Win32环境下恶意代码行为分析实验及思考

摘要

为了对Win32环境下恶意代码的行为进行分析，设计了一种捕获软件行为的方法，可将软件运行过程中Win32 API及参数的调用情况记录下来。在此基础上，通过总结反病毒专家的分析经验，并结合Vmware虚拟机技术，实现了对软件常见恶意行为的自动捕获。使用支持向量机模型对近两万个样本的行为分析数据进行实验的结果表明，采用Win32API结合参数分析的软件行为分析方法，可以对未知恶意代码实现较高的检出率，而规范合法软件的行为是降低误报率的有效途径。