一种基于处理器跟踪的内存恶意代码检测方法
基本信息
| 申请号 | CN202111104188.0 | 申请日 | - |
| 公开（公告）号 | CN113569244B | 公开（公告）日 | 2021-12-03 |
| 申请公布号 | CN113569244B | 申请公布日 | 2021-12-03 |
| 分类号 | G06F21/56（2013.01）I | 分类 | 计算；推算；计数; |
| 发明人 | 田红伟;魏勇;徐文勇 | 申请（专利权）人 | 成都数默科技有限公司 |
| 代理机构 | 成都天嘉专利事务所（普通合伙） | 代理人 | 赵凯 |
| 地址 | 610000四川省成都市中国（四川）自由贸易试验区成都高新区天府大道北段28号1栋2单元15层06号 | ||
| 法律状态 | - | ||
摘要
| 摘要 | 本发明公开了一种基于处理器跟踪的内存恶意代码检测方法，属于信息安全技术领域，其特征在于，包括以下步骤：a、驱动模块初始化Intel处理器跟踪功能；b、监控目标进程的代码执行路径；c、解码缓冲区获取执行路径的完整虚拟地址；d、对内存页进行恶意代码检测；e、判断代码是否属于可信内存代码；f、检测内存代码API调用记录和COM接口调用记录，并与异常行为知识库进行匹配。本发明除了能对无文件攻击中使用的内存代码、经过加壳的恶意代码、加密后的恶意代码病毒和木马常见场景进行检测外，同时对漏洞利用过程中的shellcode代码执行同样也有检测效果，不仅检测效果好，而且具有很好的普适性。 |
