用于恶意软件检测的对应用的通用拆包

摘要

用于检测可执行文件中的恶意软件的技术允许在判断该可执行文件是否是恶意软件之前就对经打包的可执行文件拆包。在具有硬件辅助的虚拟化的系统中，硬件虚拟化特征可以被用来不需要对打包技术的知晓就以受控方式迭代地对经打包的可执行文件拆包。一旦可执行文件被完全拆包，则可以采用诸如签名扫描之类的恶意软件检测技术来判断可执行文件是否包含恶意软件。硬件辅助的虚拟化可以被用来促进对存储器中的运行时可执行文件的扫描。

主权项

一种非瞬态计算机可读介质，包括存储在所述非瞬态计算机可读介质上的计算机可执行指令，所述计算机可执行指令使一个或多个处理单元：将自解压可执行文件加载到存储器中，所述自解压可执行文件包括第一拆包存根和经打包的可执行文件；允许所述第一拆包存根将所述经打包的可执行文件拆包为经拆包的可执行文件；独立于对所述第一拆包存根的知晓，使用一个或多个试探法来检测所述第一拆包存根的完成；以及对所述经拆包的可执行文件扫描恶意软件。