對(duì)抗環(huán)境敏感技術(shù)的代碼脫殼方法.pdf

1、加殼技術(shù)是保護(hù)軟件知識(shí)產(chǎn)權(quán)的常用方法，但是常被惡意代碼用來(lái)躲避殺毒軟件的檢測(cè)，因此對(duì)脫殼技術(shù)的研究是惡意代碼分析的重要部分。當(dāng)前已有很多有效的脫殼技術(shù)，例如定向脫殼技術(shù)、通用脫殼技術(shù)等。但是基于環(huán)境敏感技術(shù)的反脫殼方法，給現(xiàn)有的脫殼方法造成了很大的干擾。環(huán)境敏感技術(shù)先對(duì)執(zhí)行環(huán)境進(jìn)行檢測(cè)，如果當(dāng)前環(huán)境“危險(xiǎn)”，則終止加殼程序的運(yùn)行，這使得以動(dòng)態(tài)執(zhí)行為基礎(chǔ)的通用脫殼工具難以實(shí)現(xiàn)脫殼功能，而定向脫殼工具又缺乏通用性，難以對(duì)使用經(jīng)過(guò)修改的加殼算

2、法的惡意代碼進(jìn)行有效脫殼。
　　 本文提出了對(duì)抗環(huán)境敏感技術(shù)的代碼脫殼方法，并開發(fā)了原型系統(tǒng)MalUnpack。本方法首先對(duì)環(huán)境敏感信息打污點(diǎn)標(biāo)簽，并使用動(dòng)態(tài)污點(diǎn)追蹤技術(shù)記錄加殼程序執(zhí)行軌跡中的污點(diǎn)傳播過(guò)程；然后，利用中間語(yǔ)言對(duì)記錄的污點(diǎn)傳播過(guò)程進(jìn)行形式化表示，并收集和推理其中的條件約束，得到環(huán)境污點(diǎn)信息同脫殼行為的依賴關(guān)系；之后，使用反向分析和二進(jìn)制代碼插裝技術(shù)，修改加殼程序中對(duì)應(yīng)的條件跳轉(zhuǎn)指令，清除加殼程序的環(huán)境敏感性，使動(dòng)

3、態(tài)脫殼工具能夠提取加殼程序中被隱藏的代碼。為了證明該方法的有效性，本文在BitBalze平臺(tái)的基礎(chǔ)上實(shí)現(xiàn)了MalUnpack原型系統(tǒng)，并對(duì)大量的加殼惡意代碼樣本進(jìn)行實(shí)驗(yàn)。實(shí)驗(yàn)結(jié)果表明，該方法能夠有效地識(shí)別并清除加殼代碼的環(huán)境敏感性，其脫殼效果明顯優(yōu)于現(xiàn)有的脫殼工具.
　　 本文提出的對(duì)抗環(huán)境敏感技術(shù)的脫殼方法使用動(dòng)態(tài)分析和靜態(tài)分析相結(jié)合的方式，檢測(cè)并清除加殼程序的環(huán)境敏感性，解決了環(huán)境敏感技術(shù)對(duì)現(xiàn)有脫殼工具的干擾。該方法為受環(huán)境