14、恶意行为检测与打包器问题研究

恶意行为检测与打包器问题研究

在当今的数字世界中，恶意软件的威胁日益严重，同时打包器的广泛使用给恶意软件检测带来了新的挑战。本文将探讨恶意行为检测技术以及打包器问题的相关内容。

恶意行为检测技术

• 现有检测方法
  • 基于行为的恶意软件检测 ：不同的研究团队采用了多种基于行为的检测方法。例如，Cui等人识别了恶意进程的隐蔽网络连接；Sana Security的ActiveMDT通过关联进程的各种无状态行为来判断其是否恶意；Egele等人提出了检测作为浏览器辅助对象（BHO）实现的间谍软件的方法，通过识别敏感信息的访问和处理以及进行静态分析来判断恶意意图；Yin等人开发的Panorama可以进行全系统、指令级的污点分析，并能表达更多样的泄漏策略。
  • 动态代码分析 ：一些系统使用仿真来监控可疑可执行文件的执行，但仅报告执行期间生成的大量低级事件。也有研究使用符号执行来探索多个执行路径，以解决动态分析的不足。
  • 语义差距问题 ：Garfinkel等人探索了语义差距问题，相关系统包括蜜罐，用于检测隐藏文件。Jones应用隐式技术来推断相关状态，成功检测到了被rootkit隐藏的进程。
• 我们的检测技术
  • 分层架构 ：我们开发了基于分层行为图的新行为监控技术，能够有效识别有意义的高级动作。行为图提供了一种高级规范语言，