Författarna till malware försöker frustrera omvänd teknik och analys genom att skapa program som kraschar eller på annat sätt beter sig annorlunda när de utförs på en emulerad plattform än när de utförs på riktig hårdvara. För att besegra sådana tekniker och underlätta automatisk och halvautomatisk dynamisk analys av malware, föreslår vi en automatiserad teknik för att dynamiskt ändra genomförandet av en hel system emulator för att lura ett malware prov anti-emulsion kontroller. Vårt tillvägagångssätt använder en skalbar spår matchningsalgoritm för att lokalisera den punkt där emulerade utförande skiljer sig, och sedan jämför tillstånden i referenssystemet och emulatorn för att skapa en dynamisk tillståndsförändring som reparerar skillnaden. Vi utvärderar vår teknik genom att bygga en implementering i en emulator som används för djupgående malware analys. På fallstudier som inkluderar verkliga prover av malware samlas in i det vilda och en attack som ännu inte har utnyttjats, vårt verktyg förbättrar automatiskt malware prov anti-emulering kontroller för att möjliggöra analys, och dess ändringar är robusta till systemförändringar.
Kang m.fl. REF föreslog en QEMU-baserad malware analyssystem som dynamiskt ändrar utförandet av en emulator och lurar anti-emulation kontroller av malware.
Emulating emulation-resistant malware
{'venue': "VMSec '09", 'journal': None, 'mag_field_of_study': ['Computer Science']}