[發明專利]終端防御惡意程序的方法、裝置及系統

無效

• 申請號: 201010191911.9
• 申請日: 2010-06-04
• 公開（公告）號: CN101901321A
• 公開（公告）日: 2010-12-01
• 發明（設計）人: 段鵬
• 申請（專利權）人: 華為終端有限公司
• 主分類號: G06F21/22
• 分類號: G06F21/22
• 代理公司: 北京中博世達專利商標代理有限公司 11274
• 代理人: 申健

1.一種終端防御惡意程序的方法，其特征在于，包括：

在執行應用程序的中間碼前，根據所述應用程序的中間碼對所述應用程序進行偵測，以確定所述應用程序是否為惡意程序；

當確定所述應用程序為惡意程序時，對所述應用程序進行防御處理。

2.根據權利要求1所述的方法，其特征在于，所述根據所述應用程序的中間碼對所述應用程序進行偵測，以確定所述應用程序是否為惡意程序，具體包括：

根據偵測算法獲取由所述應用程序譯成的中間碼的特征碼；

檢索所述特征碼是否存在于惡意程序庫中；

如果所述特征碼存在于所述惡意程序庫中，則確定所述應用程序為惡意程序。

3.根據權利要求1所述的方法，其特征在于，所述根據所述應用程序的中間碼對所述應用程序進行偵測，以確定所述應用程序是否為惡意程序，具體包括：

根據惡意行為規則檢索所述應用程序譯成的中間碼中是否存在符合所述惡意行為規則的行為碼，并根據檢索的結果確定所述應用程序是否為惡意程序。

4.根據權利要求3所述的方法，其特征在于，所述根據檢索的結果確定所述應用程序是否為惡意程序，具體包括：

如果所述中間碼中存在符合所述惡意行為規則的行為碼，則確定所述應用程序為惡意程序。

5.根據權利要求3所述的方法，其特征在于，所述根據檢索的結果確定所述應用程序是否為惡意程序，具體包括：

檢索到所述中間碼中存在符合所述惡意行為規則的行為碼時，相應增加所述應用程序的可疑指數；

當所述可疑指數達到一預設的閾值時，確定所述應用程序為惡意程序。

6.根據權利要求5所述的方法，其特征在于，在計算所述可疑指數時，根據危害程度為不同的符合所述惡意行為規則的行為碼賦予不同的權重。

7.根據權利要求1至6任一項所述的方法，其特征在于，所述對所述應用程序進行防御處理包括：停止運行所述應用程序，和/或對用戶進行告警，和/或刪除所述應用程序。

8.一種防御惡意程序的裝置，其特征在于，包括：

偵測模塊，用于在執行應用程序的中間碼前，根據所述應用程序的中間碼對所述應用程序進行偵測，并確定所述應用程序是否為惡意程序；

處理模塊，用于當所述偵測模塊確定所述應用程序為惡意程序時，對所述應用程序進行防御處理。

9.根據權利要求8所述的裝置，其特征在于，所述偵測模塊包括：

偵測管理器，用于在執行應用程序時，為所述應用程序創建偵測單元；

偵測單元，用于根據偵測算法獲取由所述應用程序譯成的中間碼的特征碼，并檢索所述特征碼是否存在于惡意程序庫中，以及將檢索結果發送到所述偵測管理器；

所述偵測單元還用于：當在所述惡意程序庫中檢索到所述特征碼時，確定所述應用程序是惡意程序；否則確定所述應用程序正常。

10.根據權利要求8所述的裝置，其特征在于，所述偵測模塊包括：

偵測管理器，用于在執行應用程序時，為所述應用程序創建偵測單元；

偵測單元，用于根據惡意行為規則檢索所述應用程序譯成的中間碼中是否存在符合所述惡意行為規則的行為碼，并將檢索結果發送到所述偵測管理器，所述偵測管理器還用于：

當在所述應用程序譯成的中間碼中存在符合所述惡意行為規則的行為碼時，確定所述應用程序是惡意程序；否則確定所述應用程序正常；

或者所述偵測管理器還用于：

當檢索到所述中間碼中存在符合所述惡意行為規則的行為碼時，相應增加所述應用程序的可疑指數，并在所述可疑指數達到一預設的閾值時，確定所述應用程序為惡意程序；否則確定所述應用程序正常。

11.根據權利要求8所述的裝置，其特征在于，

所述處理模塊，具體用于在所述偵測模塊的偵測結果為所述應用程序是惡意程序時，停止運行所述應用程序，和/或對用戶進行告警，和/或刪除所述應用程序。

12.根據權利要求8至11中任意一項所述的裝置，其特征在于，該裝置位于操作系統的中間件層。

13.一種防御惡意程序的系統，其特征在于，包括如權利要求8至11中任意一項所述的防御惡意程序的裝置。