[發明專利]使用聲譽指示符來促進惡意軟件掃描的系統和方法

有效

• 申請號: 201480052984.6
• 申請日: 2014-09-25
• 公開（公告）號: CN105580022B
• 公開（公告）日: 2019-06-21
• 發明（設計）人: 丹尼爾-亞利山杜·米爾塞斯庫
• 申請（專利權）人: 比特梵德知識產權管理有限公司
• 主分類號: G06F21/51
• 分類號: G06F21/51;G06F21/56;G06F21/57
• 代理公司: 北京律盟知識產權代理有限責任公司 11287
• 代理人: 張世俊

1.一種客戶端系統，其包括：

存儲器，以及

至少一個硬件處理器，其連接所述存儲器且經配置以執行反惡意軟件引擎，所述反惡意軟件引擎經配置以監視惡意活動的目標進程，其中所述目標進程在所述客戶端系統上執行，其中所述目標進程包括主要可執行模塊的例子和共享庫的例子，且其中所述至少一個硬件處理器經進一步配置以：

從服務器接收所述主要可執行模塊的第一模塊聲譽指示符和所述共享庫的第二模塊聲譽指示符，所述第一模塊聲譽指示符根據所述主要可執行模塊的另一例子的行為而確定，其中所述服務器經配置以與包含所述客戶端系統的多個客戶端系統一起執行反惡意軟件事務，其中所述第一模塊聲譽指示符包括第一組監視規則的指示符，且其中所述第二模塊聲譽指示符包括第二組監視規則的指示符；

響應于接收所述第一模塊聲譽指示符和所述第二模塊聲譽指示符，根據所述第一模塊聲譽指示符和所述第二模塊聲譽指示符確定是否所述目標進程可能是惡意的；以及

響應于確定是否所述目標進程可能是惡意的，當所述目標進程不可能是惡意的時，

將所述第一組監視規則和所述第二組監視規則組合成一組經組合的監視規則；以及

根據所述一組經組合的監視規則配置所述反惡意軟件引擎監視所述目標進程。

2.根據權利要求1所述的客戶端系統，其中所述至少一個硬件處理器進一步經配置以響應于確定是否所述目標進程可能是惡意的，當所述目標進程可能是惡意的時，根據嚴格的安全協議配置所述反惡意軟件引擎以監視所述目標進程，其中所述嚴格的安全協議比所述一組經組合的監視規則在計算方面更昂貴。

3.根據權利要求1所述的客戶端系統，其中所述至少一個硬件處理器經配置以根據所述第一組監視規則和所述第二組監視規則的并集確定所述一組經組合的監視規則。

4.根據權利要求1所述的客戶端系統，其中所述至少一個硬件處理器經配置以根據所述第一組監視規則和所述第二組監視規則的交集確定所述一組經組合的監視規則。

5.根據權利要求1所述的客戶端系統，其中所述第一組監視規則的所選擇的規則包括用于確定所述目標進程是否是惡意的所選擇探試程序。

6.根據權利要求1所述的客戶端系統，其中所述第一組監視規則的所選擇的規則指示所述反惡意軟件引擎確定所述目標進程是否執行所選擇動作。

7.根據權利要求1所述的客戶端系統，其中所述主要可執行模塊的所述另一例子在所述多個客戶端系統的第二客戶端系統上執行。

8.根據權利要求1所述的客戶端系統，其中所述至少一個硬件處理器經進一步配置以響應于配置所述反惡意軟件引擎：

檢測由所述目標進程執行的動作，所述動作包括將另一可執行模塊加載到所述目標進程中，所述另一可執行模塊不同于所述主要可執行模塊和所述共享庫；

響應于檢測所述動作，根據所述另一可執行模塊的第三模塊聲譽指示符重新評估所述目標進程以確定是否所述目標進程可能是惡意的，所述第三模塊聲譽指示符是從所述服務器接收的；以及

作為響應，根據由所述第三模塊聲譽指示符指示的第三組監視規則而重新配置所述反惡意軟件引擎。

9.根據權利要求1所述的客戶端系統，其中確定是否所述目標進程可能是惡意的包括：

識別由所述目標進程加載的所有可執行模塊；

根據針對所述所有可執行模塊的每一模塊的例子確定的模塊聲譽指示符確定所述每一模塊是否可能是惡意的；以及

作為響應，當所述所有可執行模塊的每一模塊不可能是惡意的時，確定所述目標進程不可能是惡意的。

10.根據權利要求9所述的客戶端系統，其中確定是否所述目標進程可能是惡意的進一步包括響應于確定每一模塊是否可能是惡意的，在所述所有可執行模塊的至少一個模塊可能是惡意的時，確定所述目標進程可能是惡意的。