[发明专利]一种基于系统调用控制流图的恶意代码同源性分析方法

说明书

本发明公开了一种基于系统调用控制流图的恶意代码同源性分析方法，首先构造待分析程序的系统调用控制流图；所述系统调用控制流图是由系统调用节点构成的有向无权图，边的方向表示系统调用执行的先后关系；比较不同待分析程序的系统调用控制流图，以根据图相似度作为同源性分析的相似性度量，实现同源性分析。本发明利用系统调用控制流图进行同源性分析，系统调用控制流图完全忽略了软件代码的细节，只关注所调用的系统调用函数，因此简化了需要处理的数据量，所以基于系统调用的控制流图对程序行为的抽象程度最好。而且，由于只考虑系统调用从而在很大程度上规避了指令层的混淆，起到了抗混淆作用。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于系统调用控制流图的恶意代码同源性分析方法。

背景技术

恶意代码数量大量增加，但新出现恶意代码大都是已有恶意代码的变种，其核心功能没有发生太大变化。恶意代码变种多采用混淆技术逃避毒检测实施攻击。

同源性最早是指在分子进化研究中，两种核酸分子的核苷酸序列之间或两种蛋白质分子的氨基酸序列之间的相似程度。应用到软件领域的同源性分析是指将两款软件从源代码到软件功能上进行比较，找出它们是否相同或者相似，并给出相似度描述两款软件的相似程度。

恶意代码的同源性分析多采用基于特征识别的方法进行。早期，通过提取恶意代码的序列段作为特征码，采用序列匹配的方式对目标代码进行识别。序列段可以是反编译之后的操作码序列，也可以是代码执行过程中的动态系统调用序列。但加入了混淆技术的恶意代码变种往往不能被简单的序列匹配识别出来。随后基于行为特征的研究方法被提出，将关注点放在目标代码的实际行为而非代码结构，以此抵抗恶意代码混淆技术。

常用的行为特征表示方法包括指令块控制流图、函数调用图等，以上几种行为特征在引入多态、变形等混淆技术后会产生一定量的改变，所以对恶意代码变种的同源性分析能力较差。

发明内容

有鉴于此，本发明提供了一种基于系统调用控制流图的恶意代码同源性分析方法，能够提高恶意代码变种的同源性分析能力。

为了解决上述技术问题，本发明是这样实现的：

一种基于系统调用控制流图的恶意代码同源性分析方法，包括：

步骤一、构造待分析程序的系统调用控制流图；所述系统调用控制流图是由系统调用节点构成的有向无权图，边的方向表示系统调用执行的先后关系；

步骤二、比较不同待分析程序的系统调用控制流图，以根据图相似度作为同源性分析的相似性度量，实现同源性分析。

优选地，所述步骤一为：

定义没有被其他函数调用的函数为入口函数；递归遍历程序中各入口函数的指令块控制流图；针对每个指令块控制流图，当遇到“CALL”指令时，判断被调用函数是内部函数还是系统调用函数；

若被调用的是系统调用函数，则创建名为此系统调用的节点；各节点按所属指令块在指令块控制流图的相对位置相连接，从而建立系统调用图；

若被调用的是内部函数，则遍历此内部函数的指令块控制流图，按照为系统调用函数建立系统调用图的方式，建立该内部函数的系统调用图，按照该内部函数的调用位置，将该内部函数的系统调用图插入上一级系统调用图；

当此递归遍历过程结束时，得到一张只包含系统调用节点的系统调用控制流图。

优选地，步骤一在进行递归遍历之前，进一步对所述指令块控制流图进行剪枝，只保留含有“CALL”指令的基本块和控制流。

优选地，所述剪枝为：针对指令块控制流图中不含有“CALL”指令的基本块A，分别保存它的前继基本块和后继基本块，每个前继基本块分别与每个后继基本块连接，然后删除基本块A以其跳转分支；