朱立军

(沈阳化工大学计算机科学与技术学院，辽宁沈阳110142)

目前，对于已知计算机恶意代码检测方法主要是基于特征码的方法，其基本思想是提取病毒样本中能唯一标识该病毒的二进制串作为该病毒的“特征码”，并将此“特征码”添加到病毒特征库中，在病毒检测时，通过在病毒特征库中查找是否存在相匹配的“特征码”来发现病毒.这种方法的优点是能快速、准确地检测出已知恶意代码;缺点是对未知恶意代码却无能为力.

由于对计算机病毒的检测具有不可判定性［1－2］，因此，为了识别未知恶意代码及其变种，人们提出了很多近似算法，其中具有代表性的是:(1)静态启发式扫描技术，即在代码没有运行的状态下，通过分析代码中的特征序列来识别恶意代码的方法.例如文献［3］通过分析可执行文件静态调用的API序列来识别已知恶意代码的变种，它的依据是恶意代码和它的变种一定有足够多相似的API调用序列;文献［4］通过提取已知恶意代码中的特征串和字节序列，并利用多重贝叶斯算法建立了分类模型.这些方法虽然取得了较好的识别效果，但缺点是对被加壳的恶意代码无能为力.(2)基于代码的动态行为分析法，与静态扫描技术不同的是，行为分析技术监控代码运行时的动态行为，由于某些行为是病毒、木马等恶意代码经常出现的行为，而在合法程序中却比较罕见，它们可作为判别应用程序是否非法的依据.文献［5］通过代码……