[發(fā)明專利]一種目標(biāo)樣本文件的檢測(cè)方法和裝置

在審

• 申請(qǐng)?zhí)枺?/td>: 201611065436.4
• 申請(qǐng)日: 2016-11-28
• 公開（公告）號(hào): CN106650423A
• 公開（公告）日: 2017-05-10
• 發(fā)明（設(shè)計(jì)）人: 邱鵬
• 申請(qǐng)（專利權(quán)）人: 北京奇虎科技有限公司;奇智軟件（北京）有限公司
• 主分類號(hào): G06F21/53
• 分類號(hào): G06F21/53
• 代理公司: 北京市隆安律師事務(wù)所11323
• 代理人: 權(quán)鮮枝,何立春

1.一種目標(biāo)樣本文件的檢測(cè)方法，其中，包括：

從數(shù)據(jù)源接收目標(biāo)樣本文件，將所述目標(biāo)樣本文件投放到沙箱中運(yùn)行；

監(jiān)聽所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中是否發(fā)生進(jìn)程屬性修改事件；

是則，確定所述目標(biāo)樣本文件是威脅樣本文件；

否則，確定所述目標(biāo)樣本文件不是威脅樣本文件。

2.如權(quán)利要求1所述的方法，其中，所述將所述目標(biāo)樣本文件投放到沙箱中運(yùn)行包括：

在沙箱中創(chuàng)建所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程，通過該進(jìn)程執(zhí)行所述目標(biāo)樣本文件在沙箱中的運(yùn)行；

在創(chuàng)建所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程時(shí)，記錄所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的初始屬性值。

3.如權(quán)利要求2所述的方法，其中，所述監(jiān)聽所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中是否發(fā)生進(jìn)程屬性修改事件包括：

監(jiān)聽所述目標(biāo)樣本文件在沙箱中執(zhí)行的指定操作事件；

當(dāng)監(jiān)聽到指定操作事件發(fā)生時(shí)，攔截所述指定操作事件，獲取當(dāng)前所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的指定屬性值；

將當(dāng)前所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的指定屬性值與所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的初始屬性值進(jìn)行匹配，如果至少一項(xiàng)匹配不成功，確定所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中發(fā)生進(jìn)程屬性修改事件；否則，確定所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中未發(fā)生進(jìn)程屬性修改事件。

4.如權(quán)利要求3所述的方法，其中，所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的初始屬性值包括如下一種或多種：Privileges屬性值、UserSID屬性值、OwnerSID屬性值；

所述當(dāng)前所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的指定屬性值包括如下一種或多種：所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的令牌中的Privileges屬性值、TokenUser屬性值、TokenOwner屬性值。

5.如權(quán)利要求1所述的方法，其中，所述監(jiān)聽所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中是否發(fā)生進(jìn)程屬性修改事件包括：

監(jiān)聽所述目標(biāo)樣本文件在沙箱中執(zhí)行的指定操作事件；

當(dāng)監(jiān)聽到指定操作事件發(fā)生時(shí)，攔截所述指定操作事件；

判斷當(dāng)前所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的令牌的訪問控制列表是否處于置空狀態(tài)，是則，確定所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中發(fā)生進(jìn)程屬性修改事件；否則，確定所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中未發(fā)生進(jìn)程屬性修改事件。

6.一種目標(biāo)樣本文件的檢測(cè)裝置，其中，包括：

樣本接收單元，適于從數(shù)據(jù)源接收目標(biāo)樣本文件；

檢測(cè)處理單元，適于將所述目標(biāo)樣本文件投放到沙箱中運(yùn)行，監(jiān)聽所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中是否發(fā)生進(jìn)程屬性修改事件；是則，確定所述目標(biāo)樣本文件是威脅樣本文件；否則，確定所述目標(biāo)樣本文件不是威脅樣本文件。

7.如權(quán)利要求6所述的裝置，其中，

所述檢測(cè)處理單元，適于在沙箱中創(chuàng)建所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程，通過該進(jìn)程執(zhí)行所述目標(biāo)樣本文件在沙箱中的運(yùn)行；在創(chuàng)建所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程時(shí)，記錄所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的初始屬性值。

8.如權(quán)利要求7所述的裝置，其中，

所述檢測(cè)處理單元，適于監(jiān)聽所述目標(biāo)樣本文件在沙箱中執(zhí)行的指定操作事件；當(dāng)監(jiān)聽到指定操作事件發(fā)生時(shí)，攔截所述指定操作事件，獲取當(dāng)前所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的指定屬性值；將當(dāng)前所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的指定屬性值與所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的初始屬性值進(jìn)行匹配，如果至少一項(xiàng)匹配不成功，確定所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中發(fā)生進(jìn)程屬性修改事件；否則，確定所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中未發(fā)生進(jìn)程屬性修改事件。

9.如權(quán)利要求8所述的裝置，其中，所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的初始屬性值包括如下一種或多種：Privileges屬性值、UserSID屬性值、OwnerSID屬性值；

所述當(dāng)前所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的指定屬性值包括如下一種或多種：所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的令牌中的Privileges屬性值、TokenUser屬性值、TokenOwner屬性值。

10.如權(quán)利要求6所述的裝置，其中，

所述檢測(cè)處理單元，適于監(jiān)聽所述目標(biāo)樣本文件在沙箱中執(zhí)行的指定操作事件；當(dāng)監(jiān)聽到指定操作事件發(fā)生時(shí)，攔截所述指定操作事件；判斷當(dāng)前所述目標(biāo)樣本文件對(duì)應(yīng)的進(jìn)程的令牌的訪問控制列表是否處于置空狀態(tài)，是則，確定所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中發(fā)生進(jìn)程屬性修改事件；否則，確定所述目標(biāo)樣本文件在沙箱中運(yùn)行的過程中未發(fā)生進(jìn)程屬性修改事件。