针对恶意代码的连续内存镜像分析方法

doi:10.11959/j.issn.2096-109x.2017.00144

网络与信息安全学报 ›› 2017, Vol. 3 ›› Issue (2): 20-30.doi: 10.11959/j.issn.2096-109x.2017.00144

针对恶意代码的连续内存镜像分析方法

李伟明¹(),邹德清¹,孙国忠²

¹ 华中科技大学计算机学院，湖北武汉 430074
² 曙光信息产业有限公司，北京 100080

修回日期:2016-10-23 出版日期:2017-02-01 发布日期:2017-02-10
作者简介:李伟明（1975-），男，湖南株洲人，博士，华中科技大学副教授，主要研究方向为信息安全。|邹德清（1973-），男，湖南湘潭人，博士，华中科技大学教授、博士生导师，主要研究方向为云计算、信息安全。|孙国忠（1973-），男，吉林大安人，博士，曙光信息产业（北京）有限公司高级工程师，主要研究方向为高性能计算、云计算。
基金资助:
国家自然科学基金资助项目(61272072);国家重点基础研究与发展计划基金资助项目（“973”计划）(2016YFB0200300)

Successive memory image analysis method for malicious codes

Wei-ming LI¹(),De-qing ZOU¹,Guo-zhong SUN²

¹ School of Computer Science, Huazhong University of Science and Technology, Wuhan 430074, China
² Dawning Information Industry Co., Ltd., Beijing 100080, China

Revised:2016-10-23 Online:2017-02-01 Published:2017-02-10
Supported by:
The National Natural Science Foundation of China(61272072);The National Basic Research Program of China (973 Program)(2016YFB0200300)

摘要/Abstract

摘要：

为了更加全面地检测恶意代码的行为，提出连续内存镜像分析技术。核心是在QEMU虚拟机中运行恶意代码样本，获取样本运行时期连续增量的内存镜像，然后按照时序解析为多个完整的内存镜像。在单个内存镜像分析的基础上，对不同时刻内存镜像做对比分析。同时设计运用可视化工具D3.js，以图表的形式直观动态地展示系统运行过程中内存状态的变化。最后实现原型系统，通过对40种恶意代码样本进行测试，检测出的恶意代码行为数量在传统单镜像内存分析的基础上增加了19.7%。

关键词: 恶意代码, 内存镜像, 对比分析, 数据可视化

Abstract:

In order to detect the behavior of malicious code more comprehensively, the technology of continuous memory image analysis was proposed. The core idea was to run malicious code in QEMU virtual machine, to obtain the memory image of the continuous increment in the running period, and then to analyze the memory image of the base and increment as the memory image. On the basis of the analysis of a single memory image, different memory images were analysised comparatively. At the same time, the visualization tool D3.js was used to visually display the change of the memory state in the process of system operation. Finally, the prototype system was tested by 40 kinds of malicious code samples, and the number of malicious code behavior was increased by 19.7% than traditional sin-gle memory image.

Key words: malware, memory image, comparative analysis, data visualization

中图分类号:

TP309

李伟明,邹德清,孙国忠. 针对恶意代码的连续内存镜像分析方法[J]. 网络与信息安全学报, 2017, 3(2): 20-30.

Wei-ming LI,De-qing ZOU,Guo-zhong SUN. Successive memory image analysis method for malicious codes[J]. Chinese Journal of Network and Information Security, 2017, 3(2): 20-30.

图/表 19

图1

图2

图3

图4

图5

图6

图7

图8

表1

图9

表2

图10

图11

表3

表4

图12

图13

图14

图15

参考文献 11

[1]	2014-2015中国互联网安全研究报告[R]．猎豹移动安全实验室， 2015.
	2014-2015 Report of China Internet security study[R]. Cheetah Mo-bile Security Laboratory, 2015.
[2]	ROLLES R . Unpacking virtualization obfuscators[C]// The 3rd USENIX Conference on Offensive Technologies. 2009:1.
[3]	WALTERS A A , PETRONI N L . Volatools: integrating volatile memory into the digital investigation process[C]// Black Hat DC. 2007:9-20.
[4]	殷联甫．计算机取证中的物理内存取证分析方法研究[J]. 计算机应用与软件， 2010,27(12):295-298.
	YIN L F . Study of physical memory forensic analysis method in computer forensics[J]. Computer Application and Software, 2010,27(12):295-298.
[5]	DOLAN-GAVITT B . Forensic analysis of the Windows registry in memory[J]. Digital Investigation. 2008,5(1):S26-S32.
[6]	OKOLICA J , PETERSON G L . Windows operating systems agnostic memory analysis[J]. Digital Investigation. 2010(7):S48-S56.
[7]	KORNBLUM J . Exploiting the Rootkit paradox with Windows memory analysis[J]. International Journal of Digital Evidence Fall. 2006,5(1):4.
[8]	STEVENS R M , CASEY E . Extracting Windows command line details from physical memory[J]. Digital investigation. 2010(7):S57-S63.
[9]	BERGERON J , DEBBABI M , DESHARNAIS J , et al. Static detec-tion of malicious code in executable programs[C]// BIBUV. 2005:1-5.
[10]	YIN H , SONG D , EGELE M , et al. Panorama: capturing sys-tem-wide information flow for malware detection and analysis[C]// The 14th ACM Conference on Computer and Communications Security. 2007:116-127.
[11]	WILLEMS C . CWSandbox: automatic behaviour analysis of mal-ware[J]. Digital Investigation. 2013,3(4):97-12.

对象	标签	标签（保护）	最小大小/B（Win7 X64）
Process	Proc	Pro\xe3	1 304
Thread	Thrd	Thr\xe4	1 248
Mutant	Mute	Mut\xe5	128
Driver	Driv	Dri\xf6	408
File	File	Fil\xe5	288

域名	含义	取值范围
links_add	新增连线	当前时刻较上一时刻新增的节点
nodes_remove	移除节点	当前时刻较上一时刻减少的节点
nodes_add	新增节点	当前时刻较上一时刻新增的连线
links_remove	移除连线	当前时刻较上一时刻减少的连线

编号	样本名称	编号	样本名称
1	aimware	21	wj
2	_v_exe	22	YY_611j_dk
3	5	23	Fallen
4	8de13aa98	24	Trojan.Spy
5	56be19bc00	25	Angeldos
6	b12b4b580c	26	KingBomb
7	BP	27	Winp
8	c380ab61	28	AIM
9	ebe3ae8749	29	XScript.03
10	Explorer	30	KillCerb
11	GenericMalware	31	Acidoor.11
12	ghostface	32	parite
13	He	33	AF
14	InstaGet	34	MiSpace.a
15	juschk	35	Lovesan.a
16	Mega_Joiner	36	keylogger
17	Office	37	lastgift
18	Sentry_MBA	38	Inor
19	setup_20006	39	agobot
20	stub	40	Emaner

针对恶意代码的连续内存镜像分析方法

Successive memory image analysis method for malicious codes

在线阅读

pdf下载

可视化

被引次数

摘要/Abstract

引用本文

使用本文

图/表 19

参考文献 11

相关文章 5

Metrics

推荐阅读 0

恶意代码行为		检测到恶意代码行为
恶意代码行为
	文件B超	连续内存镜像分析技术
进程检测	否	是
代码注入	否	是
注册表	是	是
设置启动项	是	是
互斥量	是	是
尝试访问主机	否	是
释放PE文件	是	是
提升调试权限	是	是
枚举进程树	是	否

[1]	李炳龙, 佟金龙, 张宇, 孙怡峰, 王清贤, 常朝稳. 基于TensorFlow的恶意代码片段自动取证检测算法[J]. 网络与信息安全学报, 2021, 7(4): 154-163.
[2]	马国峻,王水波,裴庆祺,詹阳. 基于主成分分析和K-means聚类的平行坐标可视化技术研究[J]. 网络与信息安全学报, 2017, 3(8): 18-27.
[3]	张东,张尧,刘刚,宋桂香. 基于机器学习算法的主机恶意代码检测技术研究[J]. 网络与信息安全学报, 2017, 3(7): 25-32.
[4]	张毅凡,董笑菊. 分布式拒绝服务的可视分析[J]. 网络与信息安全学报, 2017, 3(2): 53-65.
[5]	杨益敏,陈铁明. 基于字节码图像的Android恶意代码家族分类方法[J]. 网络与信息安全学报, 2016, 2(6): 38-43.