[论文解读] Evolution of Computer Virus Concealment and Anti-Virus Techniques: A Short Survey

Babak Bashari Rad, Maslin Masrom+1 more|arXiv (Cornell University)|Apr 6, 2011

Advanced Malware Detection Techniques参考文献 14被引用 39

一句话总结

本文综述了计算机病毒隐蔽技术与反病毒防御之间的进化军备竞赛，分析了恶意软件如何通过代码混淆、多态性和变态技术来逃避检测，同时反病毒系统则通过启发式分析、行为监控和基于特征码的检测进行反制。其主要贡献在于系统性地梳理了攻击与防御技术的优缺点，为未来网络安全研究提供指导。

ABSTRACT

This paper presents a general overview on evolution of concealment methods in computer viruses and defensive techniques employed by anti-virus products. In order to stay far from the anti-virus scanners, computer viruses gradually improve their codes to make them invisible. On the other hand, anti-virus technologies continually follow the virus tricks and methodologies to overcome their threats. In this process, anti-virus experts design and develop new methodologies to make them stronger, more and more, every day. The purpose of this paper is to review these methodologies and outline their strengths and weaknesses to encourage those are interested in more investigation on these areas.

研究动机与目标

• 分析用于规避反病毒检测的病毒隐蔽技术的历史演变进程。
• 研究反病毒技术为应对日益复杂的恶意软件而采用的防御策略。
• 在不断演变的网络威胁背景下，评估隐蔽技术与检测方法的优缺点。
• 通过识别当前病毒检测与逃避技术中的空白与挑战，为未来研究奠定基础。

提出的方法

• 对病毒隐蔽与反病毒机制的学术及技术文献进行系统性综述。
• 根据代码转换策略，将病毒隐蔽技术分类为静态、多态性和变态型。
• 分析基于特征码扫描、启发式分析和基于行为的检测等反病毒检测方法。
• 比较不同反病毒技术在检测准确率、性能开销和抗逃避能力方面的表现。
• 评估病毒用于规避静态分析的混淆与加密技术的有效性。
• 映射恶意软件混淆技术与反病毒检测创新之间的对抗性演进历程。

实验结果

研究问题

• RQ1 病毒隐蔽技术如何从简单加密演进为多态性与变态性代码？
• RQ2 现代反病毒系统主要采用哪些检测机制来应对混淆恶意软件？
• RQ3 面对高级代码混淆，基于特征码的检测存在哪些局限性？
• RQ4 启发式与基于行为的检测方法如何提升对零日攻击和变态病毒的抵抗能力？
• RQ5 在反病毒技术中，检测准确率、系统性能与抗逃避能力之间存在何种权衡？

主要发现

• 多态性与变态性病毒通过在不改变功能的前提下改变代码结构，显著降低了基于特征码检测的有效性。
• 启发式分析可提升对未知恶意软件的检测能力，但因行为过度泛化而提高了误报率。
• 基于行为的检测对高级恶意软件有效，但对系统资源造成更高的计算开销。
• 加密与冗余代码插入等代码混淆技术能有效延迟静态分析与特征码提取。
• 恶意软件混淆与反病毒检测之间的军备竞赛持续推动攻击与防御网络安全技术的创新。
• 单一检测方法无法全面有效；结合基于特征码、启发式与行为分析的混合方法在应对不断演变的威胁方面展现出更强的鲁棒性。