一种基于沙盒动态行为识别可疑攻击代码的方法

摘要

一种基于沙盒动态行为识别可疑攻击代码的方法，包括：建立沙盒系统；根据常见恶意程序的API调用序列构建攻击树模型；判断可疑程序的PE文件是否经过加壳、变形等；将存在加壳变形行为的可疑程序引入沙盒，分析API调用序列；计算可疑代码在攻击树中的危险指数，如果达到规定的阈值，则识别告警。本发明的优点是通过将程序引入沙盒中，获取未知程序的API行为序列，减少了未知程序可能对系统造成的危害，构建攻击树模型，通过计算程序的静态危险指数来判断是否可能为恶意代码，提高了对未知程序检测的敏感度。