在近日于舊金山召開的RSA會議中，研究人員講解了一種在移動設備上檢測惡意軟件的新技術。該研究員指出，該技術甚至可以檢測未知的惡意軟件，而且不會帶來過多的耗電或處理資源占用。
施樂公司帕洛阿爾托研究中心(XeroxPARC)公司首席科學家、新型惡意軟件檢測技術專家馬庫斯·賈克博森(Markus Jakobsson)指出，保護臺式電腦應對威脅的傳統(tǒng)方法無法很好地移植到智能手機上去。絕大多數(shù)的反病毒軟件都是采用后臺工作的方式，將新文件與一個巨大的病毒特征庫進行比較。賈克博森說，移動設備的處理能力不足以掃描巨大數(shù)量的病毒特征庫數(shù)據(jù)。持續(xù)的病毒掃描將會耗盡電池電量。而他的檢測方法依賴一個中樞服務，通過監(jiān)視內存的方式發(fā)現(xiàn)被感染的征兆，而不是去通過掃描的方式搜尋某個具體的軟件。
移動設備通常有兩種內存———隨機訪問存儲器(RAM)，用于活動應用程序；以及二級存儲器，這種存儲器讀取時間較長，通常用來存儲當前沒有使用的數(shù)據(jù)。賈克博森研發(fā)的系統(tǒng)可以先關掉不重要的應用程序，比如電子郵件程序或瀏覽器，再對設備進行檢查。這樣一來，除了檢測軟件和操作系統(tǒng)本身之外不應有任何程序運行。在RSA大會上，通過一臺運行Android系統(tǒng)的設備，他演示了該軟件的運行狀況。
中樞服務器能與檢測軟件發(fā)生互動，通過計算當時可用RAM的數(shù)量，來檢測是否有惡意軟件在運行。該套系統(tǒng)向剩余的內存空間中填滿隨機數(shù)據(jù)，再計算所需數(shù)據(jù)的總量，并將該數(shù)量與設備沒有安裝惡意軟件時其內存數(shù)據(jù)的特征相對比，從而得出結論。
賈克博森說，一旦設備通過了該類檢測，系統(tǒng)就可以確信設備中沒有惡意軟件被激活運行。接下來，該系統(tǒng)就可以對輔助存儲進行安全的掃描，以檢測出處于休眠狀態(tài)的惡意軟件。賈克博森解釋說，該系統(tǒng)不是設計用來阻止惡意軟件侵入該設備的———它只能發(fā)現(xiàn)其藏身之處。不同于反病毒軟件通常進行的持續(xù)性掃描，它的系統(tǒng)掃描只發(fā)生在設備執(zhí)行敏感操作之前或是以預先設定的時間間隔進行。
下載文檔
