[發明專利]一種惡意文件檢測方法及裝置

在審

• 申請號: 201711392571.4
• 申請日: 2017-12-21
• 公開（公告）號: CN108038375A
• 公開（公告）日: 2018-05-15
• 發明（設計）人: 唐杰;張順;張中良;朱巖;高雪挺;梁鑫;宋健;王佳
• 申請（專利權）人: 北京星河星云信息技術有限公司;北京星河世界集團有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京弘權知識產權代理事務所(普通合伙) 11363
• 代理人: 逯長明;許偉群

1.一種惡意文件檢測方法，其特征在于，包括：

將待檢測的文件存儲至待查文件庫中；

識別所述待查文件庫中各個文件的文件類型，并根據所述文件類型生成檢測任務列表，其中，所述檢測任務列表記錄有所述各個文件分別對應的運行環境；

從所述待查文件庫中依次選擇目標文件，通過所述檢測任務列表中記錄的所述目標文件的運行環境，確定所述目標文件對應的文件檢測器，其中，所述文件檢測器設置在容器中；

調用所述目標文件對應的文件檢測器對所述目標文件進行檢測。

2.根據權利要求1所述的惡意文件檢測方法，其特征在于，在所述識別所述待查文件庫中各個文件的文件類型之前，還包括：

獲取所述待查文件庫中各個文件的哈希值；

將所述各個文件的哈希值分別與已知檢測結果的各個文件的哈希值進行匹配；

若所述待查文件庫中的第一文件的哈希值與已知檢測結果的第二文件的哈希值相同，確定所述第一文件的檢測結果與所述第二文件的檢測結果相同，并將所述第一文件從所述待查文件庫中刪除。

3.根據權利要求1所述的惡意文件檢測方法，其特征在于，在所述識別所述待查文件庫中各個文件的文件類型之前，還包括：

檢測所述待查文件庫中各個文件是否包含惡意文件的特征碼；

若所述待查文件庫中的第三文件包含所述惡意文件的特征碼，確定所述第三文件為惡意文件，并將所述第三文件從所述待查文件庫中刪除。

4.根據權利要求1所述的惡意文件檢測方法，其特征在于，所述惡意文件檢測方法還包括：

若通過檢測，確定所述目標文件并非惡意文件，記錄所述目標文件的檢測結果；

若通過檢測，確定所述目標文件為惡意文件，記錄所述目標文件的檢測結果，并銷毀檢測所述目標文件的文件檢測器。

5.根據權利要求1所述的惡意文件檢測方法，其特征在于，所述調用所述目標文件對應的文件檢測器對所述目標文件進行檢測，包括：

根據所述目標文件的類型，確定所述目標文件是否為高危文件；

若所述目標文件并非高危文件，調用所述文件檢測器通過第一檢測方法對所述目標文件進行檢測，并根據所述第一檢測方法的檢測結果確定所述目標文件是否為惡意文件；

若所述目標文件為高危文件，調用所述文件檢測器通過第一檢測方法和第二檢測方法對所述目標文件進行檢測，其中，若任意一種檢測方法檢測到所述目標文件為惡意文件，則確定所述目標文件為惡意文件。

6.一種惡意文件檢測裝置，其特征在于，包括：

文件存儲模塊，用于將待檢測的文件存儲至待查文件庫中；

類型識別模塊，用于識別所述待查文件庫中各個文件的文件類型，并根據所述文件類型生成檢測任務列表，其中，所述檢測任務列表記錄有所述各個文件分別對應的運行環境；

檢測器確定模塊，用于從所述待查文件庫中依次選擇目標文件，通過所述檢測任務列表中記錄的所述目標文件的運行環境，確定所述目標文件對應的文件檢測器，其中，所述文件檢測器設置在容器中；

文件檢測模塊，用于調用所述目標文件對應的文件檢測器對所述目標文件進行檢測。

7.根據權利要求6所述的惡意文件檢測裝置，其特征在于，還包括：

哈希值獲取模塊，用于在所述識別所述待查文件庫中各個文件的文件類型之前，獲取所述待查文件庫中各個文件的哈希值；

哈希值匹配模塊，用于將所述各個文件的哈希值分別與已知檢測結果的各個文件的哈希值進行匹配；

第一刪除模塊，用于若所述待查文件庫中的第一文件的哈希值與已知檢測結果的第二文件的哈希值相同，確定所述第一文件的檢測結果與所述第二文件的檢測結果相同，并將所述第一文件從所述待查文件庫中刪除。