发明授权-201210558891.3-虚拟机系统的反检测系统.pdf

(19)中华人民共和国国家知识产权局(12)发明专利(10)授权公告号CN103077351B(45)授权公告日2016.06.01(21)申请号201210558891.3究.《网络安全技术与应用》.2011,巫山上云雨.虚拟机检测技术剖析.《百度(22)申请日2012.12.20文库》.2010,(73)专利权人北京奇虎科技有限公司审查员王慧敏地址100088北京市西城区新街口外大街28号D座112室（德胜园区）专利权人奇智软件（北京）有限公司(72)发明人张东谊谢军样(74)专利代理机构北京华沛德权律师事务所11302代理人刘丽君(51)Int.Cl.G06F21/56(2013.01)(56)对比文件CN103049696A,2013.04.17,CN102750484A,2012.10.24,CN102147843A,2011.08.10,US2010162404A1,2010.06.24,程微微等.虚拟机检测与反检测技术研权利要求书2页说明书13页附图2页(54)发明名称虚拟机系统的反检测系统(57)摘要本发明公开了虚拟机系统的反检测系统，其中，所述系统包括虚拟机系统的反检测装置、虚拟机系统以及真实系统，其中：在所述真实系统运行环境中启动所述虚拟机系统后，启动所述虚拟机系统的反检测装置，以便通过所述虚拟机系统的反检测装置对当前虚拟机系统中不同于真实系统运行环境的区别特征信息进行修改；所述虚拟机系统的反检测装置包括：特征信息获取单元；特征信息修改单元；特征信息返回单元。通过本发明，可以达到虚拟机反检测的目的，使得虚拟机能够更有效的支持恶意程序分析工作。CN103077351BCN103077351B权利要求书1/2页1.一种虚拟机系统的反检测系统，包括虚拟机系统的反检测装置、虚拟机系统以及真实系统，其中：在所述真实系统运行环境中启动所述虚拟机系统后，启动所述虚拟机系统的反检测装置，以便通过所述虚拟机系统的反检测装置对当前虚拟机系统中不同于真实系统运行环境的区别特征信息进行修改；所述虚拟机系统的反检测装置包括：特征信息获取单元，用于实时获取当前真实系统运行环境中各个特征信息的取值，在发现当前虚拟机系统中存在与真实系统运行环境中取值不同的特征信息时，获取当前虚拟机系统中与真实系统运行环境具有不同取值的特征信息；特征信息修改单元，用于将当前虚拟机系统中所述特征信息的取值修改为与真实系统运行环境中相同的取值；特征信息返回单元，用于当接收到查询当前虚拟机系统中的特征信息的请求时，返回修改后的取值，使得在虚拟机系统中的查询结果与在真实系统运行环境中的查询结果相同。2.如权利要求1所述的系统，所述特征信息包括以下特征信息中的一种或任意几种的组合：虚拟系统与真实系统之间的通讯指令返回值；虚拟系统中的注册表配置信息；虚拟系统中的代表性文件；虚拟系统中的进程信息；特定程序在虚拟系统与真实系统中的运行时间差值；虚拟系统中的网络设备控制MAC地址信息；虚拟系统中的网卡信息；虚拟系统中的系统设备信息。3.如权利要求2所述的系统，所述特征信息修改单元包括：第一修改子单元，用于在真实系统运行环境中对所述虚拟系统与真实系统之间的通讯指令返回值的取值进行修改；第二修改子单元，用于在虚拟机系统中对所述虚拟系统中的注册表配置信息、代表性文件、进程信息、运行时间差值、网卡信息、系统设备信息中的一种或任意多种的取值进行修改。4.如权利要求2或3所述的系统，所述虚拟系统与真实系统之间的通讯指令返回值包括：后门IN指令的返回值；所述特征信息修改单元具体用于：将所述虚拟机系统中IN指令的返回值的取值修改为特定类型的异常信息。5.如权利要求2或3所述的系统，所述虚拟系统与真实系统之间的通讯指令返回值包括：终端描述符表IDT基址；所述特征信息修改单元具体用于：将所述虚拟机系统中IDT基址的第一字字节的取值修改为小于0xD0。6.如权利要求2或3所述的系统，所述虚拟系统与真实系统之间的通讯指令返回值包2CN103077351B权利要求书2/2页括：本地描述符表LDT基址和全局描述符表GDT基址；所述特征信息修改单元具体用于：将所述虚拟机系统中LDT基址修改为0x0000；将所述虚拟机系统中GDT基址的第一字字节修改为非0xFF。7.如权利要求2或3所述的系统，所述虚拟系统与真实系统之间的通讯指令返回值包括：STR指令的返回值；所述特征信息修改单元具体用于：将所述虚拟机系统中STR指令的返回值的前两个字节修改为非0x0040。8.如权利要求2或3所述的系统，如果所述当前虚拟机系统中不同于真实系统运行环境的区别特征信息为虚拟系统中的注册表配置信息，则所述特征信息修改单元具体用于：将所述虚拟机系统的注册表配置信息中包含的与虚拟机相关的关键词替换为预置的与虚拟机无关的字符串；其