分层协同的混淆后API调用行为发现及其恶意性判定方法

摘要

本发明涉及一种分层协同的混淆后API调用行为发现及其恶意性判定方法；该判定方法含有三个步骤：首先，对待分析的二进制代码进行反汇编，构建程序的控制流图CFG，根据数据库DB1中存储的已知具有调用API函数能力的非常规指令或数据序列来识别API函数的非常规调用行为；其次，完成目标程序所调用的API序列的生成工作，从直接调用和间接调用两方面对API函数进行识别和恢复；最后，完成API序列的提取及恶意性判定工作，序列的提取基于程序的控制流图CFG完成，然后将得到的序列按照可疑API序列库中存储的格式进行规范化；本发明提供了一种识别范围广、识别准确、效率高的分层协同的混淆后API调用行为发现及其恶意性判定方法。