基于覆盖率分析的僵尸网络控制命令发掘方法

摘要：

从僵尸程序执行轨迹对二进制代码块的覆盖规律出发，提出了一种僵尸网络控制命令发掘方法。通过分析执行轨迹对代码块的覆盖率特征实现对僵尸网络控制命令空间的发掘，根据代码空间是否被全覆盖来验证发现的僵尸网络命令空间的全面性。对僵尸网络Zeus、SdBot、AgoBot的执行轨迹进行了代码块覆盖率分析，结果表明，该方法能够快速准确地发掘出僵尸网络的控制命令集合，时间和空间开销小，且该命令集合所对应的执行轨迹可以覆盖僵尸程序95%以上的代码空间。

关键词：恶意代码分析、僵尸网络、命令与控制协议、基本块、覆盖率

分类号：TP393.08(计算技术、计算机技术)

资助基金：国家自然科学基金资助项目61300242，61272423，60973141；国家重点基础研究发展计划“973”计划基金资助项目2013CB834204；中央高校基本科研业务费专项基金资助项目65121012；南开大学-腾讯联合基金资助项目2011-11@@@@The National Natural Science Foundation of China61300242,61272423,60973141;The National Basic Re-search Program of China973 Program2013CB834204;The Fundamental Research Funds for the Central Universities65121012;Nankai University-Tencent Joint Project2011-11

在线出版日期：2014-02-22（万方平台首次上网日期，不代表论文的发表时间）

页数：共11页

页码：156-166