基于动态符号执行的勒索软件检测方法

来源：计算机工程杂志2018年第6期北京时间：

作者：陈政,方勇,刘亮,左政

单位：1.四川大学 电子信息学院,成都 610065; 2.四川大学 网络空间安全学院,成都 610207

摘要：针对目前因勒索软件造成网络安全事故的问题,在对大量勒索软件样本进行分析的基础上,提出一种基于动态符号执行的勒索软件检测与分析方法。基于插桩工具Pin和约束求解器STP构建ADRAS系统模型,利用动态符号执行和可满足性模理论技术监控勒索软件的加密函数,同时捕捉勒索软件加密行为以及相关的加密信息,从而对多个家族的勒索软件进行检测。实验结果表明,ADRAS系统模型可检测15种已知勒索软件家族的样本,包括著名的CryptoLocker以及最近爆发的WannaCry。

关键词：勒索软件,动态符号执行,约束求解器,混合加密算法,恶意代码