《面向PE病毒检测的行为特征分析方法研究-论文》.pdfVIP

TheoreticalDiscussion ·理论探讨 面向PE病毒检测的 行为特征分析方法研究 王 静 梁大钊 吴永顺 饶丽萍 黄晓生 (中国民航大学计算机科学与技术学院 天津 300300) 【摘 要 】目前，计算机病毒的存在成为了信息安全的一大威胁，其中以Windows32PE文件为感染目标的PE病毒 最为盛行，功能最强，分析难度也最大。对此，本文研究了一种面向PE病毒检测的行为特征分析方法，详细分析 PE 病毒执行过程中的关键行为特征、一般行为特征等，并以其十六进制行为字符串特征码作为PE病毒的检测依据，通 过对可疑PE文件中字符串的匹配实现PE病毒的启发式检测。 【关键词 】PE病毒；行为分析；病毒检测；可执行文件 ResearchonPEVirusDetection-OrientedBehaviorAnalysisMethod Wang Jing LiangDa-zhao WuYong-shun RaoLi-ping HuangXiao-sheng (SchoolofComputerScienceandTechnology,CivilAviationUniversityofChina Tianjin300300) 【Abstract】Forhteissuethatthepresenceofcomputerviruesshasbeocmeamajorhtreattoinformationsecurityatpresent，inwhichPEvirusishte mostprevalent，powerfulandthegreatestdifficultyanalysisvirusregardingWindows32PEfileasavirusinfectiontarget，thispaperstudiesamethodonPE virusdetection—orientedbehavioranalysis，andpresentsadetailedanalysistothekeybehavior，basicbehaviorandsoonduringtheexecutionofPEvirusto achieveheuristicdetectionofPEvirusbymeansofmatchingthestringsinsuspiciousPEfiles，usinghexadecimalbehaviorstringsasabasisofPEvirus decection 【Keywords】peviurs；behavioranalysis；virusdetection；executablefile 识别的 PE病毒检测方法 ，研究了Windows平台下 PE l 引言 病毒 的静态检测 ：刘帅也提 出了一种基于 Win32API相 随着计算机技术的飞速发展．计算机病毒也层 出不 关行为静态检测 PE病毒的方法等 ，这些方法都是通过 穷 、日益猖獗 ，病毒技术 日新月异 、纷繁复杂 ，成为了信 分析病毒的可能行为实现对未知病毒的启发式检测 ，只 息安全的一大威胁 其中Windows32位 的PE(Portable 是行为确定和行为识别的方法不同而已。 Executable，可移植 的执行体)病毒最为盛行 ，破坏力极 本文首先详细分析了PE病毒实现中具有 的主曼行 大 ，分析难度也最大。它是 以Windows系统 (Windows 为特征，并将其作为判断PE文件是否可疑的依据 ，构建 9X、NT、2000)下的具有PE文件结构的可执行文件为感