쉘코드를 포함한 익스플로잇을 검출하기 위한 시스템 및 방법

쉘코드를 포함한 익스플로잇 검출이 개시된다. 메모리 블록들은 의심스러운 쉘코드를 포함하는 메모리 블록을 식별하기 위해 샘플의 동적 분석 동안 모니터링된다. 메모리 블록은 의심스러운 쉘코드와 연관된 후보 쉘코드 진입점을 식별하기 위해 메모리에 덤프된다. 의심스러운 쉘코드는 의심스러운 쉘코드가 악성인지 여부를 결정하기 위해 후보 쉘코드 진입점에 기반하여 실행된다. 의심스러운 쉘코드의 실행 결과들에 기반하여 샘플에 관한 판정이 생성된다. Detection of an exploit including shellcode is disclosed. Memory blocks are monitored during dynamic analysis of a sample to identify a memory block including suspicious shellcode. The memory block is dumped in memory to identify a candidate shellcode entry point associated with the suspicious shellcode. The suspicious shellcode is executed based on the candidate shellcode entry point to determine whether the suspicious shellcode is malicious. A verdict is generated regarding the sample based on results of executing the suspicious shellcode.