程微微 张琦 谢亿鑫

无锡江南计算技术研究所 江苏 214083

0 引言

对于恶意代码进行分析的研究人员来说，虚拟机是一个非常有用的工具。研究人员可以在虚拟机中执行恶意代码的样本，然后对其行为进行分析。一旦分析结束，可以迅速恢复系统，而且对真实主机没有丝毫危害。它提供了一种确认程序是否是恶意代码的安全手段。然而攻击者为了提高恶意程序的隐蔽性以及破坏真实主机的成功率，他们都会在恶意程序中加入检测虚拟机的代码，以判断程序所处的运行环境。当发现程序处于虚拟机(特别是蜜罐系统)中时，它就会改变操作行为或者中断执行，甚至进行拒绝服务攻击和渗透攻击。本文主要对当前的虚拟机检测技术及其检测的准确率进行研究，然后针对当前一些恶意代码使用的虚拟检测技术进行反检测研究。

1 虚拟机技术

本文所指的虚拟机(Virtual Machine)是指通过软件模拟的具有完整硬件系统功能的、运行在一个完全隔离环境中的完整计算机系统。通过虚拟机环境(Virtual Machine Environment)，比如VMware、Virtual PC、Xen、BOCHS以及用户模式下的Linux，你可以在一台宿主计算机上模拟出一台或多台虚拟的寄宿计算机，这些虚拟机完全就像真正的计算机那样进行工作，例如你可以安装操作系统、安装应用程序、访问真实或虚拟设备以及访问网络资源等等，虚拟机在宿主主机中的位置如图1所示。

图1 虚拟机架构图

2 虚拟机检测常用技术

通过虚拟机架构图可知，在恶意软件分析中，虚拟机技术提高了木马、病毒等恶意样本分析过程的安全性以及硬件资源的节约性，因此虚拟机技术在恶意软件领域中是应用越来越广泛。……