[发明专利]恶意样本检测方法、装置、系统及存储介质

权利要求书

1.一种恶意样本检测方法，其特征在于，所述恶意样本检测方法应用于虚拟机，所述恶意样本检测方法包括以下步骤：

启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志；

分析在所述时间变速模式下的记录日志是否存在恶意行为；

若所述记录日志存在恶意行为，则根据所述时间变速模式的类型判断所述被测样本的时间维度潜伏行为类型。

2.如权利要求1所述的恶意样本检测方法，其特征在于，所述时间变速模式包括线性变速模式，所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤之前包括：

设置线性变速模式的第一起始时刻、第一结束时刻和线性变速倍数；

所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤包括：

在所述第一起始时刻启动所述线性变速模式；

以预设正常速率的线性变速倍数的运行速率运行所述虚拟机至所述第一结束时刻；

获取所述被测样本在所述第一起始时刻与所述第一结束时刻之间的记录日志，作为被测样本在所述线性变速模式下的记录日志。

3.如权利要求1所述的恶意样本检测方法，其特征在于，所述时间变速模式包括跳变变速模式，所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤之前包括：

设置跳变变速模式的第二起始时刻、第二结束时刻、跳过时间和第三结束时刻；

所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤包括：

在所述第二起始时刻启动所述跳变变速模式；

控制所述虚拟机跳过所述跳过时间运行至所述第二结束时刻；

在所述第二结束时刻，控制所述虚拟机以所述预设正常速率运行至第三结束时刻；

获取所述被测样本在所述第二结束时刻和所述第三结束时刻之间的记录日志，作为被测样本在所述跳变变速模式下的记录日志。

4.如权利要求2或3所述的恶意样本检测方法，其特征在于，所述启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志的步骤之前还包括：

以所述预设正常速率运行所述虚拟机，获取所述被测样本的记录日志；

分析在所述预设正常速率下的记录日志是否存在恶意行为；

若在所述预设正常速率下的记录日志存在恶意行为，则判定所述被测样本不存在时间维度潜伏行为；

若不存在，则执行步骤：启动所述虚拟机的时间变速模式，获取被测样本在所述虚拟机的时间变速模式下的记录日志。

5.如权利要求2或3所述的恶意样本检测方法，其特征在于，所述若所述记录日志存在恶意行为，则根据所述时间变速模式的类型判断所述被测样本的时间维度潜伏行为类型的步骤包括：

若所述记录日志存在恶意行为，则获取所述时间变速模式的类型；

根据所述时间变速模式的类型判断所述被测样本的时间维度潜伏行为类型。

6.如权利要求1所述的恶意样本检测方法，其特征在于，所述分析在所述时间变速模式下的记录日志是否存在恶意行为的步骤之后还包括：

若所述记录日志不存在恶意行为，则判定所述被测样本不存在时间维度潜伏行为。

7.如权利要求2所述的恶意样本检测方法，其特征在于，所述第一起始时刻和第一结束时刻为真实世界时间，与所述第一结束时刻对应的虚拟机系统时刻＝第一起始时刻+线性变速倍数×(第一结束时刻-第一起始时刻)。

8.如权利要求3所述的恶意样本检测方法，其特征在于，所述第二起始时刻、第二结束时刻和第三结束时刻为真实世界时间，与所述第二结束时刻对应的虚拟机系统时刻＝第二起始时刻+跳过时间，与所述第三结束时刻对应的虚拟机系统时刻＝第二起始时刻+跳过时间+(第三结束时刻-第二结束时刻)。