[发明专利]一种恶意代码检测方法

权利要求书

1.一种恶意代码检测方法，其特征在于，包含如下步骤：

a)根据已知恶意行为的关键步骤以及它们之间的时序关系和状态关系获得已知恶意行为的有穷状态自动机，所述关键步骤包括杀死反病毒软件进程行为的关键步骤、自启动行为的关键步骤、击键记录行为的关键步骤、分布式拒绝服务攻击行为的关键步骤；

b)建立待检测的二进制可疑程序的下推自动机；

c)检测步骤b)所述的下推自动机接受的语言和步骤a)所述的有穷状态自动机接受的语言之间是否有交集，若是，则判定上述待检测的可疑程序为恶意程序。

2.如权利要求1所述的恶意代码检测方法，其特征在于，步骤a)所述的有穷状态自动机通过下述方法获得：

由已知恶意代码得到一个或多个恶意代码功能组件，提取每个功能组件中的关键行为及其行为时序序列，进而对其作自动机描述从而得到已知恶意行为的有穷状态自动机。

3.如权利要求2所述的恶意代码检测方法，其特征在于，将获得的已知恶意行为的有穷状态自动机合并成已知恶意行为描述库，并不断更新其中的已知恶意代码的有穷状态自动机。

4.如权利要求3所述的恶意代码检测方法，其特征在于，所述恶意行为描述库包含杀死反病毒软件进程的恶意代码的有穷状态自动机，自启动操作系统的恶意代码的有穷状态自动机，击键记录的恶意代码的有穷状态自动机，和分布式拒绝服务攻击的恶意代码的有穷状态自动机。

5.如权利要求1所述的恶意代码检测方法，其特征在于，步骤b)所述的下推自动机通过下述方法获得：

i.对待检测的二进制可疑程序执行反汇编得到汇编语言；

ii.对上述汇编语言执行反编译得到中间语言；

iii.由上述中间语言生成该二进制可疑程序的一个或多个下推自动机；

6.如权利要求1所述的恶意代码检测方法，其特征在于，步骤c)使用MOPS的model checker进行所述检测。

7.如权利要求1所述的恶意代码检测方法，其特征在于，步骤c)之后还输出可疑程序中的包含有恶意行为的执行路径。