[發(fā)明專利]一種計算機惡意代碼處理方法和系統(tǒng)

有效

• 申請?zhí)枺?/td>: 200610113664.4
• 申請日: 2006-10-11
• 公開（公告）號: CN101162485A
• 公開（公告）日: 2008-04-16
• 發(fā)明（設(shè)計）人: 王志
• 申請（專利權(quán)）人: 飛塔信息科技（北京）有限公司
• 主分類號: G06F21/00
• 分類號: G06F21/00
• 代理公司: 北京律誠同業(yè)知識產(chǎn)權(quán)代理有限公司
• 代理人: 梁揮;徐金國

1.一種計算機惡意代碼處理方法，其特征在于，包括下列步驟：

步驟A，讀取可能包含惡意代碼的計算機程序文件并運行，采集所述計算機程序文件運行時的與惡意代碼相關(guān)聯(lián)的代碼信息；

步驟B，將所述代碼信息進行信息組合，與惡意代碼知識庫中的惡意代碼知識比較匹配，分析所述計算機程序文件是否包含惡意代碼。

2.根據(jù)權(quán)利要求1所述的計算機惡意代碼處理方法，其特征在于，所述步驟A與步驟B之間還包括下列步驟：

隔離所述采集代碼信息的計算機運行環(huán)境。

3.根據(jù)權(quán)利要求1或2所述的計算機惡意代碼處理方法，其特征在于，所述讀取可能包含惡意代碼的計算機程序文件并運行，是：

復(fù)制可能包含惡意代碼的計算機程序文件，并運行所述計算機程序文件。

4.根據(jù)權(quán)利要求1或2所述的計算機惡意代碼處理方法，其特征在于，所述步驟A還包括下列步驟：

將所述代碼信息與所述計算機程序文件的文件代碼的數(shù)據(jù)地址相對應(yīng)，生成編碼數(shù)據(jù)。

5.根據(jù)權(quán)利要求4所述的計算機惡意代碼處理方法，其特征在于，所述將代碼信息與計算機程序文件的文件代碼的數(shù)據(jù)地址相對應(yīng)，是：

根據(jù)所述代碼信息，記錄與所述代碼信息相對應(yīng)的計算機程序文件的文件代碼的數(shù)據(jù)地址，并將所述數(shù)據(jù)地址轉(zhuǎn)化為地址文本，建立所述代碼信息與數(shù)據(jù)地址的關(guān)聯(lián)。

6.根據(jù)權(quán)利要求4所述的計算機惡意代碼處理方法，其特征在于，所述生成編碼數(shù)據(jù)，是：

根據(jù)所述代碼信息，以及與所述代碼信息相對應(yīng)的地址文本，建立所述代碼信息與地址文本的數(shù)據(jù)鏈表，生成所述代碼信息的編碼數(shù)據(jù)。

7.根據(jù)權(quán)利要求6所述的計算機惡意代碼處理方法，其特征在于，所述步驟A和步驟B之間還包括下列步驟：

傳送所述代碼信息和編碼數(shù)據(jù)給所述分析計算機程序文件是否包含惡意代碼的計算機運行環(huán)境，以及惡意代碼特征碼提取的計算機運行環(huán)境。

8.根據(jù)權(quán)利要求4所述的計算機惡意代碼處理方法，其特征在于，所述步驟B之后還包括下列步驟：

步驟C，在確認所述計算機程序文件包含惡意代碼后，根據(jù)所述編碼數(shù)據(jù)中代碼信息與數(shù)據(jù)地址的關(guān)系，在所述計算機程序文件中提取文件代碼，并生成惡意代碼特征碼。

9.根據(jù)權(quán)利要求8所述的計算機惡意代碼處理方法，其特征在于，所述根據(jù)編碼數(shù)據(jù)中代碼信息與地址文本的關(guān)系，在所述計算機程序文件中提取文件代碼，是：

根據(jù)編碼數(shù)據(jù)中代碼信息與地址文本的關(guān)系，由相應(yīng)的惡意代碼的代碼信息，查找到所述代碼信息對應(yīng)的地址文本，由所述地址文本得到與所述代碼信息相對應(yīng)的計算機程序文件的文件代碼的數(shù)據(jù)地址；

然后把所述數(shù)據(jù)地址對應(yīng)所在位置存儲的所述計算機程序文件的二進制文件代碼提取出來。

10.根據(jù)權(quán)利要求9所述的計算機惡意代碼處理方法，其特征在于，所述生成惡意代碼特征碼，是：

把提取出的二進制文件代碼，以及所述文件代碼在所述計算機程序文件中的相對地址位置匯總在一起形成惡意代碼特征碼。

11.根據(jù)權(quán)利要求8所述的計算機惡意代碼處理方法，其特征在于，所述步驟C之后還包括下列步驟：

步驟D，在生成惡意代碼特征碼后，利用惡意代碼特征碼優(yōu)化算法對所述惡意代碼特征碼進行優(yōu)化，再存入惡意代碼特征碼庫。

12.根據(jù)權(quán)利要求8所述的計算機惡意代碼處理方法，其特征在于，所述信息組合包括加速符號串，用于表示采集到的代碼信息并對代碼信息進行分類。

13.根據(jù)權(quán)利要求12所述的計算機惡意代碼處理方法，其特征在于，所述惡意代碼知識為量化的惡意代碼知識，利用加速符號串進行分類。

14.根據(jù)權(quán)利要求8所述的計算機惡意代碼處理方法，其特征在于，所述與惡意代碼相關(guān)聯(lián)的代碼信息是與惡意代碼相關(guān)聯(lián)的文件信息、進程信息、用戶密碼信息、系統(tǒng)服務(wù)信息、網(wǎng)絡(luò)共享和訪問信息、系統(tǒng)的注冊信息中的一種或者一種以上的組合。

15.根據(jù)權(quán)利要求8所述的計算機惡意代碼處理方法，其特征在于，所述采集為動態(tài)跟蹤采集和靜態(tài)采集。