所述根据所述记录的日志分析 所述可疑文件并输出分析结果后， 还包括步骤：
判断是否还有其他可疑文件， 若判断为是， 则恢复所述虚拟机到初始状态。
4、 如权利要求 3所述的方法， 其特征在于： 所述恢复所述虚拟机到初始状 态后， 执行步骤：
选取其中一可疑文件传送到虚拟机并运行所述选取的可疑文件。
5、 如权利要求 1所述的方法， 其特征在于： 所述根据所述记录的日志分析 所述可疑文件并输出分析结果包括：
对所述记录的日志中的行为特征进行打分， 根据分值与预先设定的阈值的 比较结果输出分析结果。
6、 如权利要求 5所述的方法， 其特征在于： 当分值达到事先设置好的阈值 则判定为恶意程序， 输出所述可疑文件为恶意程序文件的分析结果； 若分数为 零或分数较低则分别输出所述可疑文件为非恶意程序文件或进一步确认的分析 结果。
7、 如权利要求 1所述的方法， 其特征在于： 所述根据所述记录的日志分析 所述可疑文件并输出分析结果包括：
将所述记录的日志与一恶意程序数据库模块中存储的恶意程序行为特征进 行比较， 根据比较结果输出分析结果。
8、 如权利要求 7所述的方法， 其特征在于： 若所述记录的日志中的行为特 征全部与所述恶意程序数据库模块中存储的恶意程序行为特征相符， 则输出所 述可疑文件为恶意程序文件的分析结果， 若不符合或部分符合， 则分别输出所 述可疑文件为非恶意程序文件或需要进一步确认的分析结果。
9、 一种可疑文件分析系统， 包括：
文件获取模块（ 52 ), 用于根据预先存储的配置文件获取一个或多个可疑文 件， 所述配置文件为与可疑文件相关的信息， 并选取其中一可疑文件传送到虚 拟机模块（60 )；
虚拟机模块（60 ), 用于运行所述传送的可疑文件， 记录所述可疑文件在所 述虚拟机中运行时的行为特征并保存为日志；
分析模块（ 54 ), 用于根据所述记录的日志分析所述可疑文件并输出分析结 果。
10、 如权利要求 9所述的系统， 其特征在于： 还包括配置文件模块（50 ), 用于存储所述配置文件， 所述文件获取模块从所述配置文件模块读取所述配置 文件。
11、 如权利要求 9所述的系统， 其特征在于： 所述虚拟机模块（60 ) 包括： 虚拟机（62 ), 用于接收所述文件获取模块传送的可疑文件后运行所述可疑 文件； 日志记录模块（ 66 ), 用于记录所述监视模块监视的可疑文件在所述虚拟机 中运行时的行为特征并保存为日志。
12、 如权利要求 11 所述的系统， 其特征在于： 还包括判断模块（58 ), 用 于判断所述文件获取模块是否还有其他未传送的可疑文件， 若判断为是， 则通 知所述虚拟机模块将所述虚拟机恢复到初始状态， 并通知所述文件获取模块传 送下一可疑文件到所述虚拟机。
13、 如权利要求 12所述的系统， 其特征在于： 所述虚拟机模块还包括虚拟 机恢复模块（ 68 ), 用于在所述判断模块判断所述文件获取模块还有未传送的可 疑文件后， 将所述虚拟机恢复到初始状态。
14、 如权利要求 9 所述的系统， 其特征在于： 所述分析模块（54 )对所述 记录的日志中的行为特征进行打分， 根据分值与预先设定的阈值的比较结果输 出分析结果。
15、 如权利要求 9 所述的系统， 其特征在于： 还包括恶意程序数据库模块 ( 56 ), 用于存储现有的恶意程序运行时的行为特征， 所述分析模块（ 54 )将所 述记录的日志与所述恶意程序数据库模块（56 ) 中存储的恶意程序行为特征进 行比较， 根据比较结果输出分析结果。
PCT/CN2009/071759 2008-05-30 2009-05-12 一种可疑文件分析方法及系统 WO2009143742A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN 200810067552 CN101593249B (zh) 2008-05-30 2008-05-30 一种可疑文件分析方法及系统
CN200810067552.9 2008-05-30

Publications (1)

Publication Number Publication Date
WO2009143742A1 true WO2009143742A1 (zh) 2009-12-03

Family

ID=41376597

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/071759 WO2009143742A1 (zh) 2008-05-30 2009-05-12 一种可疑文件分析方法及系统

Country Status (2)

Country Link
CN (1) CN101593249B (zh)
WO (1) WO2009143742A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103905417A (zh) * 2013-11-12 2014-07-02 国家计算机网络与信息安全管理中心 一种网络设备文件鉴定装置及方法
CN110889113A (zh) * 2019-10-30 2020-03-17 泰康保险集团股份有限公司 一种日志分析方法、服务器、电子设备及存储介质
CN111092895A (zh) * 2019-12-23 2020-05-01 和元达信息科技有限公司 一种互联网敏感数据安全防护系统及方法

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9262187B2 (en) 2010-02-05 2016-02-16 Microsoft Technology Licensing, Llc Extension point declarative registration for virtualization
CN102957667A (zh) * 2011-08-23 2013-03-06 潘燕辉 一种基于云计算的智能替换文件的方法
JP2013105366A (ja) * 2011-11-15 2013-05-30 Hitachi Ltd プログラム解析システム及び方法
CN103839003B (zh) * 2012-11-22 2018-01-30 腾讯科技（深圳）有限公司 恶意文件检测方法及装置
CN103150506B (zh) * 2013-02-17 2016-03-30 北京奇虎科技有限公司 一种恶意程序检测的方法和装置
CN103902886A (zh) * 2014-03-04 2014-07-02 珠海市君天电子科技有限公司 一种检测第三方应用的方法及装置
US9710648B2 (en) * 2014-08-11 2017-07-18 Sentinel Labs Israel Ltd. Method of malware detection and system thereof
CN104504331B (zh) * 2014-12-19 2017-12-08 北京奇安信科技有限公司 虚拟化安全检测方法与系统
CN105809035B (zh) * 2016-03-07 2018-11-09 南京邮电大学 基于安卓应用实时行为的恶意软件检测方法和系统
CN106228067A (zh) * 2016-07-15 2016-12-14 江苏博智软件科技有限公司 恶意代码动态检测方法及装置
CN105978911B (zh) * 2016-07-15 2019-05-21 江苏博智软件科技有限公司 基于虚拟执行技术的恶意代码检测方法及装置
CN106572122A (zh) * 2016-12-09 2017-04-19 哈尔滨安天科技股份有限公司 基于网络行为特征关联分析的主机安全评估方法及系统
CN108038375A (zh) * 2017-12-21 2018-05-15 北京星河星云信息技术有限公司 一种恶意文件检测方法及装置
CN109960928B (zh) * 2017-12-22 2021-10-29 北京安天网络安全技术有限公司 可疑文件的处理方法和处理系统
CN110837639A (zh) * 2019-11-08 2020-02-25 浙江军盾信息科技有限公司 未知威胁主动防御方法和系统
CN114244599B (zh) * 2021-12-15 2023-11-24 杭州默安科技有限公司 一种干扰恶意程序的方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1737722A (zh) * 2005-08-03 2006-02-22 珠海金山软件股份有限公司 一种检测和防御计算机恶意程序的系统和方法
CN1961272A (zh) * 2004-06-29 2007-05-09 英特尔公司 通过沙箱技术改进计算机安全性的方法
CN101154258A (zh) * 2007-08-14 2008-04-02 电子科技大学 恶意程序动态行为自动化分析系统与方法
CN101350049A (zh) * 2007-07-16 2009-01-21 珠海金山软件股份有限公司 鉴定病毒文件的方法、装置及网络设备

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1707383A (zh) * 2004-06-10 2005-12-14 陈朝晖 通过进程和系统轨迹分析阻断计算机病毒方法
CN100547513C (zh) * 2005-02-07 2009-10-07 福建东方微点信息安全有限责任公司 基于程序行为分析的计算机防护方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1961272A (zh) * 2004-06-29 2007-05-09 英特尔公司 通过沙箱技术改进计算机安全性的方法
CN1737722A (zh) * 2005-08-03 2006-02-22 珠海金山软件股份有限公司 一种检测和防御计算机恶意程序的系统和方法
CN101350049A (zh) * 2007-07-16 2009-01-21 珠海金山软件股份有限公司 鉴定病毒文件的方法、装置及网络设备
CN101154258A (zh) * 2007-08-14 2008-04-02 电子科技大学 恶意程序动态行为自动化分析系统与方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103905417A (zh) * 2013-11-12 2014-07-02 国家计算机网络与信息安全管理中心 一种网络设备文件鉴定装置及方法
CN110889113A (zh) * 2019-10-30 2020-03-17 泰康保险集团股份有限公司 一种日志分析方法、服务器、电子设备及存储介质
CN111092895A (zh) * 2019-12-23 2020-05-01 和元达信息科技有限公司 一种互联网敏感数据安全防护系统及方法
CN111092895B (zh) * 2019-12-23 2022-09-23 和元达信息科技有限公司 一种互联网敏感数据安全防护系统及方法

Also Published As

Publication number Publication date
CN101593249B (zh) 2011-08-03
CN101593249A (zh) 2009-12-02

Similar Documents

Publication Publication Date Title
WO2009143742A1 (zh) 一种可疑文件分析方法及系统
US10326792B2 (en) Virus intrusion route identification device, virus intrusion route identification method, and program
JP5586216B2 (ja) コンテキストアウェアによるリアルタイムコンピュータ保護システムおよび方法
US9294486B1 (en) Malware detection and analysis
US8468602B2 (en) System and method for host-level malware detection
US11356467B2 (en) Log analysis device, log analysis method, and log analysis program
TWI401582B (zh) 用於一硬體之監控裝置、監控方法及其電腦程式產品
US8561180B1 (en) Systems and methods for aiding in the elimination of false-positive malware detections within enterprises
US20150089647A1 (en) Distributed Sample Analysis
US8627404B2 (en) Detecting addition of a file to a computer system and initiating remote analysis of the file for malware
WO2022143145A1 (zh) 越权漏洞检测方法和装置
US10262139B2 (en) System and method for detection and prevention of data breach and ransomware attacks
US11880458B2 (en) Malware detection based on user interactions
US20130275945A1 (en) System, method, and computer program product for simulating at least one of a virtual environment and a debugging environment to prevent unwanted code from executing
US11601443B2 (en) System and method for generating and storing forensics-specific metadata
NL2028230B1 (en) Methods and systems for preventing malicious activity in a computer system
JP6282217B2 (ja) 不正プログラム対策システムおよび不正プログラム対策方法
US20180316696A1 (en) Analysis apparatus, analysis method, and analysis program
US10601867B2 (en) Attack content analysis program, attack content analysis method, and attack content analysis apparatus
JP2008129707A (ja) プログラム分析装置、プログラム分析方法、及びプログラム
US9239907B1 (en) Techniques for identifying misleading applications
CN111327632B (zh) 一种僵尸主机检测方法、系统、设备及存储介质
US20200334353A1 (en) Method and system for detecting and classifying malware based on families
CN116226865A (zh) 云原生应用的安全检测方法、装置、服务器、介质及产品
Zhang et al. MBMAS: a system for malware behavior monitor and analysis

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09753460

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 21/02/2011)

122 Ep: pct application non-entry in european phase

Ref document number: 09753460

Country of ref document: EP

Kind code of ref document: A1