章瑞康，周 娟，袁 军，李文瑾，顾杜娟

(绿盟科技集团股份有限公司，北京100089)

0 引言

随着网络环境日趋复杂，越来越多的恶意软件混合使用不同的技术，已经发展成为影响网络安全极为常见和严重的威胁之一。如恶意软件“Stuxnet ”因为能够对工业基础设施造成巨大破坏引起了黑客的广泛关注，与此同时也有相当数量的“Stuxnet ”被发现通过使用不同的技术来持续性攻击特定类型的网络和基础设施[1]；根据绿盟科技发布的网络安全观察报告，以“GandCrab ” 勒索软件家族为例，其背后组织在一年半时间内非法获取20 亿美元，攻击者通过暗网对“GandCrab ” 勒索软件僵尸网络进行管理面板，从而保持长时间匿名，并使用多种方式传播，包括漏洞利用工具包、钓鱼邮件、木马程序。如今有许多恶意软件使用多种攻击技术和载体，具有高隐蔽性、持久化和规避传统防御的特性[2]。

恶意软件的复杂程度越高，对安全分析人员所需要的技术和知识水平要求就越高，恶意软件分析需要一系列的方法和技术来进行，挖掘恶意软件的威胁和意图、识别所利用漏洞和确定攻击来源等，这一系列分析帮助安全运维人员做出应急响应和防御措施。如图1 所示，目前关于恶意软件的检测分析方法主要有人工分析、动态行为分析和恶意代码分析，恶意代码分析又分为静态分析和动态分析[3]。静态分析方法旨在提取恶意软件代码块、strings 、控制流、函数调用等特征进行分析[4]。动态分析使用沙箱监控恶意软件在运行过程中产生的行为数据，如API 调用序列、进程调用、文件操作、网络通信等信息[5]。……