一种PE文件加壳检测规则

• 作者: 姜晓新 段海新
• 来源期刊: 计算机工程
• 学科: 工学
• 关键词: 恶意代码 PE文件 加壳
• 年，卷（期）: 2010,（14）
• 页码范围: 135-137
• 分类号: TP309.2
• 字数: 4036字
• 语种: 中文
• DOI: 10.3969/j.issn.1000-3428.2010.14.049

摘要

在恶意代码自动分析系统中,对恶意样本进行文件格式检查,并判断其是否被加壳是时其进行自动分析的第一步.为了对加壳PE可执行文件实现更加准确的识别,提出一个基于文件头和部分文件内容的PE文件加壳检测规则(NFPS).通过提取PE文件中5个方面的特征值,并按照NFPS规则进行计算,即可判定PE文件是否被加壳.经测试,其检测率高达95%以上,并支持多层壳的循环检测.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	段海新	清华大学信息工程网络研究中心	81	1255	17.0	34.0
2	姜晓新	清华大学计算机科学与技术系	1	11	1.0	1.0