基于多层次行为差异的沙箱逃逸检测及其实现

来源：计算机工程与应用杂志2018年第13期北京时间：

作者：张翔飞1，2，彭国军1，2，朱泽瑾1，2

单位：1.空天信息安全与可信计算教育部重点实验室，武汉 430072；2.武汉大学 计算机学院，武汉 430072

摘要：针对单一沙箱检测模式较为固定、易被恶意样本逃逸的问题，分析了当前恶意软件沙箱逃逸典型技术，提出了一种恶意样本逃逸行为检测框架。对恶意样本在不同层次的沙箱以及真实环境中生成的文件操作、网络通信、进程操作、注册表操作等行为进行记录，进行特征筛选以及标准化处理，通过Jaccard相似度算法来比较行为之间的相似度差异，进行层次划分并判定恶意样本逃逸行为。实验结果显示，整体准确率为95.6%，检出率为90.1%，同时误报率低于5%，可以检测多种已知和未知逃逸行为，通过进一步分析可定位到样本具体逃逸行为。

关键词：沙箱检测,动态分析,行为逃逸,层次差异