本技术提供了一种勒索软件检测方法、系统、设备及介质,其属于勒索软件检测技术领域,所述方案通过基于跳转指令、指令序列以及数据流向分别进行循环体的识别,有效解决了现有方案无法全面获取可执行程序二进制文件中循环体的问题;针对在经过循环展开和编译优化等方式优化后的代码生成的动态轨迹中,大多数相同跳转地址并不会重复出现的问题,所述方案在基于跳转指令循环体检测的基础上,采用基于指令序列的循环检测方法,基于指令间的时序关系的唯一性来获取基于跳转指令无法获得的循环体;同时,针对两轮循环高度交叉不在轨迹中呈现独立模块的情况,通过采用基于数据流向的方式进一步提高了循环体检测的全面性,进而提升了勒索软件的检测精度。
背景技术
本部分的陈述仅仅是提供了与本发明相关的背景技术信息,不必然构成在先技术。
勒索软件常常会在循环体中执行可疑操作,比如反复尝试连接恶意服务器、持续进行加密解密操作或频繁修改系统文件,识别这些异常循环体有助于发现潜在的恶意活动,实现对勒索软件的有效检测;
传统方法在对循环体进行检测时,大都只是通过检测二进制文件执行轨迹中的跳转指令来检测循环体,此种方式对于经过循环展开和编译优化等方式优化后的代码无法检测到所有的循环体,且对于高度优化后的指令也无法进行循环体的有效检测,无法识别出目标软件中的全部密码算法,进而导致勒索软件的检测精度不足。
实现思路