A malware analysis method based on symbolic execution tree

In the malware analysis, it is a common method to monitor malware dynamically in a virtual environment. However, with so many branches of executable pathes, path explosion problem will probably occur, leaving some executable pathes uncovered, and hence harming the comprehensiveness of analysis. To solve this problem, we propose a malware analysis method based on symbolic execution tree. This method introduces sinknode and solves the execution of malicious code path by constructing the symbolic execution tree, so improves the analysis of comprehensive. Experiments to analyze the samples of malware show that the method can enhance the efficiency of the analysis with lower time complexity.     

路径条件驱动的混淆恶意代码检测

代码混淆是恶意代码隐藏自身的主要手段之一.本文提出了一种新的动态检测方法，能够有效检测混淆后的恶意代码.该方法能够利用ISR进行动态调试.在调试过程中通过对路径条件的约束求解，驱动恶意代码执行不同的路径更深入地检测隐藏恶意代码.此外，对于需要读取外部资源的恶意代码，恶意行为往往需要结合外部资源才能检测.本文方法能够准确定位外部资源并结合原始恶意代码进行检测，提高检测的准确性.在原型系统的测试中，与12种杀毒软件的横向测试表明，该方法在对混淆恶意代码检测中能有效地降低漏报率.     

基于“In-VM”思想的内核恶意代码行为分析方法

随着互联网的高速发展，网络安全威胁也越来越严重，针对恶意代码的分析、检测逐渐成为网络安全研究的热点。恶意代码行为分析有助于提取恶意代码特征，是检测恶意代码的前提，但是当前自动化的行为捕获方法存在难以分析内核模块的缺陷，本文针对该缺陷，利用虚拟机的隔离特点，提出了一种基于“In-VM”思想的内核模块恶意行为分析方法，实验表明该方法能够分析内核模块的系统函数调用和内核数据操作行为。