29、新型恶意软件检测方法解析

新型恶意软件检测方法解析

恶意软件已成为计算机用户面临的最严重威胁之一，每年因恶意软件（如病毒、特洛伊木马和蠕虫）造成的全球经济损失巨大。为了有效应对这一问题，人们提出了多种恶意软件检测方法，主要分为静态分析和动态分析两类。本文将详细介绍一种新型的静态分析恶意软件检测方法。

传统检测方法的局限性

早期的静态分析机制基于语法签名，即代表特定恶意软件实例特征的字符串模式。然而，这种检测机制很容易被恶意软件使用简单的混淆技术绕过，如插入垃圾代码、指令替换、指令重新排序和变量替换等。

为了解决这个问题，一些研究人员提出利用控制流图（CFG）作为恶意软件实例的签名，并将其与基本块的指令类别相结合，以提高检测的准确性。但这些方案仅包含粗略的信息，例如基本块内的指令类别。在某些情况下，一个正常程序可能会因为与特定恶意软件实例具有相同的 CFG 和相同的基本块指令类别而被错误地标记为恶意代码，即产生误报。

代码片段一	代码片段二
PUSH DI PUSH SI MOV AL, [BX+14] MOV CX,0004 BB:MOV SI,CX DEC SI CMP [SI+0176],AL JZ CC LOOP BB MOV CL,3 JMP AA CC:MOV CL,[SI+017A] AA:POP SI POP DI	PUSH BX