[發明專利]主動防御惡意程序的方法和裝置

有效

• 申請號: 201310027641.1
• 申請日: 2013-01-24
• 公開（公告）號: CN103077353A
• 公開（公告）日: 2013-05-01
• 發明（設計）人: 張曉霖;董杰
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市隆安律師事務所 11323
• 代理人: 權鮮枝;董垚

1.一種主動防御惡意程序的方法，該方法包括：

在待保護的設備創建進程時，根據與該創建的進程相關的進程文件判斷該創建的進程是否具有危險性，如果是，則攔截創建的進程加載該進程的動態鏈接庫DLL文件的操作，并將該DLL文件記錄到內存的進程信息中；

在待保護的設備啟動進程后，當進程執行的操作為危險操作時，檢測記錄的該進程的DLL文件是否安全，如果不安全，則阻止待保護的設備執行該進程的操作。

2.根據權利要求1所述的方法，其中，

所述根據與該創建的進程相關的進程文件判斷該創建的進程是否具有危險性具體包括：

查詢該創建的進程所在進程鏈中各個進程的進程文件的來源，根據所述各個進程的進程文件的來源判斷該創建的進程是否具有危險性；

所述創建的進程所在進程鏈為進程樹中從該創建的進程到根進程的進程鏈。

3.根據權利要求2所述的方法，其中，

所述根據所述各個進程的進程文件的來源判斷該創建的進程是否具有危險性具體包括：

判斷所述各個進程的進程文件中是否存在來自網絡下載的文件，如果存在，則該創建的進程具有危險性。

4.根據權利要求2所述的方法，其中，

所述根據所述各個進程的進程文件的來源判斷該創建的進程是否具有危險性具體包括：

判斷所述各個進程的進程文件中是否存在來自壓縮包的文件，如果存在，則該創建的進程具有危險性。

5.根據權利要求4所述的方法，其中，

所述判斷所述各個進程的進程文件中是否存在來自壓縮包的文件具體包括：

對于所述各個進程鏈中每個進程進行判定，如果該進程的父進程為解壓縮應用，并且該解壓縮應用直接執行壓縮包中的可執行文件或者該解壓縮應用解壓縮的壓縮包中包含該進程的進程文件，則判定該進程的進程文件為來自壓縮包的文件。

6.根據權利要求1所述的方法，其中，

所述根據與該創建的進程相關的進程文件判斷該創建的進程的操作是否具有危險性具體包括：

判斷創建的進程的進程文件是否滿足預設的匹配條件，如果滿足，則創建的進程具有危險性。

7.根據權利要求1至6任一項所述的方法，其中，

所述檢測記錄的該進程的DLL文件是否安全，如果不安全，則阻止待保護的設備執行該進程的操作具體包括：

使用本地安全引擎和/或云安全引擎對該進程的DLL文件進行檢測，如果DLL文件為病毒文件，則阻止待保護的設備執行該進程。

8.根據權利要求7所述的方法，其中，

所述使用本地安全引擎和/或云安全引擎對該進程的DLL文件進行檢測后還包括：

如果該進程的可執行文件和DLL文件都為安全文件，則確定該進程安全。

9.根據權利要求8所述的方法，其中，

所述使用本地安全引擎和/或云安全引擎對該進程的DLL文件進行檢測后還包括：

如果該進程的DLL文件的危險等級高于該進程的可執行文件的危險等級，則修改該進程的可執行文件的危險等級為所述DLL文件的危險等級，并呈現危險提示。

10.根據權利要求1至9任一項所述的方法，其中，

所述檢測記錄的該進程的DLL文件是否安全后還包括：

如果該進程的DLL文件為安全文件，則刪除該DLL文件的記錄，并在該DLL文件沒有發生變化的情況下，不進行攔截創建的進程加載該DLL文件的操作。

11.根據權利要求1至10任一項所述的方法，其中，

所述危險操作至少包括下列操作中的一種：

寫入注冊表進行自動加載；

修改注冊表；

修改系統文件；

修改指定的應用文件；

執行進程間注入；

結束進程；

修改瀏覽器中網頁內容；以及

記錄鍵盤操作。