论文部分内容阅读
恶意代码的数量以每年超过1亿的速度在增加，给人们带来了巨大的经济财产损失，如何有效的对抗恶意代码是持续受到关注的安全问题。动态分析相比静态分析具有不受加壳、混淆等代码保护技术影响，能检测新恶意代码等优点，是当前恶意代码分析的首选方法。样本行为数据的全面性是影响动态分析准确性的关键因素之一，而动态分析环境仿真不足是当前影响动态分析系统全面获取样本行为数据的重要因素。动态分析环境仿真不足主要表现以下三个方面:1）反虚拟化，样本检测到运行在虚拟环境中，隐藏恶意行为;2）网络环境仿真不足，模拟网络提供的服务没有返回样本真正想要的文件;3）用户交互环境仿真不足，样本缺乏用户操作的驱动，无法继续运行。 针对动态分析环境仿真不足的问题，本文研究高仿真度恶意代码动态分析环境构建技术，通过进行反虚拟化对抗，改进网络环境仿真和用户交互仿真的不足，提高动态分析环境的仿真度，增强分析系统获取样本行为数据的能力。本文的主要研究内容和成果包括以下四个方面: 1)调研了现有的反虚拟化方法，从网络环境，主机环境和用户交互环境三个方面进行了系统的反虚拟化对抗。 2)分析了现有网络环境仿真存在的不足，在受控访问的策略下改进模拟网络，通过代理HTTP GET请求，转发安全流量到Internet等方式实现样本受控联网。 3)分析了现有用户交互环境仿真的不足，增加了用户操作的模拟功能，支持对样本GUI界面的选择、点击和输入等交互操作，能够识别和点击图片式按钮，驱动程序执行。 4)将仿真改进应用到基于QEMU的恶意代码动态分析系统上，将其和改进前的动态分析系统及其它动态分析平台进行对比实验，实验结果表明仿真改进提高了动态分析环境的仿真度，增强了动态分析系统获取样本行为数据的能力。