[發(fā)明專利]蠕蟲病毒的識別方法及裝置

在審

• 申請?zhí)枺?/td>: 201310264357.6
• 申請日: 2013-06-27
• 公開（公告）號: CN104253797A
• 公開（公告）日: 2014-12-31
• 發(fā)明（設計）人: 舒鑫;張楠;趙閩
• 申請（專利權）人: 貝殼網際（北京）安全技術有限公司;北京金山網絡科技有限公司;北京金山安全軟件有限公司;珠海市君天電子科技有限公司;可牛網絡技術（北京）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/56
• 代理公司: 北京康信知識產權代理有限責任公司 11240
• 代理人: 吳貴明;張永明

1.一種蠕蟲病毒的識別方法，其特征在于，包括：

獲取待識別文件在運行過程中的行為特征信息；

根據(jù)所述行為特征信息判斷所述待識別文件是否為蠕蟲病毒；

在所述行為特征信息表示的行為符合蠕蟲病毒的行為特征時，確定所述待識別文件為蠕蟲病毒。

2.根據(jù)權利要求1所述的方法，其特征在于，獲取待識別文件在運行過程中的行為特征信息，包括以下至少之一處理過程：

獲取所述待識別文件的網絡操作信息；

獲取所述待識別文件對系統(tǒng)注冊表的操作信息。

3.根據(jù)權利要求2所述的方法，其特征在于，在所述行為特性信息包括所述系統(tǒng)注冊表的操作信息的情況下，獲取待識別文件在運行過程中的行為特征信息，包括：

在確定所述待識別文件為所述蠕蟲病毒后，重復多次運行所述待識別文件；

在重復運行所述待識別文件的過程中，監(jiān)控所述待識別文件對運行過程中的注冊表進行的操作；以及

根據(jù)進行操作后的注冊表信息與初始注冊表信息之間的變化確定所述蠕蟲病毒的感染標記；

根據(jù)所述感染標記所標記的注息冊表操作信息提取所述行為特征信息。

4.根據(jù)權利要求1所述的方法，其特征在于，在所述行為特征信息表示的行為符合蠕蟲病毒的行為特征時，確定所述待識別文件為蠕蟲病毒，包括：

在所述行為特征信息表示的行為具有傳播行為和破壞行為時，確定所述待識別文件為所述蠕蟲病毒。

5.根據(jù)權利要求1至4任一項所述的方法，其特征在于，在確定所述待識別文件為蠕蟲病毒之后，包括：

輸出與識別出的所述蠕蟲病毒對應的行為特征信息。

6.根據(jù)權利要求5所述的方法，其特征在于，輸出與識別出的所述蠕蟲病毒對應的行為特征信息之后，包括：

根據(jù)所述蠕蟲病毒所對應的行為特征信息，對識別出的所述蠕蟲病毒的操作行為進行攔截。

7.一種蠕蟲病毒的識別裝置，其特征在于，包括：

獲取模塊，用于獲取待識別文件在運行過程中的行為特征信息；

判斷模塊，用于根據(jù)所述行為特征信息判斷所述待識別文件是否為蠕蟲病毒；

確定模塊，用于在所述行為特征信息表示的行為符合蠕蟲病毒的行為特征時，確定所述待識別文件為蠕蟲病毒。

8.根據(jù)權利要求7所述的裝置，其特征在于，所述獲取模塊，還用于執(zhí)行以下至少之一處理過程：

獲取所述待識別文件的網絡操作信息；

獲取所述待識別文件對系統(tǒng)注冊表的操作信息。

9.根據(jù)權利要求8所述的裝置，其特征在于，所述獲取模塊，包括：

運行單元，用于在確定所述待識別文件為所述蠕蟲病毒后，重復多次運行所述待識別文件；

監(jiān)控單元，用于在重復運行所述待識別文件的過程中，監(jiān)控所述待識別文件對運行過程中的注冊表進行的操作；以及

確定單元，用于根據(jù)進行操作后的注冊表信息與初始注冊表信息之間的變化確定所述蠕蟲病毒的感染標記；

提取單元，用于根據(jù)所述感染標記所標記的注息冊表操作信息提取所述行為特征信息。

10.根據(jù)權利要求7至9任一項所述的裝置，其特征在于，還包括：

輸出模塊，用于輸出與識別出的所述蠕蟲病毒對應的行為特征信息。

11.根據(jù)權利要求10所述的裝置，其特征在于，還包括：

攔截模塊，用于根據(jù)所述蠕蟲病毒所對應的行為特征信息，對識別出的所述蠕蟲病毒的操作行為進行攔截。