基于环境敏感分析的恶意代码脱壳方法

• 作者: 王志 贾春福 鲁凯
• 来源期刊: 计算机学报
• 学科: 工学
• 关键词: 恶意代码分析 脱壳技术 环境敏感分析 污点分析 符号执行
• 年，卷（期）: 2012,（4）
• 所属期刊栏目: 研究论文与技术报告
• 页码范围: 693-702
• 分类号: TP309
• 字数: 8386字
• 语种: 中文
• DOI: 10.3724/SP.J.1016.2012.00693

摘要

加壳技术是软件的常用保护手段,但也常被恶意代码用于躲避杀毒软件的检测.通用脱壳工具根据加壳恶意代码运行时的行为特征或统计特征进行脱壳,需要建立监控环境,因此易受环境敏感技术的干扰.文中提出了一种基于环境敏感分析的恶意代码脱壳方法,利用动静结合的分析技术检测并清除恶意代码的环境敏感性.首先,利用中间语言对恶意代码的执行轨迹进行形式化表示；然后,分析执行轨迹中环境敏感数据的来源和传播过程,提取脱壳行为的环境约束；最后,求解环境约束条件,根据求解结果对恶意代码进行二进制代码插装,清除其环境敏感性.基于此方法,作者实现了一个通用的恶意代码脱壳工具:MalUnpack,并对321个最新的恶意代码样本进行了对比实验.实验结果表明MalUnpack能有效对抗恶意代码的环境敏感技术,其脱壳率达到了89.1％,显著高于现有基于动态监控的通用脱壳工具的35.5％和基于特征的定向脱壳工具的28.0％.

作者信息

序号	姓名	单位	发文数	被引次数	H指数	G指数
1	贾春福	南开大学信息技术科学学院	72	689	14.0	21.0
2	王志	南开大学信息技术科学学院	51	299	11.0	15.0
3	鲁凯	南开大学信息技术科学学院	1	16	1.0	1.0