基于文件系统过滤驱动实现沙箱虚拟机多样本运行的方法

摘要

本发明涉及恶意文件检测领域，旨在提供基于文件系统过滤驱动实现沙箱虚拟机多样本运行的方法。该方法包括步骤：沙箱虚拟机中的操作系统提供回调接口和开放式可疑文件的提交接口；在沙箱虚拟机的操作系统中，注册监控驱动；当沙箱虚拟机的操作系统开始模拟运行多个可疑文件时，为每个可疑文件分配专属桌面资源；可疑文件执行完成后，通过回调接口，返回捕获到的上述可疑文件的行为信息，并清理重定向的文件、注册表路径、内核对象目录，销毁所述可疑文件的专属桌面资源。本发明使多个样本可以在同一时间内互不干扰的进行检查，提升了对系统资源的利用率，也进一步提升了沙箱对可疑文件的检测效率。