[發明專利]利用基于散列的指紋檢測惡意軟件

有效

• 申請號: 201780072429.3
• 申請日: 2017-10-02
• 公開（公告）號: CN109997139B
• 公開（公告）日: 2023-05-09
• 發明（設計）人: L.莫科夫斯基
• 申請（專利權）人: 愛維士軟件有限責任公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市柳沈律師事務所 11105
• 代理人: 張曉明

1.一種針對可執行程序(104)使用基于散列的指紋檢測惡意軟件的計算機實施的方法，所述計算機實施的方法包括以下步驟：

在計算機系統上執行程序(104)；

監視所述程序(104)的事件流(120)，所述事件流(120)包括多個事件(202,202A，202B，202C)；

計算第一指紋(110)，所述第一指紋(110)包括表示所述事件流(120)中多個事件的概要的第一多個散列值；

響應于觸發事件的發生，將所述第一指紋(110)與從已知為包含惡意軟件的程序生成的一個或多個第二指紋進行比較，其中當所述第一指紋(110)的至少一個散列值具有觸發值或觸發模式時，所述觸發事件發生，并且其中所述觸發值或所述觸發模式能夠由所述至少一個散列值的最低四位都為零來呈現；以及

至少部分基于所述比較來確定由所述第一指紋(110)表示的行為是否是允許的行為。

2.根據權利要求1所述的計算機實施的方法，還包括以下步驟：

響應于新事件(202)被添加到所述事件流(120)中，重新計算所述第一指紋的新值，所述第一指紋(110)的新值至少部分地基于所述第一指紋(110)的當前值和與所述新事件(202)相關聯的多個散列值來重新計算，其中所述第一指紋(110)包括固定長度的指紋，其中所述固定長度與所述事件流(120)中的事件數量無關。

3.根據權利要求1所述的計算機實施的方法，其中，所述多個散列值根據最小散列散列算法確定。

4.根據權利要求1所述的計算機實施的方法，其中，所述多個事件(202,202A，202B，202C)包括API(應用程序接口)調用。

5.根據權利要求1所述的計算機實施的方法，其中，所述計算所述第一指紋(110)的步驟包括：將所述事件流(120)中的事件分組為多個重疊組，并且其中至少部分基于一組事件來計算所述第一指紋(110)。

6.一種其上存儲有程序的非暫時性計算機可讀存儲介質，所述程序使得計算機執行如權利要求1到5的任一項所述的方法的步驟。

7.一種使用基于散列的指紋檢測惡意軟件的系統(100)，所述系統包括：

計算設備(102)，用于執行可執行程序(104)；

監視模塊(106)，被配置為監視所述程序(104)的事件流(120)，所述事件流(120)包括多個事件(202,202A，202B，202C)；

聚合模塊(108)，被配置為接收和處理所述多個事件(202,202A，202B，202C)以生成所述事件流(120)的第一指紋(110)，生成的所述第一指紋(110)包括表示所述多個事件(202,202A，202B，202C)的概要的第一多個散列值，其中響應于觸發事件，所述聚合模塊(108)將所述第一指紋(110)提供給行為分析模塊(112)；以及

行為分析模塊(112)，被配置為接收所述事件流(120)的第一指紋(110)，將所述事件流(120)的第一指紋(110)與從已知為包含惡意軟件的程序生成的一個或多個第二指紋進行比較，其中當所述第一指紋(110)的至少一個散列值具有觸發值或觸發模式時，所述觸發事件發生，并且其中所述觸發值或所述觸發模式能夠由所述至少一個散列值的最低四位都為零來呈現以及基于所述比較來確定由所述第一指紋(110)表示的行為是否是允許的行為。

8.根據權利要求7所述的系統(100)，其中，響應于新事件(220)被添加到所述事件流(120)中，所述聚合模塊(108)重新生成所述第一指紋(110)的新值，所述第一指紋(110)的新值至少部分基于所述第一指紋(110)的當前值和與所述新事件(220)相關聯的多個散列值來重新生成，其中所述第一指紋(110)包括固定長度的指紋，其中所述固定長度與所述事件流(120)中的事件數量無關。

9.根據權利要求7所述的系統(100)，其中，所述多個散列值根據最小散列散列算法確定。