[发明专利]一种自动化恶意代码仿真检测方法及系统

说明书

本发明提出一种自动化恶意代码仿真检测方法及系统，所述方法包括：通过对已知恶意代码样本集进行家族分类，并提取出信息交互数据，建立专用协议数据库、专用协议知识库、通用协议数据库及通用协议知识库；获取恶意样本的网络请求，根据专用协议知识库，对恶意样本的家族及专用通信协议进行识别；根据通用协议知识库，对恶意样本的通信请求类型及通用通信协议进行识别；对恶意代码通用协议及专用协议自动化仿真，触发恶意代码的恶意行为。通过本发明的技术方案，能够触发恶意行为操作执行机制，优化沙箱的自动化恶意代码分析能力，极大减少人工分析投入。

技术领域

本发明涉及计算机网络安全领域，特别涉及一种自动化恶意代码仿真检测方法及系统。

背景技术

现有恶意代码沙箱模拟检测方法，或是对恶意代码结构进行分析检测，或是基于对恶意代码行为监控，确定行为特征，给出相应反馈，来实现沙箱检测。对于C2已经失活的恶意代码样本，在没有获取与C2正常通讯的情况下，沙箱检测系统仅能检测出恶意代码初始阶段的正常行为或恶意行为，只有恶意代码获取C2的相关指令，才会表现出恶意代码的核心恶意功能。

发明内容

为解决上述问题，本发明提出了一种自动化恶意代码仿真检测方法及系统，通过仿真各通信协议的响应反馈，模拟C2正常通讯，进一步激发恶意代码行为，对恶意代码进行深度检测。

首先本发明提出一种自动化恶意代码仿真检测方法，包括：

对已知恶意代码样本集进行家族分类，并提取出信息交互数据，建立专用协议数据库、专用协议知识库、通用协议数据库及通用协议知识库；

获取恶意样本的网络请求，根据专用协议知识库，对恶意样本的家族及专用通信协议进行识别；

根据通用协议知识库，对恶意样本的通信请求类型及通用通信协议进行识别；

对恶意代码通用协议自动化仿真：根据识别的通信请求类型及通用通信协议，向恶意样本反馈响应信息，触发恶意代码的恶意行为；

对恶意代码专用协议自动化仿真：根据识别的恶意样本家族及专用通信协议，向恶意样本反馈响应信息，进一步触发恶意代码的恶意行为。

所述的方法中，还包括对恶意代码应用层协议自动化仿真：根据已知的恶意代码定制化网络访问请求，建立定制网络访问请求知识库，对恶意样本的应用层协议进行识别，并根据识别的应用层协议定制网络访问请求，向恶意代码反馈响应信息。

所述的方法中，所述对已知恶意代码样本集进行家族分类，并提取出信息交互数据具体为：

筛选出各恶意代码家族中能够与控制端正常通讯的样本进行交互，获取通信交互数据及网络行为响应数据；所述通信交互数据用于建立专用协议数据库及专用协议知识库；所述网络行为响应数据用于建立通用协议数据库及通用协议知识库。

所述的方法中，根据识别的恶意样本家族及专用通信协议，向恶意样本反馈响应信息，包括：自动化CRC32专用协议校验仿真，具体为：

判断恶意样本所属恶意代码家族是否进行CRC32专用协议校验，如果是，则模拟响应CRC32专用协议校验请求，完成校验。

所述的中，根据识别的恶意样本家族及专用通信协议，向恶意样本反馈响应信息，还包括：自动化首包专用协议校验仿真，具体为：

判断恶意样本所属恶意代码家族，根据所属恶意代码家族对应的首包专用协议的协议格式及专用协议知识库，确定对应的首包请求家族。

所述的方法中，自动化首包专用协议校验仿真后，还包括：自动化确认包专用协议校验仿真，具体为：

在确定对应的首包请求家族后，向恶意样本发送相应确认包专用协议数据。