资源描述：
《自动的恶意代码动态分析系统的设计与实现.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。
1、小型微型计算机系统2009年7月第7期JournalofChineseComputerSystemsVol.30No.72009自动的恶意代码动态分析系统的设计与实现12管云涛,段海新1(清华大学计算机科学与技术系,北京100084)2(清华大学信息网络工程研究中心,北京100084)E-mail:guanyt06@mails.tsinghua.edu.cn摘要:现代的恶意代码采用多态和加壳等方法来隐藏自己,使得恶意代码的分析检测变得越来越困难.传统的手工分析需要耗费大量时间和人力,不能满足恶意代码分析的需要.本文设计实现的自动化恶意
2、代码动态分析系统MwDAS,可以自动地对恶意代码样本进行快速的动态分析,通过KernelHooking和FilterDriver技术在内核态提取其行为特征,生成详细的分析报告.实验结果表明MwDAS可以提高恶意代码的分析效率.关键词:动态分析;静态分析;恶意代码;网络安全中图分类号:TP393.08文献标识码:A文章编号:1000-1220(2009)07-1326-05DesignandImplementationofanAutomatedMalwareDynamicAnalysisSystem12GUANYun-tao,DUANH
3、ai-xin1(DepartmentofComputerScience&Technology,TsinghuaUniversity,Beijing100084,China)2(NetworkResearchCenter,TsinghuaUniversity,Beijing100084,China)Abstract:Withtheapplicationofpolymorphism,metamorphismandpackingtechniques,theanalysisanddetectionofmodernmalwarebecomesm
4、oredifficult.Manualmalwareanalysisfailstohandlethissituationduetoitsunacceptablecostandhumanforceinvolvement.TheauthordesignandimplementanautomatedmalwaredynamicanalysissystemnamedMwDASusingkernelhookingandfilterdrivertechnologies,whichcanautomaticallyanalyzemalwaresamp
5、le,extractanddetailmalwareøsbehaviorsintoawell-organizedreport.TheexperimentshowsthatMwDAScandramaticallyimprovetheanalysisefficiency.Keywords:dynamicanalysis;staticanalysis;malware;networksecurity1引言本文设计并实现了一个恶意代码自动化动态分析系统MwDAS,该系统在受保护的虚拟环境中对恶意代码进行自随着互联网的发展,作为互联网一大威胁-恶
6、意代码也在动的动态分析,通过内核级的Hook和过滤驱动技术监视其运不断的发展,现代恶意代码逐渐开始由最初的以破坏为目的行时的行为活动,包括对注册表访问、文件系统访问、进程操转向以信息窃取为目的,Symantec第12期网络完全威胁报作和网络访问,分析结束时生成一份详尽的分析报告,可以提[1]告显示恶意攻击的专业性和商业性开始增加,如在被攻破高恶意代码分析效率.的用来进行地下交易的服务器中,用来进行信用卡和银行帐户交易的分别占22%和21%,攻击趋利化明显[2,3].这种转变2恶意代码分析技术使得恶意代码开始注意自身的隐藏.本文主要研究
7、Win32平台下的可执行恶意代码.现代的恶意代码通过多态、变型、加密等手段来规避分析恶意代码分析的主要目的是明确恶意代码的行为特性并检测以达到延长自身生命周期的目的,使得恶意代码的特征提取特征码为下一步的恶意代码检测和控制清除提供依据,码分析越来越困难.同时一些恶意代码自动生成工具的出现因此恶意代码分析是否可以快速有效地进行是降低恶意代码和攻击代码的公开使得恶意攻击变得简单化,呈现出模块化危害的关键一步.目前的分析方法可以分为静态分析和动态[1]的趋势.这些特点使得恶意代码手工分析越来越不适应分分析两大类.析的需求.2.1静态分析动态
8、分析通过在受控的环境中执行恶意代码来分析其行静态分析[4]不实际运行恶意代码,而是通过对恶意代码为特征,因而不受多态、变型、加密等手段的影响,可以用来对的二进制文件进行分析,提取特征码.这种特征码可直接被扫恶意代码进行快
