[發明專利]對使用鏈接文件的惡意軟件進行檢測和響應

有效

• 申請號: 201080056250.7
• 申請日: 2010-10-15
• 公開（公告）號: CN102656593A
• 公開（公告）日: 2012-09-05
• 發明（設計）人: 洛克什·庫馬爾;哈里納特·維什瓦納特·拉姆切蒂;吉里什·R·庫卡爾尼
• 申請（專利權）人: 麥卡菲公司
• 主分類號: G06F21/06
• 分類號: G06F21/06;G06F21/22;G06F11/30
• 代理公司: 中原信達知識產權代理有限責任公司 11219
• 代理人: 周亞榮;安翔

1.一種計算機實現的方法，包括：

由第一計算機監視包括指向對象的目標路徑的第一文件的生成；

響應于監視所述第一文件的所述生成：

由所述第一計算機識別促使了所述第一文件被生成的進程；

由所述第一計算機確定所述進程是否是禁止的進程；

響應于確定所述進程是禁止的進程，由所述第一計算機對所述進程和所述第一文件執行一個或多個防護進程；

響應于確定所述進程不是禁止的進程，由所述第一計算機確定所述目標路徑是否是統一資源定位符；

響應于確定所述目標路徑是統一資源定位符，由所述第一計算機確定所述統一資源定位符是否是禁止的統一資源定位符；

響應于確定所述統一資源定位符是禁止的統一資源定位符，由所述第一計算機對所述第一文件執行一個或多個防護進程。

2.根據權利要求1所述的計算機實現的方法，其中由所述第一計算機確定所述進程是否是禁止的進程包括：

由所述第一計算機生成描述所述進程的數據；

由所述第一計算機將描述所述進程的所述數據發送給第二計算機；

由所述第一計算機從所述第二計算機接收指示所述進程是否是禁止的進程的數據；以及

由所述第一計算機響應于從所述第二計算機接收到的所述數據而確定所述進程是否是禁止的進程。

3.根據權利要求2所述的計算機實現的方法，其中描述所述進程的數據包括與所述第一進程相關聯的簽名。

4.根據權利要求1所述的計算機實現的方法，其中由所述第一計算機確定所述統一資源定位符是否是禁止的統一資源定位符包括：

由所述第一計算機生成描述所述統一資源定位符的數據；

由所述第一計算機將描述所述統一資源定位符的所述數據發送給第二計算機；

由所述第一計算機從所述第二計算機接收指示所述統一資源定位符是否是禁止的統一資源定位符的數據；以及

由所述第一計算機響應于從所述第二計算機接收到的所述數據而確定所述統一資源定位符是否是禁止的統一資源定位符。

5.根據權利要求1所述的計算機實現的方法，其中對所述進程執行的所述一個或多個防護進程包括以下中的一個或多個：

由所述第一計算機終止所述進程；

由所述第一計算機刪除與所述進程相關聯的一個或多個文件；

由所述第一計算機重命名與所述進程相關聯的一個或多個文件；

由所述第一計算機隔離與所述進程相關聯的一個或多個文件；以及

由所述第一計算機將與所述進程相關聯的一個或多個文件發送給第二計算機以供分析。

6.根據權利要求1所述的計算機實現的方法，其中對所述第一文件執行的所述一個或多個防護進程包括以下中的一個或多個：

由所述第一計算機刪除與所述第一文件相關聯的一個或多個文件；

由所述第一計算機重命名與所述第一文件相關聯的一個或多個文件；以及

由所述第一計算機隔離與所述第一文件相關聯的一個或多個文件。

7.根據權利要求1所述的計算機實現的方法，其中所述第一文件是鏈接文件。

8.一種計算機實現的方法，包括：

由第一計算機監視包括指向對象的目標路徑的第一文件的生成；

響應于監視所述第一文件的所述生成：

由所述第一計算機確定所述目標路徑是否是統一資源定位符；

響應于確定所述目標路徑是統一資源定位符，由所述第一計算機識別促使了所述第一文件被生成的進程；

由所述第一計算機確定所述進程是否是禁止的進程；

響應于確定所述進程是禁止的進程，由所述第一計算機對所述進程和所述第一文件執行一個或多個防護進程；

響應于確定所述進程不是禁止的進程，由所述第一計算機確定所述統一資源定位符是否是禁止的統一資源定位符；

響應于確定所述統一資源定位符是禁止的統一資源定位符，由所述第一計算機對所述進程和所述第一文件執行一個或多個防護進程。