一种恶意代码检测方法、装置、计算机和可读存储介质

摘要

本申请涉及一种恶意代码检测方法、装置、计算机和可读存储介质，该恶意代码检测方法包括：通过监控进程监控从内核态返回用户态的动作，获取引起被监控进程进入内核态执行的系统调用指令；判断被监控进程执行的系统调用指令所在的模块是否为可信的Windows库；若否，则判断系统调用为异常系统调用；并记录异常系统调用，形成异常系统调用序列；将异常系统调用序列和恶意程序系统调用序列进行对比分析，判断被监控程序是否为恶意代码。通过监控进程中内核态返回用户态的动作，获取相应的系统调用信息，将由不可信Windows库执行的系统调用记录为异常系统调用序列；将异常系统调用序列与恶意系统调用序列进行比对，以判断程序的行为特征。