郭方方 王欣悦 王慧强 吕宏武 胡义兵 吴 芳 冯光升 赵 倩

1(哈尔滨工程大学计算机科学与技术学院 哈尔滨 150001) 2(哈尔滨商业大学计算机与信息工程学院 哈尔滨 150028)(guofangfang@hrbeu.edu.cn)

近年来由于恶意代码攻击事件发生频率越来越高，危害性日益凸显.高效率的恶意代码识别方法对于保障主机运行时安全必不可少.现有识别恶意代码方法按检测时代码是否在内存中真实运行可分成2类：1)静态分析方法;2)动态分析方法.动态分析方法相比较于静态分析方法提取到的特征更加准确.因为，即使经过混淆处理后的代码，代码在运行时特征是无法隐藏和改变的，具有更高的识别准确率.因此，使用动态分析方法识别恶意代码已成为研究热点.其中，最常用的技术是动态污点分析技术［1-2].动态污点分析方法首先通过污点标记、污点传播、应用程序接口(application programming interface, API)进行中间截取污点文件，污点文件就是把污点传播路径记录下来，最后使用得到的污点文件构建恶意代码的行为依赖图(malicious code behavior dependency graph, MBDG).目前具有代表性的动态分析工具包主要有CWSandbox［3]，TTAnalyze［4]，Norman Sandbox［5]，Anubis［6]等.

目前，国内外研究重点关注的对象是动态污点分析方法的实现问题.Mchaisen等人［7-8]提出一种AMAL分类器，该分类器能够根据恶意代码的行为进行自动的分析.但该分类器忽视了程序的控制依赖关系，易造成漏报现象.Fattori等人［9]设计了一套恶意代码行为检测系统AccessMiner，实时检测恶意行为，但该系统存在数据量过大、匹配时间过长的问题.Alam等人［10-11]提出了一种MARD框架，该框……