基于抽象特征检测变形恶意代码.pdfVIP

小费微型计算机系统 2009 年 2 月第2 期 Journal of Chinese Computer Systems Vol.30 No.2 2009 基于抽象特征检测变形恶意代码 金然，魏强，玉清贤 (信息工程大学借怠工程学院，河南郑州 (50002) E-mail :jinran17@163.com 摘 要:传统的恶意代码检测方法通常以团定的指今或字节序JI) i!兽，具体特征作为粉测依据，因此难以检测变形恶意代码.使 用抽象特征是解决该问题的一个忠路.本义针对恶意代码常冽的变形技术，即等价指今替换、徐圾代码椅入以及指令乱序地行 研究.定义丁{种抽象特征.同时提出丁依据该抽象特，(，1梭浪1 ~在开~1在代码哟方法.最后，以典型变形病毒 Win32.Evol 为对象 .il行丁实峻，将该方法与其它方法地行丁对比.实验结采验证丁该方法的有效除. 关键询:变形聪慧代蝇，抽象特征;恶意代码检测 中图分提唔: TP309 文献标识码:A 文靠辅号:1000-1220(2009)四-0352幽04 Detecting Metamorphic Malware Based on Abstract Signatures JIN Ran. WEI Qiang ,WANG Qing-xian (lnformation Engineering lnstitute ， lnformati.棚 Engínee俨íng Univrrs仰， Zhengzlwu 450002 , Chína) Abstract: Traditíonal methods of detecting malware are often based on concrete signatures. such as a sequenωof instruction8 or bytes , so it is hard for them to detect metamorphíc malware. Adopting abstract 8ignatures is a promising ídea to resolve the problem. This paper focuses on the common metamorphic techniques. i. e. identícal instruction substitution , garbage code in幡 sertion and instruction reordering. A type of abstract signature is defined and a method of detecting metamorphic malware is proposed. Experiments have been done towards a typical metamorphic virus Win32. Evol and comparison with other methods has a180 been carried out. The results show that our method ís feasible. Key words:metamorphic malware ,abstract signatures; malware detection 者则以计算树谓调逻辑作为核心.他们的方法在一定程度上 1 引吉 可以应对跳转法指令说序，以及某些类型的垃极代码插入变 为了提高愿意代间生存性，其制造者通常会使用各种程 形，但无法检测经等价指令替换和非跳转法指令乱序变形得 序变换技术.在保持诸义等价的前提下，改变代畸形态，生成 到的变种. 各种不间变种.据统计，新出现的，略意代码中大部分是在原有