基于语义的恶意代码行为特征提取与分类技术分析-semantic - based malicious code behavior feature extraction and classification technology analysis.docxVIP

独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作 及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方 外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为 获得电子科技大学或其它教育机构的学位或证书而使用过的材料。与 我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的 说明并表示谢意。作者签名：日期：年月日论文使用授权本学位论文作者完全了解电子科技大学有关保留、使用学位论文 的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘， 允许论文被查阅和借阅。本人授权电子科技大学可以将学位论文的全 部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描 等复制手段保存、汇编学位论文。（保密的学位论文在解密后应遵守此规定） 作者签名：导师签名：日期：年月日摘要长期以来，恶意代码一直是计算机安全领域的热点问题，新形势下的恶意代 码制作技术更加成熟，网络中每秒都会产生大量恶意代码，其中多数都是采用多 态变性技术生成的变种；与之前的样本相比，这些恶意代码的传播与破坏能力都 有所增强。因此一个高效的恶意代码分类系统可以使专业分析人员专注于新产生 的恶意代码而不是已知家族的变种，以此提高工作效率；而对普通用户来说，一 份包含行为信息的报告能帮助他们更好地了解未知程序。在这种契机下，本文主要研究恶意代码的行为特征提取技术和基于行为特征 的恶意代码分类方法：在一个安全、高效、透明的恶意代码分析环境中提取其行 为特征，在此基础上运用分类方法和已知的分类信息对恶意代码进行高效而准确 的分类，最终向用户提供包含行为和分类信息的报告。本文首先详细调查了恶意代码的实现原理和相关技术，指出这些技术对不同 分析方法造成的影响；然后根据资源的分类深入考查了恶意代码中的代表性行为 并建立一种行为特征模型与相应的匹配规则，这种模型具有抵御无关系统调用插 入、等价行为代换等混淆技术干扰的特点；接着在对比和总结恶意代码现有分析 技术的基础上，通过扩展基于硬件模拟的仿真器 QEMU 设计并实现了一个的恶意 代码行为特征提取系统，它通过捕获资源对象及其相关操作并对其运用行为匹配 规则来提取恶意代码的行为特征，能够满足恶意代码对分析环境的安全性、高效 性、透明性需求；综合本文描述的应用环境，利用对分类规模不敏感的哈希方法 缩小待比较分类的范围，实现对恶意代码的分类操作并研究分类特征的调整方法， 在分析分类方法参数对结果精度、召回率和计算量影响的基础上，通过综合比较 确定位置敏感哈希的相关参数。最后本文对实现的系统与方法进行了实验与测试， 与现有方法的对比显示本文描述的方法能够以较高的精度和召回率实现对已知样 本的分类，分析环境亦能够提取出有意义的行为信息，基本达到了预期的目的。本文的最后对全文进行了工作总结，指出了现有系统与方法还有待完善的地 方，并对接下来的研究工作进行了展望。关键词：恶意代码，行为特征，QEMU，位置敏感哈希ABSTRACTFor a long time, malware has always been a hot issue in the field of computer security; the malware generation technique becomes more mature with the new situation, there are dozens of malware generated per second in the Internet, most of them are variants generated by polymorphism. The spread and destruction of these malware is enhanced compared with the old ones. Therefore, both users and the security experts need an automatic classification system with the ability of providing valuable information about activities of malware.Under this kind of condition, this thesis mainly studies the behavior-based signature extraction technology of malware and the corresponding classification technology: In a safe environment analysis to extract the malwa