[發明專利]一種免疫文件宏病毒的方法和裝置

有效

• 申請號: 201210545944.8
• 申請日: 2012-12-14
• 公開（公告）號: CN103034809A
• 公開（公告）日: 2013-04-10
• 發明（設計）人: 禹建文
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京潤澤恒知識產權代理有限公司 11319
• 代理人: 蘇培華

1.一種免疫文件宏病毒的方法，其特征在于，包括：

截獲Office進程的文件行為請求；

依據所述文件行為請求，分析得到相應文件行為的信息；

利用所述文件行為的信息，判斷所述文件行為是否為宏病毒行為；

在所述文件行為是Office進程修改模板文件的宏病毒行為時，允許所截獲的文件行為請求；

在所述文件行為是除Office進程修改模板文件的行為之外的宏病毒行為時，阻止所截獲的文件行為請求。

2.如權利要求1所述的方法，其特征在于，所述依據所述文件行為請求，分析得到相應文件行為的信息的步驟，包括：

分析所述文件行為請求中攜帶的應用程序接口API的參數，得到相應文件行為的信息；

所述文件行為的信息至少包括如下信息中的一項或多項：文件路徑，行為名稱，共享方式和文件屬性；所述文件屬性至少包括如下屬性中的一項或多項：普通，只讀，隱藏，加密和壓縮。

3.如權利要求1所述的方法，其特征在于，所述利用所述文件行為的信息，判斷所述文件行為是否為宏病毒行為的步驟，包括：

將所述文件行為的信息與已知宏病毒行為的信息進行匹配，若匹配成功，則確定所述文件行為是宏病毒行為。

4.如權利要求1所述的方法，其特征在于，所述利用所述文件行為的信息，判斷所述文件行為是否為宏病毒行為的步驟，包括：

依據所述文件行為的信息，判斷所述文件行為對應文件為本次計算機運行期間未被Office進程修改過的已有文件還是被Office進程修改過的新文件；

將所述文件行為的信息和所述文件行為對應文件的判斷結果與已知宏病毒行為的信息進行匹配，若匹配成功，則確定所述文件行為是宏病毒行為。

5.如權利要求1或2所述的方法，其特征在于，還包括：

若所述文件行為是Office進程修改模板文件的宏病毒行為，則在所述Office進程結束時，判斷修改后的模板文件是否帶有宏，若是，則使用預先備份的不帶有宏的模板文件替換所述修改后的模板文件；

所述判斷修改后的模板文件是否帶有宏的步驟，包括：

以二進制的格式打開所述修改后的模板文件；

判斷所述修改后的模板文件的二進制內容中是否包含有宏標識，若是，則判斷修改后的模板文件帶有宏，否則判斷修改后的模板文件不帶有宏。

6.如權利要求3或4所述的方法，其特征在于，還包括：

當匹配失敗時，判斷所述文件行為對應文件或目錄是否在白名單數據集中；

當所述文件行為對應文件或目錄在白名單數據集中時，確定所述文件行為不是宏病毒行為；

當所述文件行為對應文件或目錄不在白名單數據集中時，判斷所述文件行為對應文件或目錄是否在黑名單數據集中；

當所述文件行為對應文件或目錄在黑名單數據集中時，確定所述文件行為是宏病毒行為；

當所述文件行為對應文件或目錄不在黑名單數據集中時，判斷所述文件行為對應文件或目錄為本次計算機運行期間未被Office進程修改過的已有文件或目錄還是被Office進程修改過的新文件或目錄；

當所述文件行為對應文件或目錄為本次計算機運行期間未被Office進程修改過的已有文件或目錄時，確定所述文件行為不是宏病毒行為；

當所述文件行為對應文件或目錄為本次計算機運行期間被Office進程修改過的新文件或目錄時，確定所述文件行為是宏病毒行為。

7.如權利要求4所述的方法，其特征在于，所述依據所述文件行為的信息，判斷所述文件行為對應文件為本次計算機運行期間未被Office進程修改過的已有文件還是被Office進程修改過的新文件的步驟，包括：

維護第一文件集合和第二文件集合；所述第一文件集合包括本次計算機運行期間未被Office進程修改過的已有文件，所述第二文件集合包括Office進程操作過的已有文件；

依據所述文件行為的信息，判斷所述文件行為對應文件是否在所述第一文件集合或第二文件集合中；

當所述文件行為對應文件在所述第一文件集合中時，判斷所述文件行為對應文件為本次計算機運行期間未被Office進程修改過的已有文件；

當所述文件行為對應文件在所述第二文件集合中時，判斷所述文件行為對應文件為本次計算機運行期間被Office進程修改過的新文件。