[發明專利]一種惡意程序判斷方法及裝置

有效

• 申請號: 200910150705.0
• 申請日: 2009-06-22
• 公開（公告）號: CN101593253A
• 公開（公告）日: 2009-12-02
• 發明（設計）人: 顧凌志;張小松
• 申請（專利權）人: 成都市華為賽門鐵克科技有限公司;電子科技大學
• 主分類號: G06F21/00
• 分類號: G06F21/00;G06F9/44
• 代理公司: 北京三友知識產權代理有限公司
• 代理人: 樊一槿

1.一種惡意程序判斷方法，其特征在于，所述的方法包括：

分析目標程序，獲取目標程序的特征；

根據獲取到的目標程序的特征生成與目標程序相對應的特征集合；

將所述目標程序特征集合與預置的樣本程序特征集合的威脅值相匹配， 根據匹配結果判斷所述目標程序是否為惡意程序；

所述將所述目標程序特征集合與預置的樣本程序特征集合的威脅值相匹 配，根據匹配結果判斷所述目標程序是否為惡意程序包括：

在預置的樣本程序特征集合中，查找與目標程序特征集合中所包含的特 征相同的樣本程序特征集合；

如果找到與目標程序特征集合中所包含的特征相同的樣本程序特征集 合，則判斷找到的樣本程序特征集合的威脅值是否大于預設門限值；

如果所述找到的樣本程序特征集合的威脅值大于所述預設門限值，則判 斷所述目標程序為惡意程序；

如果在預置的樣本程序特征集合中，沒有與目標程序特征集合中所包含 的特征相同的樣本程序特征集合，則查找與目標程序特征集合所包含的特征 中有一個特征不相同的樣本程序特征集合；

判斷找到的樣本程序特征集合中威脅值大于預設門限值的集合數量是否 超過半數；

如果是，則判斷所述目標程序為惡意程序。

2.根據權利要求1所述的惡意程序判斷方法，其特征在于，所述預置的 樣本程序特征集合的威脅值預先通過以下步驟獲得：

分析樣本程序，獲取每個樣本程序的特征；根據獲取到的特征生成與每 個樣本程序相對應的特征集合；根據所述樣本程序是否為惡意程序生成所述 樣本程序的特征集合的威脅值。

3.根據權利要求1或2所述的惡意程序判斷方法，其特征在于，所述的 特征集合包括至少一個代碼特征和/或行為特征。

4.根據權利要求2所述的惡意程序判斷方法，其特征在于，所述根據樣 本程序是否為惡意生成所述特征集合的威脅值包括：

獲取包括特征相同的特征集合所對應的樣本程序；

根據獲取到的樣本程序中惡意程序所占的比重確定所述特征集合的威脅 值。

5.一種惡意程序判斷裝置，其特征在于，所述的裝置包括：

目標程序分析單元，用于分析目標程序，獲取目標程序的特征；

目標集合生成單元，用于根據獲取到的目標程序的特征生成與目標程序 相對應的特征集合；

惡意程序判斷單元，用于將所述目標程序特征集合與預置的樣本程序特 征集合的威脅值相匹配，根據匹配結果判斷所述目標程序是否為惡意程序；

所述惡意程序判斷單元包括：

相同集合查找模塊，用于在預置的樣本程序特征集合中，查找與目標程 序特征集合中所包含的特征相同的樣本程序特征集合；

相同集合判斷模塊，用于在找到與目標程序特征集合中所包含的特征相 同的樣本程序特征集合時，判斷找到的樣本程序特征集合的威脅值是否大于 一預設門限值，如果所述找到的樣本程序特征集合的威脅值大于一預設門限 值，則判斷所述目標程序為惡意程序；

近似集合查找模塊，用于在預置的樣本程序特征集合中，沒有與目標程 序特征集合中所包含的特征相同的樣本程序特征集合時，查找與目標程序特 征集合所包含的特征中有一個特征不相同的樣本程序特征集合；

近似集合判斷模塊，用于判斷找到的樣本程序特征集合中威脅值大于預 設門限值的數量是否超過半數，如果是，則判斷所述目標程序為惡意程序。

6.根據權利要求5所述的惡意程序判斷裝置，其特征在于，所述的裝置 還包括：

樣本程序分析單元，用于分析樣本程序，獲取每個樣本程序的特征；

樣本集合生成單元，用于根據獲取到的特征生成與每個樣本程序相對應 的特征集合；

威脅值生成單元，用于根據所述樣本程序是否為惡意程序生成所述特征 集合的威脅值。

7.根據權利要求6所述的惡意程序判斷裝置，其特征在于，威脅值生成 單元包括：

樣本程序獲取模塊，用于獲取包括特征相同的特征集合所對應的樣本程 序；

威脅值計算模塊，用于根據獲取到的樣本程序中惡意程序所占的比重計 算所述特征集合的威脅值。