| 本文已被：浏览 6220次 下载 10110次 |
码上扫一扫！ |
|
|
| 恶意软件网络协议的语法和行为语义分析方法 |
|
应凌云1,2,3, 杨轶1, 冯登国1,2, 苏璞睿1
|
|
1.中国科学院 软件研究所 信息安全国家重点实验室,北京 100190;2.中国科学院 研究生院 信息安全国家重点实验室,北京 100049;3.信息安全共性技术国家工程研究中心,北京 100190
|
|
| 摘要: |
| 网络协议逆向分析是恶意软件分析的一项重要内容.现有的网络协议逆向分析方法主要考虑获取消息和协议语法,缺少数据的行为语义,导致分析者难以在网络数据和恶意软件行为之间建立起对应关系.提出一种协议的语法规范和字段行为语义分析方法,该方法利用基于虚拟执行环境的动态程序分析技术,通过分析恶意对网络数据的解析过程提取协议语法信息,并根据恶意软件对协议字段的使用方式获取字段的程序行为语义.结合API 拦截和指令执行监控,该方法降低了分析复杂度,提高了分析效率.在所设计和实现的原型系统Prama(protocol reverse analyzer for malware analysis)上的实验结果表明,该方法能够较为准确地识别字段,提取协法规范,并能在命令字段与其引起的程序行为之间建立起有效的对应关系. |
| 关键词: 恶意软件分析 网络协议逆向分析 动态分析 网络安全 |
| DOI：10.3724/SP.J.1001.2011.03858 |
| 分类号: |
| 基金项目:国家自然科学基金(60703076, 61073179); 国家高技术研究发展计划(863)(2009AA01Z435, 2007AA01Z451) |
|
| Syntax and Behavior Semantics Analysis of Network Protocol of Malware |
|
YING Ling-Yun1,2,3, YANG Yi1, FENG Deng-Guo1,2, SU Pu-Rui1
|
|
1.State Key Laboratory of Information Security, Institute of Software, The Chinese Academy of Sciences, Beijing 100190, China;2.State Key Laboratory of Information Security, Graduate University, The Chinese Academy of Sciences, Beijing 100049, China;3.National
|
| Abstract: |
| Network protocol reverse analysis is an important aspect of malware analysis. There are many different
network protocols and every protocol contains different types of fields that result in various malware behaviors.
Without the protocol syntax and filed semantics, analyzers cannot understand how malware interacts with the
outside network. This paper presents a syntax and a behavior semantics analysis method of the network protocol. By
monitoring the way malware parse the network data and by using different fields in a virtual execution environment,
this method can identify protocol fields, extract protocol syntax and correlate each syntax with malware behaviors,
accordingly. This paper designs and implements the prototype Prama (protocol reverse analyzer for malware
analysis). Experimental results show that this method can correctly infer protocol syntax and tag fields with
meaningful malware behaviors. |
| Key words: malware analysis network protocol reverse analysis dynamic analysis network security |
