一种恶意代码隐藏行为挖掘方法及系统

摘要

本发明涉及一种恶意代码隐藏行为挖掘方法及系统，其步骤包括：在虚拟环境中运行恶意代码；判断恶意代码执行的指令信息和函数信息中是否有隐藏行为路径相关的指令和函数；若检测到延时隐藏相关的执行信息，通过结束相应的延时行为使恶意代码继续执行其后续指令和函数；若检测到条件判断隐藏相关的执行信息，根据其条件判断分类，通过满足其不同路径的执行条件，发掘恶意代码的可能执行路径；将分析完成的恶意代码执行的多种行为路径信息生成恶意代码行为路径树。本发可有效挖掘恶意代码通过延时隐藏和条件判断隐藏的方式躲避分析的隐藏行为，有效发现其可能存在的多种隐藏行为路径，提高恶意代码的隐藏行为分析和挖掘能力。

主权项

一种恶意代码隐藏行为挖掘方法，其步骤包括：1）在虚拟环境中运行恶意代码，逐条监控恶意代码执行的指令信息和函数信息；2）判断恶意代码执行的指令信息和函数信息中是否有隐藏行为路径相关的指令和函数，所述隐藏行为包含延时隐藏和条件判断隐藏两类；3）若检测到延时隐藏相关的执行信息，通过结束相应的延时行为使恶意代码继续执行其后续指令和函数；4）若检测到条件判断隐藏相关的执行信息，根据其条件判断分类，通过满足其不同路径的执行条件，发掘恶意代码的可能执行路径；5）将动态分析完成的恶意代码执行的多路径行为信息以树的形式表示，生成恶意代码行为路径树。