公开(公告)号：CN104021343B

公开(公告)日：2016-08-24

申请号：CN201410201515.8

申请日：2014-05-06

Applicant: 南京大学

Inventor： 曾庆凯 ,  周志胜

IPC: G06F21/56

Abstract: 基于堆访问模式的恶意程序监控方法，步骤如下：(1)恶意程序的监控；请求程序监控服务，获取堆访问模式，并将被监控程序表现出的堆访问模式与恶意程序模型库中特征进行对比，判断是否为恶意程序行为，并进行处理；(2)恶意程序模型库的建立；收集所关注的恶意程序家族的样本集合；通过程序监控服务，获取各样本的堆访问模式，计算获得恶意程序家族堆访问模式的共同特征作为恶意程序家族的特征模型，建立恶意程序模型库；并求取各恶意程序家族的堆访问模型，构成恶意程序模型库，作为判断待监控程序行为是否恶意的参照依据；(3)程序监控服务；基于Ether的指令级监控功能，通过监控程序运行，提取程序执行过程中的堆访问特征序列；为恶意程序的监控和恶意程序模型库建立提供服务支持。

公开(公告)号：CN104021343A

公开(公告)日：2014-09-03

申请号：CN201410201515.8

申请日：2014-05-06

Applicant: 南京大学

Inventor： 曾庆凯 ,  周志胜

IPC: G06F21/56

CPC classification number: G06F21/566

Abstract: 基于堆访问模式的恶意程序监控方法，步骤如下：(1)恶意程序的监控；请求程序监控服务，获取堆访问模式，并将被监控程序表现出的堆访问模式与恶意程序模型库中特征进行对比，判断是否为恶意程序行为，并进行处理；(2)恶意程序模型库的建立；收集所关注的恶意程序家族的样本集合；通过程序监控服务，获取各样本的堆访问模式，计算获得恶意程序家族堆访问模式的共同特征作为恶意程序家族的特征模型，建立恶意程序模型库；并求取各恶意程序家族的堆访问模型，构成恶意程序模型库，作为判断待监控程序行为是否恶意的参照依据；(3)程序监控服务；基于Ether的指令级监控功能，通过监控程序运行，提取程序执行过程中的堆访问特征序列；为恶意程序的监控和恶意程序模型库建立提供服务支持。