一种基于快照的恶意代码检测方法及系统

摘要

本发明公开了一种基于快照的恶意代码检测方法及系统，其在一个虚拟机上运行整个待检测恶意代码，其中，运行时检测到创建子进程操作时存储当前时刻的快照文件，该快照文件包括子进程名称、当前时刻的虚拟机的运行状态；其他虚拟机获取与待检测恶意代码对应的快照文件，利用快照文件进行恶意代码检测，通过恶意代码创建的进程和子进程来保存的快照，而进程能够保证恶意行为的一致，在多个Qemu虚拟机检测系统上通过加载快照的方式来恢复恶意代码的执行流程，从而得到比较准确的分析日志。