12、基于属性自动机的恶意软件行为检测

基于属性自动机的恶意软件行为检测

1. 恶意软件的复制与传播行为

1.1 复制行为

复制行为有不同的技术，上述仅描述了单块读写，完整描述还支持交错读写和直接复制。语义规则确保读写交互之间通过同一变量进行数据流传输（绑定规则： <Write>.varId = <Read>.varId ），还通过限制读交互引用自身来保证行为的恶意性（类型规则： <Duplicate>.srcTp = this ）。复制行为的语法规则如下：

(i) <Duplicate>
::= <Create><Open>
<Read><Write>
|
<Open><Create>
<Read><Write>
|
<Open><Read>
<Create><Write>
{ <Duplicate>.srcId = <Open>.objId
<Duplicate>.srcTp = this
<Duplicate>.targId = <Create>.objId
<Duplicate>.targTp = obj perm
<Open>.objTp = <Duplicate>.srcTp
<Create>.objTp = <Duplicate>.targTp
<Read>.objId