恶意代码的变形技术研究-计算机应用与软件.PDF

第２９卷第３期　　　 计算机应用与软件 Ｖｏｌ２９Ｎｏ．３ ２０１２年３月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｍａｒ．２０１２ 恶意代码的变形技术研究 １，２ ２ １ 吴丹飞 　王春刚 　郝兴伟 １（山东大学计算机科学与技术学院　山东济南２５００６１） ２（清华大学信息网络工程研究中心　北京 １０００８４） 摘　要　　恶意代码常常使用一些隐形技术来躲避反病毒软件的检测。然而，采用加密和多态技术的恶意代码已经难以躲避基于 特征码和代码仿真技术的检测，而变形技术却呈现出较强的反检测能力。通过对变形技术作深入的分析，详细介绍了变形引擎及其 所采用的代码混淆技术，以及当前的变形恶意代码检测技术，并简要分析了变形技术在软件防护领域的应用。 关键词　　恶意代码　变形　变形引擎　混淆　软件保护 中图分类号　ＴＰ３０９．５　　　　文献标识码　Ａ ＳＴＵＤＹＯＮＭＥＴＡＭＯＲＰＨＩＣＴＥＣＨＮＩＱＵＥＯＦＭＡＬＷＡＲＥ １，２ ２ １ ＷｕＤａｎｆｅｉ　ＷａｎｇＣｈｕｎｇａｎｇ　ＨａｏＸｉｎｇｗｅｉ １（ＳｃｈｏｏｌｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅａｎｄＴｅｃｈｎｏｌｏｇｙ，ＳｈａｎｄｏｎｇＵｎｉｖｅｒｓｉｔｙ，Ｊｉｎａｎ２５００６１，Ｓｈａｎｄｏｎｇ，Ｃｈｉｎａ） ２（ＮｅｔｗｏｒｋＲｅｓｅａｒｃｈＣｅｎｔｅｒ，ＴｓｉｎｇｈｕａＵｎｉｖｅｒｓｉｔｙ，Ｂｅｉｊｉｎｇ１０００８４，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　Ｍａｌｗａｒｅｗｒｉｔｅｒｓｇｅｎｅｒａｌｌｙｕｓｅｓｔｅａｌｔｈｔｅｃｈｎｉｑｕｅｓｔｏｅｖａｄｅａｎｔｉｖｉｒｕｓｄｅｔｅｃｔｉｏｎ．Ｈｏｗｅｖｅｒ，ｔｈｅｍａｌｗａｒｅｗｉｔｈｅｎｃｒｙｐｔｉｏｎａｎｄｐｏｌｙ ｍｏｒｐｈｉｃｔｅｃｈｎｉｑｕｅｓｉｓｎｏｗｄｉｆｆｉｃｕｌｔｔｏｅｖａｄｅｔｈｅｄｅｔｅｃｔｉｏｎｂａｓｅｄｏｎｋｎｏｗｎｓｉｇｎａｔｕｒｅｓａｎｄｃｏｄｅｅｍｕｌａｔｉｏｎ．Ｂｕｔｔｈｅｍｅｔａｍｏｒｐｈｉｃｔｅｃｈｎｉｑｕｅｒｅ ｐｒｅｓｅｎｔｓｍｏｒｅｒｅｓｉｓｔａｎｃｅｔｏｄｅｔｅｃｔｉｏｎ．Ｉｎｔｈｉｓｐａｐｅｒ，ｗｅｇｉｖｅａｔｈｏｒｏｕｇｈａｎａｌｙｓｉｓｏｎｍｅｔａｍｏｒｐｈｉｃｔｅｃｈｎｉｑｕｅａｎｄｔｈｅｄｅｔａｉｌｅｄｉｎｔｒｏｄｕｃｔｉｏｎｏｆ ｍｅｔａｍｏｒｐｈｉｃｅｎｇｉｎｅｓａｎｄｔｈｅｃｏｄｅｏｂｆｕｓｃａｔｉｏｎｔｅｃｈｎｉｑｕｅｓｉｔｕｓｅｓ，ａｓｗｅｌｌａｓｃｏｎｔｅｍｐｏｒａｒｙｄｅｔｅｃｔｉｏｎｔｅｃｈｎｉｑｕｅａｇａｉｎｓｔｍｅｔａｍｏｒｐｈｉｃｍｅｌｗａｒｅ． Ｉｎａｄｄｉｔｉｏｎ，ｗｅｂｒｉｅｆｌｙａｎａｌｙｓｅｔｈｅａｐｐｌｉｃａｔｉｏｎｏｆｍｅｔａｍｏｒｐｈｉｃｔｅｃｈｎｉｑｕｅｉｎｔｈｅｆｉｅｌｄｏｆｓｏｆｔｗａｒｅｐｒｏｔｅｃｔｉｏｎ． Ｋｅｙｗｏｒｄｓ　　Ｍａｌｗａｒｅ　Ｍｅｔａｍｏｒｐｈｉｓｍ　Ｍｅｔａｍｏｒｐｈｉｃｅｎｇｉｎｅ　Ｏｂｆｕｓｃａｔｉｏｎ　Ｓｏｆｔｗａｒｅｐｒｏｔｅｃｔｉｏｎ １．１　加密技术 ０　引　言 ［４］ 第一个使用加密技术的恶意代码———ＣＡＳＣＡＤＥ 出现于 １９８７年。加密是恶意代码最简单的隐形技术，代码中包含一个 随着计算机技术的发展，恶意代码的种类和数量越来越多，