[發明專利]病毒的識別方法及設備

有效

• 申請號: 201310637279.X
• 申請日: 2013-12-02
• 公開（公告）號: CN103699838B
• 公開（公告）日: 2018-05-04
• 發明（設計）人: 郭明強;陳高合;董志強
• 申請（專利權）人: 百度國際科技（深圳）有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F17/30
• 代理公司: 北京鴻德海業知識產權代理事務所(普通合伙)11412
• 代理人: 袁媛

【技術領域】

本發明涉及計算機技術，尤其涉及一種病毒的識別方法及設備。

【背景技術】

文件夾病毒，是一種利用文件夾圖標迷惑用戶，雙擊打開進行復制的病毒。文件夾病毒會遍歷移動存儲設備的根目錄下的文件夾，復制自身到移動存儲設備的根目錄下，更名為檢測到的文件夾的文件名，修改該文件夾的屬性為不可見，使用戶在使用移動存儲設備打開其文件夾時運行病毒，以達到復制的目的?，F有技術中，利用病毒數據庫，對掃描的文件進行特征匹配，若所述匹配成功，識別所述文件為文件夾病毒。原始的病毒數據庫需要由操作人員逐一獲取每個文件夾病毒，對每個文件夾病毒文件進行人工識別和特征提取，以建立病毒數據庫。

然而，現有建立病毒數據庫的操作復雜，且容易出錯，從而導致了病毒識別的效率和可靠性的降低。

【發明內容】

本發明的多個方面提供一種病毒的識別方法及設備，用以提高病毒識別的效率和可靠性。

本發明的一方面，提供一種病毒的識別方法，包括：

監控進程的行為；

根據所述進程的行為，獲得與所述進程對應的可執行文件的文件名；

確定與所述可執行文件的文件名相同或相近似的文件名；

根據所述進程的行為和根據所述相同或相近似的文件名所對應的文件夾的屬性，識別所述可執行文件為文件夾病毒。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述根據所述進程的行為，獲得與所述進程對應的可執行文件的文件名，包括：

若所述進程的行為為進程啟動，獲得所述進程所訪問的可執行文件的文件名。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述根據所述進程的行為和根據所述相同或相近似的文件名所對應的文件夾的屬性，識別所述可執行文件為文件夾病毒，包括：

若所述進程的行為為打開所述文件夾，且所述文件夾的屬性為不可見，識別所述可執行文件為文件夾病毒。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述根據所述進程的行為，獲得與所述進程對應的可執行文件的文件名，包括：

若所述進程的行為為創建所述可執行文件，獲得所述可執行文件的文件名。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述根據所述進程的行為和根據所述相同或相近似的文件名所對應的文件夾的屬性，識別所述可執行文件為文件夾病毒，包括：

若所述進程的行為為設置所述文件夾的屬性為不可見，識別所述可執行文件為文件夾病毒。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述根據所述進程的行為和根據所述相同或相近似的文件名所對應的文件夾的屬性，識別所述可執行文件為文件夾病毒之后，還包括：

根據所述識別的所述文件夾病毒，獲得所述文件夾病毒的病毒特征信息；

將所述病毒特征信息加入到病毒數據庫中，以供利用所述病毒數據庫，對掃描的文件進行特征匹配，若所述匹配成功，識別所述文件為文件夾病毒。

本發明的一方面，提供一種病毒的識別設備，包括：

監控單元，用于監控進程的行為；

獲得單元，用于根據所述進程的行為，獲得與所述進程對應的可執行文件的文件名；

確定單元，用于確定與所述可執行文件的文件名相同或相近似的文件名；

識別單元，用于根據所述進程的行為和根據所述相同或相近似的文件名所對應的文件夾的屬性，識別所述可執行文件為文件夾病毒。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述獲得單元，具體用于

若所述進程的行為為進程啟動，獲得所述進程所訪問的可執行文件的文件名。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述識別單元，具體用于

若所述進程的行為為打開所述文件夾，且所述文件夾的屬性為不可見，識別所述可執行文件為文件夾病毒。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述獲得單元，具體用于

若所述進程的行為為創建所述可執行文件，獲得所述可執行文件的文件名。

如上所述的方面和任一可能的實現方式，進一步提供一種實現方式，所述識別單元，具體用于

若所述進程的行為為設置所述文件夾的屬性為不可見，識別所述可執行文件為文件夾病毒。