[发明专利]一种基于中间语言的工控恶意软件字符串反混淆方法

权利要求书

1.一种基于中间语言的工控恶意软件字符串反混淆方法，其特征在于，包括如下步骤：

反编译工控恶意软件，得到初始化函数、代码段和数据段；

对所述数据段模拟执行所述初始化函数；

将模拟执行后的数据段覆盖到所述工控恶意软件中，得到第一解密结果；

识别所述数据段中的加密字符串；

对所述加密字符串解密，将解密后的字符串写回原数据位置，得到第二数据段；

将所述第二数据段覆盖到所述工控恶意软件中，得到第二解密结果；

对所述第一解密结果和所述第二解密结果进行解密性验证。

2.如权利要求1所述的基于中间语言的工控恶意软件字符串反混淆方法，其特征在于，所述工控恶意软件包括：

采用统一解密型字符串混淆方案的工控恶意软件和采用使用时解密型字符串混淆方案的工控恶意软件。

3.如权利要求2所述的基于中间语言的工控恶意软件字符串反混淆方法，其特征在于，所述对所述数据段模拟执行所述初始化函数，包括：

基于解释型指令集模拟策略设计中间语言IDA microcode模拟执行引擎BinVM；

使用所述BinVM对所述初始化函数进行模拟执行。

4.如权利要求3所述的基于中间语言的工控恶意软件字符串反混淆方法，其特征在于，所述识别所述数据段中的加密字符串，包括：

使用IDAPro对所述数据段进行识别，所述数据段中的非ASCII和非中文编码的字符串信息都被作为所述加密字符串。

5.如权利要求4所述的基于中间语言的工控恶意软件字符串反混淆方法，其特征在于，所述对所述加密字符串解密，将解密后的字符串写回原数据位置，得到第二数据段，包括：

根据数据段与代码段之间的映射关系，由所述加密字符串查询到该字符串在所述代码段被引用的位置，将该位置的下一个函数作为字符串解密函数；

使用所述BinVM模拟执行所述字符串解密函数，完成字符串解密；

将解密后的字符串写回原数据位置，得到所述第二数据段。

6.如权利要求5所述的基于中间语言的工控恶意软件字符串反混淆方法，其特征在于，所述对所述第一解密结果和所述第二解密结果进行解密性验证，包括：

若所述第一解密结果或所述第二解密结果位于ASCII码或Unicode中文编码范围内，则解密成功，并将位于范围内的解密结果作为最终解密结果。