Способ обнаружения вредоносных сборок

1. Способ обнаружения вредоносного образа машинного кода, в котором:
а) получают образ машинного кода;
б) определяют родительскую сборку, на основании которой создан полученный образ;
в) устанавливают несоответствие между данными полученного образа машинного кода и данными определенной родительской сборкой, при этом соответствие гарантирует неизменность образа машинного кода после создания;
г) признают образ машинного кода вредоносным на основании установленного несоответствия.
2. Способ по п. 1, в котором данными, между которыми устанавливается несоответствие, являются CIL код определенной родительской сборки и машинный код образа машинного кода.
3. Способ по п. 1, в котором данными, между которыми устанавливается несоответствие, являются, по меньшей мере, CIL код, машинный код, метаданные типов, манифест, информация в РЕ заголовке, информация в CLR заголовке.
4. Способ по п. 3, в котором несоответствие устанавливают путем непосредственного сравнения соответствующих данных родительской сборки и образа машинного кода.
5. Способ по п. 3, в котором несоответствие устанавливают путем непосредственного сравнения соответствующих данных оригинального образа машинного кода и полученного образа машинного кода, где оригинальный образ машинного кода, гарантированно неизмененный образ машинного кода, полученный от родительской сборки.
6. Способ по п. 1, в котором родительскую сборку, на основании которой создан полученный образ машинного кода, определяют средствами операционной системы.