[發(fā)明專利]一種惡意軟件處理方法及裝置

有效

• 申請?zhí)枺?/td>: 201510849764.2
• 申請日: 2015-11-27
• 公開（公告）號: CN105512556B
• 公開（公告）日: 2018-11-23
• 發(fā)明（設(shè)計(jì)）人: 潘建峰
• 申請（專利權(quán)）人: 浪潮（北京）電子信息產(chǎn)業(yè)有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京集佳知識(shí)產(chǎn)權(quán)代理有限公司 11227
• 代理人: 羅滿

1.一種惡意軟件處理方法，其特征在于，包括：

對惡意軟件進(jìn)行降噪處理；

獲取與所述惡意軟件對應(yīng)的靜態(tài)信息，及與所述惡意軟件對應(yīng)的信號中包含的互不相交的二進(jìn)制序列，并基于該二進(jìn)制序列及該靜態(tài)信息生成靜態(tài)簽名；

捕獲所述惡意軟件的動(dòng)態(tài)軌跡，并生成對應(yīng)的動(dòng)態(tài)簽名；

將所述惡意軟件的動(dòng)態(tài)簽名及靜態(tài)簽名保存至預(yù)先設(shè)置的惡意軟件比對表中；

基于所述惡意軟件比對表判斷待測軟件是否為惡意軟件；

所述對惡意軟件進(jìn)行降噪處理，包括：

舍棄所述惡意軟件中不包含有攻擊代碼的數(shù)據(jù)。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，基于所述惡意軟件比對表判斷待測軟件是否為惡意軟件，包括：

獲取與待測軟件對應(yīng)的靜態(tài)信息，及與所述待測軟件對應(yīng)的信號中包含的互不相交的二進(jìn)制序列，并基于該二進(jìn)制序列及該靜態(tài)信息生成待測靜態(tài)簽名，所述待測軟件對應(yīng)的信號為對所述待測軟件進(jìn)行采集獲取的信號；

捕獲所述待測軟件的動(dòng)態(tài)軌跡，并生成對應(yīng)的待測動(dòng)態(tài)簽名；

判斷所述惡意軟件比對表中是否存在目標(biāo)惡意軟件，所述目標(biāo)惡意軟件的動(dòng)態(tài)簽名與所述待測動(dòng)態(tài)簽名匹配，靜態(tài)簽名與所述待測靜態(tài)簽名匹配，如果是，則確定所述待測軟件為與所述目標(biāo)惡意軟件對應(yīng)的惡意軟件。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，還包括：

如果所述惡意軟件比對表中不存在所述目標(biāo)惡意軟件，則將所述待測軟件發(fā)送至云端，由所述云端通過判斷其預(yù)先存儲(chǔ)的全文病毒簽名庫中是否存在所述目標(biāo)惡意軟件，確定所述待測軟件是否為惡意軟件。

4.一種惡意軟件處理裝置，其特征在于，包括：

降噪模塊，用于對惡意軟件進(jìn)行降噪處理；

靜態(tài)簽名生成模塊，用于獲取與所述惡意軟件對應(yīng)的靜態(tài)信息，及與所述惡意軟件對應(yīng)的信號中包含的互不相交的二進(jìn)制序列，并基于該二進(jìn)制序列及所述靜態(tài)信息生成靜態(tài)簽名；

動(dòng)態(tài)簽名生成模塊，用于捕獲所述惡意軟件的動(dòng)態(tài)軌跡，并生成對應(yīng)的動(dòng)態(tài)簽名；

保存模塊，用于將所述惡意軟件的動(dòng)態(tài)簽名及靜態(tài)簽名保存至預(yù)先設(shè)置的惡意軟件比對表中；

判斷模塊，用于基于所述惡意軟件比對表判斷待測軟件是否為惡意軟件；

降噪模塊包括：

降噪單元，用于舍棄所述惡意軟件中不包含有攻擊代碼的數(shù)據(jù)。

5.根據(jù)權(quán)利要求4所述的裝置，其特征在于，判斷模塊包括：

判斷單元，用于：獲取與待測軟件對應(yīng)的靜態(tài)信息，及與所述待測軟件對應(yīng)的信號中包含的互不相交的二進(jìn)制序列，并基于該二進(jìn)制序列及該靜態(tài)信息生成待測靜態(tài)簽名，所述待測軟件對應(yīng)的信號為對所述待測軟件進(jìn)行采集獲取的信號；捕獲所述待測軟件的動(dòng)態(tài)軌跡，并生成對應(yīng)的待測動(dòng)態(tài)簽名；判斷所述惡意軟件比對表中是否存在目標(biāo)惡意軟件，所述目標(biāo)惡意軟件的動(dòng)態(tài)簽名與所述待測動(dòng)態(tài)簽名匹配，靜態(tài)簽名與所述待測靜態(tài)簽名匹配，如果是，則確定所述待測軟件為與所述目標(biāo)惡意軟件對應(yīng)的惡意軟件。

6.根據(jù)權(quán)利要求5所述的裝置，其特征在于，還包括：

發(fā)送模塊，用于如果所述惡意軟件比對表中不存在所述目標(biāo)惡意軟件，則將所述待測軟件發(fā)送至云端，由所述云端通過判斷其預(yù)先存儲(chǔ)的全文病毒簽名庫中是否存在所述目標(biāo)惡意軟件，確定所述待測軟件是否為惡意軟件。