恶意程序发布检测平台的设计与实现

金宪珊 季永炜 董冬伟

摘  要： 设计了一种恶意程序发布检测平台，其中的检测方法为：从HTTP请求消息中提取摘要信息;将摘要信息与恶意、安全网站识别库中的识别信息进行匹配;如果匹配不成功，则使用决策分类器对摘要信息进行分类处理;如果确定为可疑恶意网站，则生成可疑恶意资源的下载连接信息;将多个可疑恶意资源的下载连接信息进行关联，确定可疑恶意资源的网络发布信息。该方法通过网络节点图可以更好地描述恶意程序发布网络的活动，关注恶意程序分发网络的机理和网络基础架构的属性，提高恶意程序的检出率，加强网络安全。

关键词： 恶意程序; HTTP; 安全; 检测

中图分类号：TP393          文献标识码：A    文章编号：1006-8228（2021）12-37-04

Abstract： A malware publishing detection platform is designed， in which the detection methods are： extracting summary information from HTTP request messages; Matching the summary information with the identification information in the identification library of malicious and secure websites; If the matching is not successful， the decision classifier is used to classify the summary information; If it is determined to be a suspicious malicious website， generate download connection information of suspicious malicious resources; Associate the download connection information of multiple suspicious malicious resources to determine the network publishing information of suspicious malicious resources. Through the network node graph， the method can better describe the activities of the malware publishing network， pay attention to the mechanism of the malware distribution network and the attributes of the network infrastructure， so as to increase the detection rate of malware and improve the network security.

Key words： malware; HTTP; security; detection

0 引言

目前，一般的恶意程序下载攻击过程可以分为三个阶段，在第一阶段，即漏洞利用阶段，攻击者的目标是在受害者的主机上运行一小段代码，为此，攻击者首先准备一个带有下载漏洞利用驱动代码的网站[1]。当受害者访问恶意页面时，浏览器将获取并执行驱动代码。当攻击成功时，它强制浏览器执行注入的壳代码（shellcode）。在随后的第二阶段，即安装阶段，壳代码（shellcode）下载实际的恶意软件二进制文件并启动它。一旦恶意软件程序运行，在第三阶段，即控制阶段，它展现其恶意活动，通常，恶意软件连接回远程命令和控制（C&C）服务器。攻击者使用此连接发出命令，将新的可执行文件“丢弃”到受感染的主机上，以增强恶意软件的功能，并收到被盗的数据。……