[發明專利]檢測惡意多媒體文件的系統和方法

在審

• 申請號: 201380081284.5
• 申請日: 2013-12-27
• 公開（公告）號: CN105793864A
• 公開（公告）日: 2016-07-20
• 發明（設計）人: H·李;B·孫;C·徐
• 申請（專利權）人: 邁克菲股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 上海專利商標事務所有限公司 31100
• 代理人: 高見

1.其上存儲有指令的至少一個計算機可讀介質，所述指令包括在執行時 使可編程設備用于以下操作的指令：

將多媒體文件中的指令與預定指令列表匹配；

標識所匹配的指令在所述多媒體文件中的重復；

計算所匹配的指令的重復之間的距離；以及

響應于所匹配的指令的等距重復將所述多媒體文件標識為惡意。

2.如權利要求1所述的計算機可讀介質，還包括用于消除所述多媒體文 件作為惡意的假肯定標識的指令。

3.如權利要求1所述的計算機可讀介質，還包括用于若所述多媒體文件 中標簽的長度大于或等于第一預定閾值則將所述文件識別為被錯誤標識為惡 意的指令。

4.如權利要求1所述的計算機可讀介質，還包括用于若所述多媒體文件 的方法主體計數大于或等于第二預定閾值則將所述文件識別為被錯誤標識為 惡意的指令。

5.如權利要求1所述的計算機可讀介質，還包括用于使所述一個或多個 處理器執行以下操作的指令：

檢查所述多媒體文件中存儲常數的一個或多個數據結構中的一個或多個 字符串；以及

如果所述一個或多個字符串中的任一個被shellcode邏輯標識為指示 shellcode，則將所述多媒體文件標識為惡意。

6.如權利要求5所述的計算機可讀介質，其特征在于，所述shellcode 邏輯包括shellcode數據庫。

7.如權利要求6所述的計算機可讀介質，還包括用于使所述一個或多個 處理器在一個或多個字符串中的至少一者與shellcode數據庫中的一個或多 個所標識字符串之一匹配時，將所述多媒體文件標識為包含惡意字符串的指 令。

8.如權利要求1-7的任一項所述的計算機可讀介質，其特征在于，所述 多媒體文件在最小數量的重復為等距時被標識為惡意。

9.如權利要求1-7的任一項所述的計算機可讀介質，其特征在于，所匹 配的指令包括字節碼指令。

10.一種被配置為執行多媒體文件的分析的設備，包括：

存儲器裝置；以及

在通信上耦合至所述存儲器裝置的處理裝置，其中所述存儲器裝置存儲用 于配置所述處理裝置以執行下列操作的指令：

接收一個或多個多媒體文件；

檢查存儲每個接收到的多媒體文件的常數的一個或多個數據結構的 內容；以及

當所述多媒體文件的一個或多個數據結構中的一個或多個字符串被 shellcode邏輯標識為指示shellcode時，將每個多媒體文件標識為惡 意。

11.如權利要求10所述的設備，其特征在于，所述指令還使所述處理裝 置用于：

將所述多媒體文件中的指令與預定指令列表匹配；

標識所匹配的指令在所述多媒體文件中的重復；

計算所匹配的指令的重復之間的距離；以及

響應于所匹配的指令的等距重復將所述多媒體文件標識為惡意。

12.如權利要求11所述的設備，其特征在于，所述多媒體文件在最小數 量的重復為等距時被標識為惡意。

13.如權利要求11所述的設備，其特征在于，所述多媒體文件在重復中 的兩者或更多者為等距時被標識為惡意。

14.如權利要求11所述的設備，其特征在于，所述指令還使所述處理裝 置確定所述文件是否被錯誤標識為惡意。

15.如權利要求11所述的設備，其特征在于，所匹配的指令包括字節碼 指令。

16.如權利要求15所述的設備，還包括使所述處理裝置在所述多媒體文 件中標簽的長度大于或等于第一預定閾值的情況下將所述文件識別為被錯誤 標識為惡意的指令。