[發(fā)明專利]一種檢測惡意軟件的方法及裝置

有效

• 申請?zhí)枺?/td>: 201710241552.5
• 申請日: 2017-04-13
• 公開（公告）號(hào): CN107045608B
• 公開（公告）日: 2020-05-01
• 發(fā)明（設(shè)計(jì)）人: 徐業(yè)禮;童寧;吳湘寧
• 申請（專利權(quán)）人: 成都亞信網(wǎng)絡(luò)安全產(chǎn)業(yè)技術(shù)研究院有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京中博世達(dá)專利商標(biāo)代理有限公司 11274
• 代理人: 申健

1.一種檢測惡意軟件的方法，其特征在于，所述方法包括：

計(jì)算目標(biāo)目錄下每個(gè)被目標(biāo)軟件操作后的誘餌文件的特征值，所述誘餌文件為用于檢測惡意軟件的文件；所述惡意軟件為勒索軟件；

將每個(gè)被所述目標(biāo)軟件操作后的誘餌文件的特征值組成目標(biāo)特征值序列；所述目標(biāo)特征值序列反映被所述目標(biāo)軟件操作后的誘餌文件內(nèi)容之間的相互關(guān)聯(lián)；

將所述目標(biāo)特征值序列與原始特征值序列進(jìn)行比較，所述原始特征值序列為所述目標(biāo)軟件對所述誘餌文件進(jìn)行操作之前，每個(gè)所述誘餌文件的特征值所組成的特征值序列；所述原始特征值序列反映原始誘餌文件內(nèi)容之間的相互關(guān)聯(lián)；

若確定所述目標(biāo)特征值序列與所述原始特征值序列能夠匹配，則確定所述目標(biāo)軟件為惡意軟件。

2.根據(jù)權(quán)利要求1所述的檢測惡意軟件的方法，其特征在于，在所述計(jì)算目標(biāo)目錄下每個(gè)被目標(biāo)軟件操作后的誘餌文件的特征值之前，所述方法還包括：

檢測所述目標(biāo)軟件的查詢目錄操作，所述查詢目錄操作為用于查詢目錄下文件標(biāo)識(shí)的操作；

若確定被查詢目錄為所述目標(biāo)目錄，則對所述目標(biāo)軟件進(jìn)行鑒權(quán)；

若確定所述目標(biāo)軟件為不受信任的軟件，則按照預(yù)設(shè)順序向所述目標(biāo)軟件發(fā)送所述目標(biāo)目錄下每個(gè)誘餌文件的標(biāo)識(shí)。

3.根據(jù)權(quán)利要求2所述的檢測惡意軟件的方法，其特征在于，所述計(jì)算目標(biāo)目錄下每個(gè)被目標(biāo)軟件操作后的誘餌文件的特征值包括：

每發(fā)送一次誘餌文件的標(biāo)識(shí)，檢測所述目標(biāo)軟件本次對誘餌文件的操作；

每檢測到一次所述目標(biāo)軟件對誘餌文件的操作，計(jì)算本次被操作后的誘餌文件的特征值，直至計(jì)算出所述目標(biāo)目錄下每個(gè)誘餌文件的特征值。

4.根據(jù)權(quán)利要求2所述的檢測惡意軟件的方法，其特征在于，在所述對所述目標(biāo)軟件進(jìn)行鑒權(quán)之后，所述方法還包括：

若確定所述目標(biāo)軟件為可信軟件，則依次向所述目標(biāo)軟件發(fā)送所述目標(biāo)目錄下的用戶文件的標(biāo)識(shí)。

5.根據(jù)權(quán)利要求1至4任一所述的檢測惡意軟件的方法，其特征在于，所述若確定所述目標(biāo)特征值序列與所述原始特征值序列能夠匹配，則確定所述目標(biāo)軟件為惡意軟件包括：

將所述目標(biāo)目錄下的誘餌文件的目標(biāo)附屬特征與原始附屬特征進(jìn)行比較，所述目標(biāo)附屬特征包括每個(gè)被操作的誘餌文件所在的目錄、每個(gè)被操作的誘餌文件的時(shí)間戳值，所述原始附屬特征包括每個(gè)未被操作的誘餌文件所在的目錄、每個(gè)未被操作的誘餌文件的時(shí)間戳值；

若確定每個(gè)誘餌文件被操作前后所在的目錄能夠匹配，且每個(gè)誘餌文件被操作之后的時(shí)間戳值大于被操作前的時(shí)間戳值，則確定所述目標(biāo)軟件為惡意軟件。

6.一種檢測惡意軟件的裝置，其特征在于，所述裝置包括：

計(jì)算單元，用于計(jì)算目標(biāo)目錄下每個(gè)被目標(biāo)軟件操作后的誘餌文件的特征值，所述誘餌文件為用于檢測惡意軟件的文件；

組成單元，用于將每個(gè)所述計(jì)算單元計(jì)算的被所述目標(biāo)軟件操作后的誘餌文件的特征值組成目標(biāo)特征值序列；所述目標(biāo)特征值序列反映被所述目標(biāo)軟件操作后的誘餌文件內(nèi)容之間的相互關(guān)聯(lián)；

比較單元，用于將所述目標(biāo)特征值序列與原始特征值序列進(jìn)行比較，所述原始特征值序列為所述目標(biāo)軟件對所述誘餌文件進(jìn)行操作之前，每個(gè)所述誘餌文件的特征值所組成的特征值序列；所述原始特征值序列反映被原始誘餌文件內(nèi)容之間的相互關(guān)聯(lián)；

確定單元，用于若確定所述目標(biāo)特征值序列與所述原始特征值序列能夠匹配，則確定所述目標(biāo)軟件為惡意軟件。

7.根據(jù)權(quán)利要求6所述的檢測惡意軟件的裝置，其特征在于，所述裝置還包括：檢測單元、鑒權(quán)單元以及發(fā)送單元；

所述檢測單元，用于檢測所述目標(biāo)軟件的查詢目錄操作，所述查詢目錄操作為用于查詢目錄下文件標(biāo)識(shí)的操作；

所述鑒權(quán)單元，用于若確定所述檢測單元檢測的被查詢目錄為所述目標(biāo)目錄，則對所述目標(biāo)軟件進(jìn)行鑒權(quán)；

所述發(fā)送單元，用于若確定所述目標(biāo)軟件為不受信任的軟件，則按照預(yù)設(shè)順序向所述目標(biāo)軟件發(fā)送所述目標(biāo)目錄下每個(gè)誘餌文件的標(biāo)識(shí)。