最新一种新的恶意软件行为分析系统的设计与实现 .pdfVIP

一种新的恶意软件行

为分析系统的设计与

实现

精品好文档，推荐学习交流

一种新的恶意软件行为分析系统的设计与

实现

凌冲余忠慧孙乐昌刘京菊张亮

（解放军电子工程学院合肥230037）

摘要：基于虚拟化技术的恶意软件行为分析是近年来出现的分析恶意软件的方

法。该方法利用虚拟化平台良好的隔离性和控制力对恶意软件的运行时行为进

行分析，但存在两方面的不足：一方面，现有虚拟机监视器（VirtualMachine

Monitor，VMM）的设计初衷是提高虚拟化系统的通用性和高效性，并没有充

分考虑虚拟化系统的透明性，导致现有的VMM很容易被恶意软件的环境感知

测试所发现；另一方面，源代码较为庞大和复杂，提供了很多恶意软件行为分

析不需要的功能，带来了更多的“边缘效应”和漏洞。为此，提出一种基于硬件

辅助虚拟化技术的恶意软件行为分析系统——THVA。THVA是一个利用了安

全虚拟机（SVM）、二级页表（NPT）、外部设备访问保护（EAP）和虚拟机

自省等多种虚拟化技术完成的、专门针对恶意软件行为分析的微型VMM。实

验结果表明，THVA在虚拟机自省、行为监控和反恶意软件检测方面表现良

好，并通过安全模式转换技术将自身性能提高了18.2%左右。

关键词：硬件辅助虚拟化；恶意软件行为分析；虚拟机自省；二级页表；外部

设备访问保护

中图法分类号：TP309.5文献标识码：A

13

仅供学习与交流，如有侵权请联系网站删除谢谢

精品好文档，推荐学习交流

Designandachievementofmalwareanalysissystembasedon

Hardware-assistedVirtualizationMonitor

LINGChongYUZhong-huiSUNLe-changLIUJing-juZHANGLiang

(ElectronicEngineeringInstitute,PLA,Hefei230037,China)

Abstract:MalwareanalysisbasedonHardware-assistedVirtualizationMonitorhas

GuestOSofvirtualizationplatformtoanalyzethemalwareruntimebehavior.But

butforfunctionalityandperformance,whichinduceVMMtobedetectedby

malware’svirtualizationenvironmentdetection;anotheristhatVMM’scodearetoo

largeandcomplex,andpartoftheirfunctionisunnecessary.Thesefeaturesbring

more“side-effects”andvulnerabilities.Therefore,amalwareanalysissystembased

onHardware-assistedVirtualizationMonitor—THVAispresented.THVAisthin

VMM,whichonlyabout6000linescode，utilizingtheSVM,NPT,EAPandvirtual

machineintrospectiontechnologiestoachieve,andspecialformalwareanalysis.The

resultofexperimentsshowsthatTHVAisgoodforvirtualmachineintrospection