[发明专利]一种基于内存分析的恶意软件检测方法及检测系统

说明书

本发明属于计算机安全的技术领域，具体涉及一种基于内存分析的恶意软件检测方法，包括获取虚拟机的内存镜像，解析内存镜像中的内核数据结构，通过内核数据结构分析出恶意软件，获取恶意软件的可执行代码，以二进制文件的形式导出恶意软件的可执行代码，将二进制文件转换为灰度图像。本发明对恶意软件检测的安全性强，适用于检测多种类型的恶意软件以及运行于不同的操作系统版本，大大提高了检测的通用性和移植性。此外，本发明还提供了一种基于内存分析的恶意软件检测系统。

技术领域

本发明属于计算机安全的技术领域，具体涉及一种基于内存分析的恶意软件检测方法及检测系统。

背景技术

在云计算中，恶意软件一直是云计算安全环境威胁之一。运行在虚拟机或容器中的恶意软件会窃取云租户重要信息；并且，通过恶意软件和系统后门等手段，攻击者可以获得操作系统权限，从而远程控制虚拟机并进一步攻击其他未感染虚拟机或容器。所以，对于云服务商和云租户来说，对恶意软件的检测是云计算安全组成部分。

目前，恶意软件检测方法大致可以分为静态代码分析和动态跟踪分析两类。静态代码分析往往通过分析二进制文件实现恶意软件检测，在完成可执行文件的解压缩和解密后，提取各类恶意软件特征供后续分析，例如字符串签名、代码控制流图和某些特定API统计信息。而动态跟踪分析则是通过在隔离环境中运行恶意软件，获取分析恶意软件运行时的行为特征，例如函数调用、API接口调用、打开文件信息、网络流量统计等信息。

但是，申请人发现：不论静态代码分析还是动态跟踪分析，传统的恶意软件检测方法在云环境下存在一定的局限性；静态代码分析的前提是存在二进制可执行文件，然而一些恶意软件文件通过移除或隐藏的方式并不会一直驻留在磁盘文件上，从而逃避周期性的磁盘文件扫描；而动态跟踪分析则会对被监控目标引入较高的运行负载，往往导致虚拟机不可用，并且，其还面临检测工具被恶意软件探测和破坏的风险。

发明内容

本发明的目的之一在于：针对现有技术的不足，提供一种基于内存分析的恶意软件检测方法，利用虚拟机自省技术，可以在虚拟机外部监控虚拟机内部的运行状态，获取包括CPU、寄存器、内存等底层状态信息，进而拦截违规操作，增强了恶意软件检测的安全性，适用于检测多种类型的恶意软件以及运行于不同的操作系统版本，大大提高了检测的通用性和移植性。

为了实现上述目的，本发明采用如下技术方案：

一种基于内存分析的恶意软件检测方法，包括：

步骤一：获取虚拟机的内存镜像，解析所述内存镜像中的内核数据结构，通过所述内核数据结构分析出恶意软件；

步骤二：获取所述恶意软件的可执行代码，以二进制文件的形式导出所述恶意软件的可执行代码，将所述二进制文件转换为灰度图像。

进一步地，所述步骤一中，获取虚拟机的内存镜像的过程包括：向沙箱提交恶意软件样本；通过预生成的正常内存快照恢复所述虚拟机的运行；将所述恶意软件样本上传至所述虚拟机的内部，运行所述恶意软件样本，在所述虚拟机的内部生成内存镜像。

进一步地，所述步骤一中，解析所述内存镜像中的内核数据结构的过程包括：获取所述内核数据结构的初始进程和所述初始进程的内存地址；从所述初始进程和所述初始进程的内存地址遍历所述内存镜像中的内核数据结构；获得驻留在所述内存镜像中的每个进程名信息和每个进程内存映射空间信息。

进一步地，所述步骤一中，通过所述内核数据结构分析出恶意软件的过程包括：匹配所述进程名信息和所述恶意软件样本，获取所述恶意软件样本的进程。

进一步地，所述步骤一中，还包括：提取所述恶意软件样本进程的内存快照，利用虚拟机自省工具导出所述内存快照。

进一步地，所述步骤二中，获取所述恶意软件的可执行代码的过程包括：提取所述进程名信息所对应的进程内存映射空间信息，解析所述进程内存映射空间信息以获取所述恶意软件的可执行代码。