ЭВРИСТИЧЕСКИЙ СПОСОБ АНАЛИЗА КОДА

1. Способ обнаружения вредоносных программ в вычислительном устройстве, содержащий этапы, на которых:
- анализируют, посредством процессора вычислительного устройства, программу, содержащую последовательность программных инструкций, сохраненных на машиночитаемом носителе, функционально соединенном с процессором;
- определяют, посредством процессора, то, удовлетворяет или нет каждая инструкция в последовательности любому критерию из группы критериев подозрительности;
- назначают, посредством процессора, количественный показатель на уровне инструкций для каждой инструкции, которая удовлетворяет любому из критериев подозрительности;
- суммируют, посредством процессора, количественные показатели на уровне инструкций для каждой инструкции, для получения в результате количественного показателя на уровне программы;
- определяют, посредством процессора, то, превышает или нет количественный показатель на уровне программы пороговое значение; и
- если количественный показатель на уровне программы превышает пороговое значение, создают, посредством процессора, сообщение, указывающее результат обнаружения вредоносных программ.
2. Способ по п.1, в котором анализ дополнительно содержит этап, на котором загружают каждую инструкцию в последовательности инструкций из машиночитаемого запоминающего устройства.
3. Способ по п.1, в котором критерии подозрительности содержат определение того, приводит или нет инструкция к преобразованию данных.
4. Способ по п.1, в котором критерии подозрительности содержат определение того, принадлежит или нет инструкция группе инструкций, которые, совместно, не приводят к преобразованию данных, после того как группа инструкций выполняет операцию.
5. Способ по п.1, в котором критерии подозрительности содержат определение того, приводит или нет инструкция к переходу к другой инструкции.
6. Способ по п.1, в котором критерии подозрительности содержат определение того, имеют или нет, по меньшей мере, две последовательные инструкции идентичный смысл.
7. Способ по п.1, в котором критерии подозрительности содержат определение того, устанавливает или нет инструкция флаг, который не используется какой-либо другой инструкцией.
8. Способ по п.1, в котором критерии подозрительности содержат определение того, приводит или нет инструкция к значимому циклическому сдвигу данных.
9. Способ обнаружения вредоносных программ в вычислительном устройстве, содержащий этапы, на которых:
- исполняют, посредством процессора вычислительного устройства, программу анализа программного обеспечения, причем исполнение содержит этапы, на которых:
- загружают, посредством процессора, последовательность программных инструкций, сохраненных на машиночитаемом носителе, функционально соединенном с процессором,
- анализируют, посредством процессора, каждую программную инструкцию в упомянутой последовательности, когда она выполняется,
- определяют, посредством процессора, то, удовлетворяет или нет каждая инструкция в последовательности любому критерию из группы критериев подозрительности во время выполнения,
- назначают, посредством процессора, количественный показатель на уровне инструкций для каждой инструкции, которая удовлетворяет любому из критериев подозрительности,
- суммируют, посредством процессора, количественные показатели на уровне инструкций для каждой инструкции, для получения в результате количественного показателя на уровне программы,
- определяют, посредством процессора, то, превышает или нет количественный показатель на уровне программы пороговое значение, и
- если количественный показатель на уровне программы превышает пороговое значение, создают, посредством процессора, сообщение, указывающее результат обнаружения вредоносных программ.
10. Способ по п.9, в котором критерии подозрительности содержат определение того, приводит или нет инструкция к преобразованию данных.
11. Способ по п.9, в котором критерии подозрительности содержат определение того, принадлежит или нет инструкция группе инструкций, которые, совместно, не приводят к преобразованию данных после того, как группа инструкций выполняет операцию.
12. Способ по п.9, в котором критерии подозрительности содержат определение того, приводит или нет инструкция к переходу к другой инструкции.
13. Способ по п.9, в котором критерии подозрительности содержат определение того, имеют или нет, по меньшей мере, две последовательные инструкции идентичный смысл.
14. Способ по п.9, в котором критерии подозрительности содержат определение того, устанавливает или нет инструкция флаг, который не используется какой-либо другой инструкцией.
15. Способ по п.9, в котором критерии подозрительности содержат определение того, приводит или нет инструкция к значимому циклическому сдвигу данных.
16. Способ обнаружения вредоносных программ в вычислительном устройстве, содержащий этапы, на которых:
- анализируют, посредством процессора вычислительного устройства, программу, содержащую последовательность программных инструкций, сохраненных на машиночитаемом носителе, функционально соединенном с процессором;
- определяют, посредством процессора, то, удовлетворяет или нет каждая инструкция в последовательности любому критерию из группы критериев подозрительности, причем группа критериев подозрительности содержит следующее:
- определение того, приводит или нет инструкция к преобразованию данных,
- определение того, приводит или нет инструкция к переходу к другой инструкции, и
- определение того, имеют или нет, по меньшей мере, две последовательные инструкции идентичный смысл;
- назначают, посредством процессора, количественный показатель на уровне инструкций для каждой инструкции, которая удовлетворяет любому из критериев подозрительности;
- суммируют, посредством процессора, количественные показатели на уровне инструкций для каждой инструкции, для получения в результате количественного показателя на уровне программы;
- определяют, посредством процессора, то, превышает или нет количественный показатель на уровне программы пороговое значение; и
- если количественный показатель на уровне программы превышает пороговое значение, создают, посредством процессора, сообщение, указывающее результат обнаружения вредоносных программ.
17. Способ по п.16, в котором анализ дополнительно содержит этап, на котором загружают каждую инструкцию в последовательности инструкций из машиночитаемого запоминающего устройства.