[发明专利]一种虚拟机检测对抗方法、装置、电子设备及存储介质

说明书

本申请公开了一种虚拟机检测对抗方法、装置、电子设备及存储介质，该方法包括运行待检测样本；当接收到待检测样本发送的查询指令时，运行查询指令对应的查询函数，并在运行查询函数的过程中，利用对应的修改程序，将查询函数获取的虚拟机特征值替换为非虚拟机特征值；利用查询函数根据非虚拟机特征值获取查询结果；并将查询结果返回给待检测样本；该方法利用查询函数对应的修改程序，将查询函数获取的虚拟机特征值替换为非虚拟机特征值，使得待检测样本不能够根据接收的查询结果确定当前运行环境为虚拟机环境，能够有效实现对抗恶意样本中的虚拟机检测，避免出现由于识别当前运行环境而造成的恶意样本遗漏的情况。

技术领域

本申请涉及网络安全技术领域，尤其涉及一种虚拟机检测对抗方法、装置、电子设备及存储介质。

背景技术

在信息技术、互联网技术快速发展的同时，也为网络安全带来了巨大的挑战。而恶意样本的存在会对用户数据以及网络安全造成严重损坏。为了快速及时鉴定网络上出现的大量样本的恶意情况，通常采用静态特征扫描结合动态鉴定系统来识别恶意样本。

目前，恶意样本为了避免被动态鉴定系统捕获，其作者常常在恶意样本中增加虚拟机检测代码。如果恶意样本在运行该虚拟机检测代码时，发现当前运行环境是虚拟机环境，则会执行一些虚假的动作，或者直接退出。从而避免被标识为恶意样本，躲避系统后续对于该恶意样本的拦截。因此，为了避免遗漏上述恶意样本的捕获，需要对恶意样本中的虚拟机检测实现有效对抗。

发明内容

有鉴于此，本申请提供了一种虚拟机检测对抗方法、装置、电子设备及存储介质，利用修改程序将查询函数获取的虚拟机特征值替换为非虚拟机特征值，使得待检测样本不能够根据接收的查询结果得到当前运行环境为虚拟机环境的结论，能够有效实现对抗恶意样本中的虚拟机检测，避免出现由于识别当前运行环境而造成的恶意样本遗漏的情况。

为实现上述目的，一方面，本申请提供了一种虚拟机检测对抗方法，包括：

运行待检测样本；

当接收到所述待检测样本发送的查询指令时，运行所述查询指令对应的查询函数，并在运行所述查询函数的过程中，利用对应的修改程序，将所述查询函数获取的虚拟机特征值替换为非虚拟机特征值；

利用所述查询函数根据所述非虚拟机特征值获取查询结果，并将所述查询结果返回给所述待检测样本。

在一种可能的实现方式中，在所述运行待检测样本之前，还包括：

在所述查询函数中注入所述修改程序。

在又一种可能的实现方式中，所述在所述查询函数中注入所述修改程序，包括：

获取所述查询函数的地址；

根据所述地址，将所述修改程序挂钩到所述查询函数中。

在又一种可能的实现方式中，当所述查询函数为检索对象查询函数时，所述利用对应的修改程序，将所述查询函数获取的虚拟机特征值替换为非虚拟机特征值，包括：

利用所述修改程序判断所述检索对象查询函数接收到的所述查询指令中是否存在所述虚拟机特征值；

若存在所述虚拟机特征值，则生成与所述虚拟机特征值不同的替换字符串作为所述非虚拟机特征值，以替换所述虚拟机特征值。

在又一种可能的实现方式中，当所述查询函数为枚举结果检索函数时，所述利用对应的修改程序，将所述查询函数获取的虚拟机特征值替换为非虚拟机特征值，包括：

利用所述修改程序获取所述枚举结果检索函数得到的进程信息中属性值参数对应的属性字段，并判断所述属性字段中是否存在预设属性字段；

若存在所述预设属性字段，则获取所述预设属性字段对应的属性值；