[發明專利]一種基于終端自啟動項的靜態木馬檢測方法

有效

• 申請號: 201410171414.0
• 申請日: 2014-04-25
• 公開（公告）號: CN103955644B
• 公開（公告）日: 2017-06-06
• 發明（設計）人: 高昆侖;楊成明;魏桂臣;郝增帥;李凌
• 申請（專利權）人: 國家電網公司;中國電力科學研究院;全球能源互聯網研究院
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京安博達知識產權代理有限公司11271
• 代理人: 徐國文

1.一種基于終端自啟動項的靜態木馬檢測方法，其特征在于：所述方法包括以下步驟：

步驟1：構建系統啟動項的引擎分析模型，并進行全周期啟動項變化監測；

步驟2：對經過系統啟動項的引擎分析模型過濾后的數據進行灰名單智能分析；

步驟3：記錄數據存入各自數據庫；

步驟4：數據庫靜態掃描檢測與數據庫智能分析對比；

所述步驟1包括以下步驟：

步驟1-1：構建系統啟動項的引擎分析模型；系統啟動項的引擎分析模型包括啟動菜單、以前系統遺留文件、注冊表、計劃任務、啟動項、組策略和自動啟動服務；

步驟1-2：對與系統相關啟動關聯項進行分析記錄；

步驟1-3：通過對啟動項文件證書簽名進行過濾，過濾正常文件的證書簽名文件，全周期記錄已構建的系統啟動項的引擎分析模型中產生變化的檢測數據，并對應用軟件或后續關聯啟動項啟動程序進行監控記錄。

2.根據權利要求1所述的基于終端自啟動項的靜態木馬檢測方法，其特征在于：所述步驟2包括以下步驟：

步驟2-1：依據木馬關聯啟動項、啟動方式、文件類型特征、文件的證書及簽名創建灰名單；所述灰名單介于白名單與黑名單之間；

步驟2-2：對經過系統啟動項的引擎分析模型過濾后的數據與全周期記錄的變化監測數據進行灰名單過濾分析；

步驟2-3：采用的灰名單采用黑名單加灰名單檢測機制，通過灰名單判定已知木馬、過濾正常程序，對于介于之間的啟動項數據進行下一步分析。

3.根據權利要求1所述的基于終端自啟動項的靜態木馬檢測方法，其特征在于：所述步驟3包括以下步驟：

步驟3-1：對灰名單過濾后的系統啟動項的引擎分析模型數據與全周期記錄變化檢測數據進行記錄；

步驟3-2：記錄的數據采用智能處理依托啟動項主文件的所有附屬文件處理機制，對于整個記錄的啟動項文件以及依托文件做去重過濾；

步驟3-3：將系統啟動項的引擎分析模型記錄及過濾后的啟動項文件以及依托文件記錄數據存入B數據庫中，全周期記錄變化檢測數據記錄及全周期的啟動項文件以及依托文件記錄數據存入A數據庫中。

4.根據權利要求3所述的基于終端自啟動項的靜態木馬檢測方法，其特征在于：所述步驟4包括以下步驟：

步驟4-1：對B數據庫進行靜態掃描檢測；

先進行靜態的特征掃描，過濾一次簽名文件和已知惡意特征文件；之后進行可執行文件pe節區解析，包括敏感字符串解析、敏感函數名解析、殼文件特征判斷、oep函數入口異常判斷、pe節區是否感染規則分析；

步驟4-2：對各種手段分別設定權重值，根據權重值判定木馬程序，將A數據庫與B數據庫進行智能分析比對，對于無異常記錄進行標記放過，若存在差異記錄，對差異記錄數據再進行靜態掃描檢測，由權重值判定木馬程序，根據數據庫記錄信息可以查找木馬所在位置及依托的啟動項或其他文件，即可直接手動查殺。