[發明專利]一種惡意文件搜索方法及裝置

在審

• 申請號: 201110438851.0
• 申請日: 2011-12-23
• 公開（公告）號: CN103177022A
• 公開（公告）日: 2013-06-26
• 發明（設計）人: 李建業;王展
• 申請（專利權）人: 騰訊科技（深圳）有限公司
• 主分類號: G06F17/30
• 分類號: G06F17/30;G06F21/55
• 代理公司: 北京凱特來知識產權代理有限公司 11260
• 代理人: 鄭立明;陳亮

1.一種惡意文件搜索方法，其特征在于，包括：

根據惡意文件的靜態信息和動態信息，建立所述惡意文件對應的分類索引；

接收搜索指令，根據所述搜索指令攜帶的搜索信息確定匹配的所述分類索引，得到所述分類索引對應的惡意文件和/或惡意文件的靜態信息和動態信息；

顯示所述分類索引對應的惡意文件和/或惡意文件的靜態信息和動態信息。

2.根據權利要求1所述的方法，其特征在于，所述靜態信息為文件本身具有的信息，所述靜態信息包括文件哈希hash，文件名，文件大小，文件包含的指令，文件包含的字符串，應用程序編程接口API信息，導入導出函數表，文件結構信息中的至少一種；

所述動態信息為運行文件時的行為信息，所述動態信息包括修改注冊表，修改啟動項，修改進程，復制文件，修改文件，刪除文件中的至少一種。

3.根據權利要求1所述的方法，其特征在于，在根據惡意文件的靜態信息和動態信息，建立所述惡意文件的分類索引之前，所述方法還包括：

使用分布式文件系統、或分布式No-SQL數據庫，對所述惡意文件的靜態信息和動態信息進行存儲。

4.根據權利要求3所述的方法，其特征在于，在使用分布式文件系統或分布式No-SQL數據庫，對所述惡意文件的靜態信息和動態信息進行存儲之前，所述方法還包括：

通過客戶端上報惡意文件、或網絡檢測惡意文件的方式，獲取所述惡意文件；

使用分布式文件系統對所述惡意文件進行存儲。

5.根據權利要求1所述的方法，其特征在于，根據所述搜索指令攜帶的搜索信息確定匹配的所述分類索引，得到所述分類索引對應的惡意文件和/或惡意文件的靜態信息和動態信息，包括：

根據所述搜索指令攜帶的搜索信息在所述分類索引中進行搜索，確定匹配的所述分類索引；

根據匹配的所述分類索引，得到對應的惡意文件和/或惡意文件的靜態信息和動態信息。

6.根據權利要求5所述的方法，其特征在于，根據所述搜索指令攜帶的搜索信息在所述分類索引中進行搜索，確定匹配的所述分類索引，包括：

對所述搜索信息進行語義分析，在所述分類索引中進行搜索，確定匹配的所述分類索引。

7.一種惡意文件搜索裝置，其特征在于，包括：

建立單元，用于根據惡意文件的靜態信息和動態信息，建立所述惡意文件對應的分類索引；

搜索單元，用于接收搜索指令，根據所述搜索指令攜帶的搜索信息確定匹配的所述分類索引，得到所述分類索引對應的惡意文件和/或惡意文件的靜態信息和動態信息；

顯示單元，用于顯示所述分類索引對應的惡意文件和/或惡意文件的靜態信息和動態信息。

8.根據權利要求7所述的裝置，其特征在于，所述靜態信息為文件本身具有的信息，所述靜態信息包括文件哈希hash，文件名，文件大小，文件包含的指令，文件包含的字符串，應用程序編程接口API信息，導入導出函數表，文件結構信息中的至少一種；

所述動態信息為運行文件時的行為信息，所述動態信息包括修改注冊表，修改啟動項，修改進程，復制文件，修改文件，刪除文件中的至少一種。

9.根據權利要求7所述的裝置，其特征在于，所述裝置還包括：

第一存儲單元，用于對所述惡意文件的靜態信息和動態信息進行存儲，所述第一存儲單元包括分布式文件系統、或分布式No-SQL數據庫。

10.根據權利要求9所述的裝置，其特征在于，所述裝置還包括：

獲取單元，用于通過客戶端上報惡意文件、或網絡檢測惡意文件的方式，獲取所述惡意文件；

第二存儲單元，用于對所述惡意文件進行存儲，所述第一存儲單元包括分布式文件系統。

11.根據權利要求7所述的裝置，其特征在于，所述搜索單元，具體用于根據所述搜索指令攜帶的搜索信息在所述分類索引中進行搜索，確定匹配的所述分類索引，根據匹配的所述分類索引，得到對應的惡意文件和/或惡意文件的靜態信息和動態信息。

12.根據權利要求11所述的裝置，其特征在于，所述搜索單元，還體對所述搜索信息進行語義分析，在所述分類索引中進行搜索，確定匹配的所述分類索引。