[发明专利]一种虚拟沙盒针对混淆代码的优化方法

说明书

本发明公开一种虚拟沙盒针对混淆代码的优化方法，通过在阶段性时间片内在虚拟沙盒中的运行，定位到在时间片结束后病毒样本在虚拟沙盒中的运行代码位置；根据阶段性时间片运行后，通过对当前代码所在位置进行模式匹配的方式，最终决定虚拟沙盒当前所在位置代码特征或所调用API决定是否执行优化逻辑；针对需要进行优化的病毒样本，相对于之前代码所在位置进行准确特征识别等步骤，本发明在基于反病毒虚拟机引擎针对病毒样本中的混淆代码进行优化的方法，最终决定虚拟沙盒当前所在位置代码特征或所调用API决定是否执行优化逻辑，然后针对需要进行优化的病毒样本，相较于之前代码所在位置进行准确特征识别，最终达到对病毒样本的通用检出效果。

技术领域

本发明涉及信息安全技术领域，特别是涉及一种虚拟沙盒针对混淆代码的优化方法。

背景技术

目前在信息安全领域中，恶意代码检测一直都是各个安全厂商所面临的首要问题。但是近年来，一些主流病毒家族为了与安全软件厂商进行免杀对抗，大范围在病毒样本中使用代码混淆技术。安全软件厂商为了与不断变化的混淆代码进行对抗，追求更高的病毒检出率，从而发展出了虚拟沙盒技术。反病毒引擎中的虚拟沙盒，可以用来将病毒样本在虚拟环境中进行虚拟执行，最终通过判断行为及中间内存特征达到更高的检出效果。但是随着病毒混淆代码技术的不断发展，其混淆代码中会加入超大的耗时循环(如：无用代码重复执行100万次之后再执行实质性的病毒代码)，导致病毒样本在有限的扫描时间内无法在虚拟沙盒中运行到实质性病毒代码，最终导致反病毒引擎无法针对此类混淆样本达到原有的通用检测目的。

发明内容

鉴于此，本发明提供了一种虚拟沙盒针对混淆代码的优化方法，具体方案如下：

一种虚拟沙盒针对混淆代码的优化方法，包括

根据病毒在阶段性时间片(如：若干条汇编指令)执行后所处的代码特征，匹配混淆代码中冗余、超时操作相关代码，进行针对性代码或执行环境优化；

根据病毒在阶段性时间片内重复调用的系统API(application programminginterface)执行后所处的代码特征，匹配混淆代码中冗余、超时操作相关代码，进行针对性代码或执行环境优化；

根据该病毒样本中的混淆代码，选择在虚拟沙盒中具体的代码和环境优化处理流程；

具体的操作步骤如下：

步骤一，通过在阶段性时间片内在虚拟沙盒中的运行，定位到在时间片结束后病毒样本在虚拟沙盒中的运行代码位置；

步骤二，根据阶段性时间片运行后，通过对当前代码所在位置进行模式匹配的方式，最终决定虚拟沙盒当前所在位置代码特征或所调用API决定是否执行优化逻辑；

步骤三，针对需要进行优化的病毒样本，相对于之前代码所在位置进行准确特征识别；

步骤四，在特征识别后，根据现有情况决定具体的优化逻辑，即：进行虚拟环境修改或进行代码逻辑二进制修改；

步骤五，在进行优化之后，继续进行虚拟执行代码。

采用上述技术方案，具有如下有益效果：

本发明在基于反病毒虚拟机引擎针对病毒样本中的混淆代码进行优化的方法，在虚拟沙盒中运行，在时间结束后定位到病毒样本在虚拟沙盒中的运行代码位置，并通过对当前代码所在的位置进行模式匹配，最终决定虚拟沙盒当前所在位置代码特征或所调用API决定是否执行优化逻辑，然后针对需要进行优化的病毒样本，相较于之前代码所在位置进行准确特征识别，判断是否需要优化，最终达到对病毒样本的通用检出效果。

附图说明

图1为本发明使用的样本代码优化流程；

图2为本发明样本需要优化的代码情况；

图3为本发明所使用样本的最终检测结果。