[发明专利]基于静态特征的PE文件加壳检测方法

摘要

一种基于静态的PE文件加壳检测方法，在实际执行目标PE文件来对其进行解壳之前，先通过静态分析PE文件特征的方法来检测其是否加壳。只有检测为加了壳的PE文件才有必要交由通用解壳工具进行解壳处理，解壳后的代码再由反病毒软件负责进行病毒检测。由于能避免实际未加壳的PE文件被通用解壳工具处理的过程，并且基于静态特征的PE文件加壳检测过程具有耗时少、误报率低和漏报率低的优点，这样就改进了病毒的检测过程，节省了处理时间。

主权项

一种基于静态特征的PE文件加壳检测方法，其特征是：按以下步骤进行：针对每一个待检测的PE文件，首先对其进行静态文件分析，提取出该PE文件的9个特征值，然后使用PE文件分类器来进行加壳检测；检测为加壳的PE文件就用通用解壳工具来进行解壳，然后再使用基于签名的反病毒软件来检测其是否为病毒；检测为未加壳的PE文件则跳过通用解壳工具的处理，直接使用基于签名的反病毒软件来进行病毒检测；上述PE文件的9个特征值定义如下：1)标准节的个数；2)非标准节的个数；3)具有可执行属性的节的个数；4)同时具有可读/可写/可执行属性的节的个数；5)IAT表中所含表项的个数；没有IAT表时取值‑1；6)PE文件头的熵；取值0～8；7)代码节的熵；取值0～8；没有代码节时取值‑1；8)数据节的熵；取值0～8；没有数据节时取值‑1；9)PE文件的熵；取值0～8；上述分类器选用以下四种之一：a、贝叶斯分类器；b、Weka开发的基于C4.5决策树分类算法的J48决策树分类器；c、Weka开发的基于K最近邻居分类算法的IBk分类器；d、Multi Layer Perceptron分类器。