[發明專利]一種惡意行為檢測方法及裝置

在審

• 申請號: 201310747287.X
• 申請日: 2013-12-30
• 公開（公告）號: CN103699843A
• 公開（公告）日: 2014-04-02
• 發明（設計）人: 潘泉海;姚輝;劉桂峰
• 申請（專利權）人: 珠海市君天電子科技有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京柏杉松知識產權代理事務所(普通合伙) 11413
• 代理人: 項京;馬敬

1.一種惡意行為檢測方法，其特征在于，所述方法包括：

在待檢測對象的運行過程中，對所述待檢測對象創建的可視界面進行截取，得到運行特征截圖；

計算所述運行特征截圖與預設的惡意行為特征圖像的相似度；

根據所述計算的相似度，確定所述待檢測對象是否存在惡意行為。

2.根據權利要求1所述方法，其特征在于，所述根據所述計算的相似度，確定所述待檢測對象是否存在惡意行為，包括：

根據所述計算的相似度，判斷所述相似度是否小于預設的第一閾值；

如果否，則確定所述待檢測對象存在惡意行為。

3.根據權利要求1或2所述方法，其特征在于，所述在待檢測對象的運行過程中，對所述待檢測對象創建的可視界面進行截取，包括：

對所述待檢測對象運行過程中的可視界面創建行為進行監測，如果監測到可視界面創建行為，則對所創建的可視界面進行截取。

4.根據權利要求1或2所述方法，其特征在于，所述預設的惡意行為特征圖像，通過以下方法獲得：

對已知存在惡意行為的對象進行加載；

在所述存在惡意行為的對象運行過程中對所述存在惡意行為的對象創建的可視界面進行截取；

根據截取結果，獲取惡意行為特征圖像；

記錄獲取的惡意行為特征圖像。

5.根據權利要求1或2所述方法，其特征在于，所述計算所述運行特征截圖與預設的惡意行為特征圖像的相似度，包括：

a.獲得所述惡意行為特征圖像第一行第一列的像素點Pa的像素值X(Pa)，并將所述運行特征截圖的第一行第一列的像素點初始化為掃描起始點；

b.從所述掃描起始點開始，在所述運行特征截圖中查找像素點Pb，使得Pb的像素值X(Pb)滿足：X(Pb)=X(Pa)；

c.以Pa和Pb為對應點，確定所述惡意行為特征圖像與所述運行特征截圖中像素點的對應關系；

d.判斷Pa所在行像素點與其對應像素點的像素值是否完全相同，

如果是，則進一步執行步驟e；

如果否，則將當前像素點Pb的下一個像素點作為掃描起始點，重復執行步驟b-c，直到Pa所在行像素點與其對應像素點的像素值完全相同，則進一步執行步驟e；若無法滿足所述像素值完全相同的條件，則設置相似度計算結果為0；

e.根據步驟c中所建立的像素點對應關系，判斷惡意行為特征圖像的像素點與其對應像素點的像素值是否相同，統計像素值相同的像素點的個數C_E；計算C_E/C_T，得到所述運行特征截圖與預設的惡意行為特征圖像的相似度，其中，C_T為所述惡意行為特征圖像中用于判斷與其對應像素點是否相同的像素點的總個數。

6.根據權利要求5所述方法，其特征在于，

所述判斷Pa所在行像素點與其對應像素點的像素值是否完全相同，包括：

判斷Pa所在行中，以Pa為起始點，以預設的第二閾值為像素點點間間隔確定的像素點與其對應像素點的像素值是否完全相同。

7.根據權利要求6所述方法，其特征在于，

所述判斷惡意行為特征圖像的像素點與其對應像素點的像素值是否相同，包括：

判斷惡意行為特征圖像中，以預先規定的像素點為起始點，以預設的第三閾值為像素點點間間隔確定的像素點與其對應像素點的像素值是否相同。

8.一種惡意行為檢測裝置，其特征在于，所述裝置包括：

截取單元，用于在待檢測對象的運行過程中，對所述待檢測對象創建的可視界面進行截取，得到運行特征截圖；

相似度計算單元，用于計算所述運行特征截圖與預設的惡意行為特征圖像的相似度；

惡意行為確定單元，用于根據所述計算的相似度，確定所述待檢測對象是否存在惡意行為。

9.根據權利要求8所述的裝置，其特征在于，所述惡意行為確定單元，包括：相似度判斷子單元和惡意行為確定子單元；

所述相似度判斷子單元，用于根據所述計算的相似度，判斷所述相似度是否小于預設的第一閾值；

所述惡意行為確定子單元，用于在所述相似度判斷子單元判定所述相似度不小于預設的第一閾值時，確定所述待檢測對象存在惡意行為。