Система и способ выявления скрытого поведения расширения браузера

1. Способ анализа расширения браузера, реализуемый компьютером, для выявления скрытого поведения у расширения браузера, при этом способ содержит этапы, на которых:
а. устанавливают расширение браузера в браузер, запущенный в защищенной среде, которая содержит, по крайней мере, операционную систему и указанный браузер, содержащий средство регистрации событий в виде другого расширения;
б. выполняют по крайней мере одно предопределенное действие, имитирующие работу пользователя, из хранилища данных;
в. отслеживают с помощью средства регистрации событий активности, происходящие во время выполнения по крайней мере одного предопределенного действия, при этом каждому виду активности соответствуют определенные изменения в защищенной среде;
г. регистрируют в список событий произошедшие события, которые связаны с изменениями в защищенной среде, которые инициированы только установленным расширением браузера;
д. анализируют события из перечня событий на наличие событий, указывающих на изменения, характерные для скрытого поведения,
i. где изменения, характерные для скрытого поведения, указывают на действия расширения браузера, которые ранее не были заявлены в работе анализируемого расширения браузера;
е. сохраняют полученные результаты при выявлении по крайней мере одного зарегистрированного события, указывающего на наличие скрытого поведения у анализируемого расширения браузера.
2. Способ по п. 1, отличающийся тем, что указанный способ дополнительно включает выявление вредоносного поведения в расширении браузера на основании сохраненных результатов анализа.
3. Способ по п. 2, отличающийся тем, что указанный способ во время выявления вредоносного поведения определяет события, происходящие в результате вредоносных действий, среди событий, указывающих на действия, выполняемые в результате скрытого поведения.
4. Способ по п. 1, в котором под защищенной средой понимается по меньшей мере «песочница», эмулятор и любая другая среда, позволяющая контролировать набор ресурсов операционной системы для исполнения.
5. Способ по п. 4, в котором инициаторами являются по крайней мере следующие: виртуальная память, файлы, значения реестра, сетевые соединения, браузер и расширения.
6. Способ по п. 1, в котором под стандартными действиями понимается по крайней мере открытие одного сайта, совершение нескольких действий на каждом открытом сайте, открытие страницы настроек браузера и выполнение поисковых запросов в браузере.
7. Система анализа расширения браузера для выявления скрытого поведения у расширения браузера, включающая следующие средства, реализуемые на компьютере:
a) хранилище данных, связанное с указанными ниже средствами и выполненное с возможностью хранения по крайней мере перечня стандартных действий и списка событий;
b) средство для формирования защищенной среды, предназначенное для:
i) запуска защищенной среды, содержащей операционную систему с браузером, при этом браузер содержит средство регистрации событий в виде расширения,
ii) установки расширения браузера в указанный браузер,
iii) выполнения по крайней мере одного действия из перечня стандартных действий, имитирующих работу пользователя, из хранилища данных;
c) упомянутое средство регистрации событий, предназначенное для:
i) отслеживания происходящих активностей в защищенной среде во время выполнения по крайней мере одного указанного действия, при этом каждому вида активности соответствуют определенные изменения в защищенной среде,
ii) регистрации в список событий только произошедшие события, которые связаны с изменениями в защищенной среде, которые инициированы только установленным расширением браузера,
iii) передачи списка событий средству обнаружения скрытого поведения;
d) упомянутое средство обнаружения скрытого поведения, предназначенное для:
i) анализа события из списка событий на наличие событий, указывающие на изменения, характерные для скрытого поведения,
- где изменения, характерные для скрытого поведения, указывают на действия расширения браузера, которые ранее не были заявлены в работе анализируемого расширения браузера,
ii) сохранения полученного результата при выявлении по крайней мере одного зарегистрированного события, указывающего на наличие скрытого поведения у анализируемого расширения браузера.
8. Система по п. 7, которая дополнительно содержит средство выявления вредоносного поведения, связанное со средством обнаружения скрытого поведения, предназначенное для:
i) выявления вредоносного поведения в расширении браузера с использованием сохраненных результатов анализа,
ii) определения события, указывающего на скрытое поведение, как событие, происходящее в результате вредоносного действия.
9. Система по п. 7, в которой под защищенной средой понимается по меньшей мере «песочница», эмулятор и любая другая среда, позволяющая контролировать набор ресурсов операционной системы для исполнения.
10. Система по п. 9, в которой инициаторами изменений являются по крайней мере следующие: виртуальная память, файлы, ветки реестра, сетевые соединения, браузер и расширения.
11. Система по п. 7, в которой под стандартными действиями понимается по крайней мере открытие нескольких сайтов, совершение нескольких действий на открытых сайтах, открытие страниц настроек браузера и выполнение поисковых запросов в браузере.