[发明专利]基于行为增量标识躲避的恶意对象

说明书

技术领域

本发明涉及基于行为增量标识躲避的(evasive)恶意对象。

背景技术

安全设备可以被放置在用户设备和服务器设备(例如，与网站相关联的服务器设备)之间。安全设备可以被配置为检测(例如，使用URL名誉、黑名单、反病毒扫描、反恶意软件技术等)由服务器设备提供的恶意对象(例如，木马、蠕虫、间谍程序、包含漏洞利用的文件等)，并且可以被配置为阻止恶意对象被用户设备接收。

发明内容

根据一些可能的实现方式，一种安全设备可以包括一个或者多个处理器以：接收与对象相关联的实际行为信息，其中实际行为信息可以标识与在真实环境(live environment)中执行对象相关联的第一行为集合；确定与对象相关联的测试行为信息，其中测试行为信息可以标识与在测试环境中测试对象相关联的第二行为集合；比较第一行为集合和第二行为集合以确定在第一行为集合和第二行为集合之间的差别；基于在第一行为集合和第二行为集合之间的差别标识对象是否为躲避的恶意对象；以及提供对象是否为躲避的恶意对象的指示。

根据一些可能的实现方式，一种计算机可读介质可以存储一条或者多条指令，该一条或者多条指令当由一个或者多个处理器执行时，致使该一个或者多个处理器：确定与对象相关联的测试行为信息，其中测试行为信息可以标识与在测试环境中测试对象相关联的测试行为集合；获得与对象相关联的实际行为信息，其中实际行为信息可以标识与在真实环境中执行或者安装对象相关联的实际行为集合；比较实际行为集合和测试行为集合以确定在实际行为集合和测试行为集合之间的差别；基于在实际行为集合和测试行为集合之间的差别确定对象是否为躲避的恶意对象；以及提供指示对象是否为躲避的恶意对象的信息。

根据一些可能的实现方式，一种方法可以包括：由安全设备接收与对象相关联的实际行为信息，其中实际行为信息可以标识与在用户设备上执行对象相关联的第一行为组；由安全设备确定与对象相关联的测试行为信息，其中测试行为信息可以标识与在用户设备上测试对象相关联的第二行为组；由安全设备确定在第一行为组和第二行为组之间的差别；由安全设备基于在第一行为组和第二行为组之间的差别将对象标识为躲避的恶意对象；以及由安全设备提供与将对象标识为躲避的恶意对象相关联的信息。

附图说明

图1是在此描述的示例实现方式的概述的示图；

图2是在其中可以实现在此描述的系统和/或方法的示例环境的示图；

图3是图2的一个或者多个设备的示例组件的示图；

图4是用于确定与对象相关联的测试行为信息以及存储与对象相关联的测试行为信息的示例过程的流程图；

图5是与在图4中所示的示例过程有关的示例实现方式的示图；

图6是用于确定与对象相关联的实际行为信息以及提供实际行为信息的示例过程的流程图；

图7是与在图6中所示的示例过程有关的示例实现方式的示图；

图8是用于基于比较与对象相关联的实际行为信息和与对象相关联的测试行为信息来将对象标识为躲避的恶意对象的示例过程的流程图；

图9是与在图8中所示的示例过程有关的示例实现方式的示图。

具体实施方式

示例实现方式的以下详细的描述参考附图。在不同附图中的相同的标号可以标识相同的或者相似的元素。

安全设备可以试图检测正被向用户设备提供的恶意对象(例如，包括恶意软件、病毒或者另一类型的恶意代码的对象)。然而，如果恶意对象已经被设计为躲避检测，则安全设备可能不能检测恶意对象。一种这样的躲避策略涉及如果恶意对象确定它正在仿真环境、沙盒环境中等被测试，则阻止恶意对象展现任何恶意行为。例如，安全设备可以实现沙盒以测试(例如，分析、执行、检查等)运行在虚拟机(VM)上的完整的操作系统内的对象。可以概括对象的测试行为并且可以应用启发以便确定对象是否是躲避的。然而，恶意对象可以被设计为检测恶意对象是否正在沙盒中被测试，并且可以在这样的检测时避免展现恶意行为。这样，安全设备可能不正确地确定对象不是恶意的，并且可能向用户设备提供恶意对象。需要一种解决方案，该解决方案允许安全设备确定当对象在用户设备上被执行时与当对象由安全设备测试时相比，对象表现不同(例如，实际行为和测试行为之间的差别可以指示对象是躲避的恶意对象)。