恶意代码自我保护

进程保护

进程守护

超级权限

检测对抗

反动态调试

反静态调试

恶意代码检测技术

特征码扫描

沙箱技术

行为检测

恶意代码分析技术

静态分析

需要实际执行恶意代码，它通过对其二进制文件的分析，获得恶意代码的基本结构和特征，了解其工作方式和机制
动态分析
       在虚拟运行环境中，使用测试及监控软件，检测恶意代码行为，分析其执行流程及处理数据的状态，从而判断恶意代码的性质，并掌握其行为特点。

优点
     不需要运行恶意代码，不会影响运行环境的安全
    可以分析恶意代码的所有执行路径
不足
    随着复杂度的提高，执行路径数量庞大，冗余路径增多，分析效率较低

恶意代码动态分析-程序功能

API使用
文件读写
    新增？
   删除？
   改动？
注册表读写
   新增？
   删除？
   改动？
内核调用

恶意代码动态分析-行为分析

行为分析
本地行为
网络行为
传播方式
运行位置
感染方式
其它结果等

动态分析的特点

优点
     针对性强
    具有较高的准确性
不足
    由于分析过程中覆盖的执行路径有限，分析的完整性难以保证

恶意代码清除技术-感染引导区

清除方式：修复/重建引导区
    从备份修复引导区
    重建主引导区（FDISK /MBR）

恶意代码监测及预警-HoneyPot