恶意软件动态分析云平台 malware dynamic analysis cloud.pdfVIP

计 算 机 系 统 应 用 2016 年 第25 卷 第 3 期 恶意软件动态分析云平台① 徐 欣, 程绍银, 蒋 凡 ( 中国科学技术大学 计算机科学与技术学院, 合肥 230027) 摘 要: 传统的杀毒软件基于特征码识别的方式有效但具有一定的局限性. 使用沙箱动态分析的方法能通过目 标软件的行为特征对其恶意属性进行判断, 可以同时达到检测恶意软件和帮助分析人员快速分析恶意软件的目 的. 为了提高沙箱平台分析的易用性和高效性, 本文设计并实现了一个恶意软件动态分析云平台, 通过分布式的 沙箱控制机制, 保证沙箱的分析能力以及可扩展性, 并可通过对目标软件的分析结果来判断其是否属于恶意软 件. 实验表明, 设计的云沙箱系统能够有效和高效的检测出恶意软件的恶意行为. 关键词: 恶意软件; 动态分析; 沙箱; 云平台 Malware Dynamic Analysis Cloud XU Xin, CHENG Shao-Yin, JIANG Fan (School of Computer Science and Technology, University of Science and Techonology of China, Hefei 230027, China) Abstract: Although traditional anti-virus software is fast, feature code based detection mode will be a restriction. Dynamic analysis based on sandbox is better at finding malware via software behavior. It can not only find malware for client but also help malware analyzer working faster. In purpose of increasing usability and efficiency of analysis based on sandbox, a malware dynamic analysis cloud is designed and implemented. Through distributed control mechanism, we can ensure the system’s capability and flexibility. A malicious software can be distinguished based on the result of the analysis. Experiments show the system can effectively detect malware behavior with high efficiency. Key words: malware; dynamic analysis; sandbox; cloud 在APT(Advanced Persistent Thread, 即高级持续 意软件的情况, 每款杀毒软件对该软件的恶意归类也 性威胁) 的网络渗透行动中, 木马作为控制被渗透目标 不尽相同. 造成这一结果的原因是由于杀毒软件通常 系统的工具发挥重要的作用; 例如暴风、冲击波等蠕 使用特征码查杀的方式对特定类型的恶意软件进行扫 虫病毒则对全世界大量信息系统造成了极大的破坏; 描和识别, 特征码则是由专门的恶意软件分析专家通 漏洞利用攻击的载体例如携带有漏洞利用程序的 过逆向分析或者使用一些特定的工具实现提取. 但是, flash、office 以及pdf文档等则对日常工作和生活软件的 一个特征码往往只能识别一种恶意软件的某些副本, 使用者造成了极大的网络安全威胁. 这些安全威胁都 如果恶意软件的制作者通过技术分析手段得知了杀毒