[發(fā)明專利]一種惡意樣本檢測方法及裝置

在審

• 申請?zhí)枺?/td>: 201710538567.8
• 申請日: 2017-07-04
• 公開（公告）號: CN107346390A
• 公開（公告）日: 2017-11-14
• 發(fā)明（設(shè)計）人: 梁玉;李凱;古亮
• 申請（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 深圳市深佳知識產(chǎn)權(quán)代理事務(wù)所(普通合伙)44285
• 代理人: 王仲凱

1.一種惡意樣本檢測方法，其特征在于，包括：

接收對目標(biāo)樣本的檢測請求；

根據(jù)所述目標(biāo)樣本的類型，確定目標(biāo)應(yīng)用程序；

基于所述目標(biāo)應(yīng)用程序的多個版本和多個操作系統(tǒng)，構(gòu)建多個運行環(huán)境；

根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定所述目標(biāo)樣本是否為惡意樣本。

2.根據(jù)權(quán)利要求1所述的惡意樣本檢測方法，其特征在于，所述根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定所述目標(biāo)樣本是否為惡意樣本，包括：

根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定所述目標(biāo)樣本是否存在行為差異；

如果是，則確定所述目標(biāo)樣本為惡意樣本。

3.根據(jù)權(quán)利要求2所述的惡意樣本檢測方法，其特征在于，所述根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定所述目標(biāo)樣本是否存在行為差異，包括：

根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定各運行行為包含的敏感信息，所述敏感信息包括設(shè)定的敏感操作、各個敏感操作出現(xiàn)的時序及各個敏感操作對應(yīng)的操作對象；

根據(jù)各運行行為包含的敏感信息，確定所述目標(biāo)樣本是否存在行為差異。

4.根據(jù)權(quán)利要求3所述的惡意樣本檢測方法，其特征在于，所述敏感操作包括文件創(chuàng)建、內(nèi)存屬性修改、內(nèi)存映射、內(nèi)存節(jié)創(chuàng)建、進(jìn)程創(chuàng)建、網(wǎng)絡(luò)訪問中的至少一種。

5.根據(jù)權(quán)利要求1所述的惡意樣本檢測方法，其特征在于，所述根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定所述目標(biāo)樣本是否為惡意樣本，包括：

根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定各運行行為中是否包含設(shè)定的高危操作；

如果所述目標(biāo)樣本在至少一個運行環(huán)境中的運行行為包含所述高危操作，則確定所述目標(biāo)樣本為惡意樣本。

6.一種惡意樣本檢測裝置，其特征在于，包括：

檢測請求接收模塊，用于接收對目標(biāo)樣本的檢測請求；

應(yīng)用程序確定模塊，用于根據(jù)所述目標(biāo)樣本的類型，確定目標(biāo)應(yīng)用程序；

運行環(huán)境構(gòu)建模塊，用于基于所述目標(biāo)應(yīng)用程序的多個版本和多個操作系統(tǒng)，構(gòu)建多個運行環(huán)境；

惡意樣本確定模塊，用于根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定所述目標(biāo)樣本是否為惡意樣本。

7.根據(jù)權(quán)利要求6所述的惡意樣本檢測裝置，其特征在于，所述惡意樣本確定模塊，包括：

行為差異確定子模塊，用于根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定所述目標(biāo)樣本是否存在行為差異，如果是，則觸發(fā)惡意樣本確定子模塊；

所述惡意樣本確定子模塊，用于確定所述目標(biāo)樣本為惡意樣本。

8.根據(jù)權(quán)利要求7所述的惡意樣本檢測裝置，其特征在于，所述行為差異確定子模塊，具體用于：

根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定各運行行為包含的敏感信息，所述敏感信息包括設(shè)定的敏感操作、各個敏感操作出現(xiàn)的時序及各個敏感操作對應(yīng)的操作對象；

根據(jù)各運行行為包含的敏感信息，確定所述目標(biāo)樣本是否存在行為差異。

9.根據(jù)權(quán)利要求8所述的惡意樣本檢測裝置，其特征在于，所述敏感操作包括文件創(chuàng)建、內(nèi)存屬性修改、內(nèi)存映射、內(nèi)存節(jié)創(chuàng)建、進(jìn)程創(chuàng)建、網(wǎng)絡(luò)訪問中的至少一種。

10.根據(jù)權(quán)利要求6所述的惡意樣本檢測裝置，其特征在于，所述惡意樣本確定模塊，具體用于：

根據(jù)所述目標(biāo)樣本在各個運行環(huán)境中的運行行為，確定各運行行為中是否包含設(shè)定的高危操作；

如果所述目標(biāo)樣本在至少一個運行環(huán)境中的運行行為包含所述高危操作，則確定所述目標(biāo)樣本為惡意樣本。