公开(公告)号：CN109858248A

公开(公告)日：2019-06-07

申请号：CN201811601084.9

申请日：2018-12-26

Applicant: 中国科学院信息工程研究所

Inventor： 喻民 ,  刘超 ,  夏彬 ,  姜建国 ,  李敏 ,  黄伟庆 ,  刘明奇

IPC: G06F21/56

Abstract: 本发明实施例提供一种恶意Word文档检测方法和装置，所述方法包括：提取待检测的Word文档中的可疑代码及负载；根据恶意文档代码特征库对待检测的Word文档中的可疑代码及负载进行扫描和模式匹配，获取待检测的Word文档的特征向量；将所述待检测的Word文档的特征向量输入至恶意文档分类模型中，获取所述恶意文档分类模型输出的分类结果；根据所述分类结果和所述待检测的Word文档的特征向量，生成所述待检测的Word文档的检测报告。本发明实施例有针对性地提取Word文档中嵌入的恶意代码和恶意负载，可节省检测时间，且不受限于Word版本，对代码混淆攻击和未知类型的攻击也有很好的适应能力。

公开(公告)号：CN108804921A

公开(公告)日：2018-11-13

申请号：CN201810531207.X

申请日：2018-05-29

Applicant: 中国科学院信息工程研究所

Inventor： 喻民 ,  刘超 ,  夏彬 ,  姜建国 ,  黄伟庆

IPC: G06F21/56

CPC classification number: G06F21/563

Abstract: 本发明提供一种PowerShell代码的去混淆方法及装置，所述方法包括：提供目标Office文档自动运行的虚拟环境；利用Hook机制从所述目标Office文档内混淆过的代码中提取出初步去混淆的PowerShell代码；分析所述初步去混淆的PowerShell代码的混淆特征，并根据所述混淆特征对所述初步去混淆的PowerShell代码进行解混淆，获取原始PowerShell代码。本发明通过结合动静态解混淆方法，将混淆过的PowerShell代码从Office文档中提取出来并进行自动解混淆，可显著提高安全分析的效率。

公开(公告)号：CN109858248B

公开(公告)日：2021-06-29

申请号：CN201811601084.9

申请日：2018-12-26

Applicant: 中国科学院信息工程研究所

Inventor： 喻民 ,  刘超 ,  夏彬 ,  姜建国 ,  李敏 ,  黄伟庆 ,  刘明奇

IPC: G06F21/56

Abstract: 本发明实施例提供一种恶意Word文档检测方法和装置，所述方法包括：提取待检测的Word文档中的可疑代码及负载；根据恶意文档代码特征库对待检测的Word文档中的可疑代码及负载进行扫描和模式匹配，获取待检测的Word文档的特征向量；将所述待检测的Word文档的特征向量输入至恶意文档分类模型中，获取所述恶意文档分类模型输出的分类结果；根据所述分类结果和所述待检测的Word文档的特征向量，生成所述待检测的Word文档的检测报告。本发明实施例有针对性地提取Word文档中嵌入的恶意代码和恶意负载，可节省检测时间，且不受限于Word版本，对代码混淆攻击和未知类型的攻击也有很好的适应能力。