[發(fā)明專利]基于行為增量標識躲避的惡意對象

在審

• 申請?zhí)枺?/td>: 201810164929.6
• 申請日: 2015-03-27
• 公開（公告）號: CN108268771A
• 公開（公告）日: 2018-07-10
• 發(fā)明（設計）人: K·亞當斯;D·J·奎因蘭
• 申請（專利權(quán)）人: 瞻博網(wǎng)絡公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56;G06F11/36
• 代理公司: 北京市金杜律師事務所 11256
• 代理人: 王茂華;辛鳴

1.一種設備，包括

一個或者多個處理器，用以：

接收對象；

在測試環(huán)境中執(zhí)行所述對象；

執(zhí)行對所述對象的靜態(tài)分析，包括以下各項中的至少一項：

利用反病毒軟件掃描所述對象，

執(zhí)行對所述對象的字符串搜索，或者

對所述對象反匯編；

基于在所述測試環(huán)境中執(zhí)行所述對象以及執(zhí)行對所述對象的所述靜態(tài)分析，來確定與所述對象相關(guān)聯(lián)的測試行為信息，

所述測試行為信息標識與在所述測試環(huán)境中測試所述對象相關(guān)聯(lián)的第一行為；

確定與所述對象相關(guān)聯(lián)的實際行為信息，

所述實際行為信息標識當所述對象在用戶設備上被打開或者執(zhí)行時，由所述對象展現(xiàn)的第二行為；

基于所述實際行為信息不同于所述測試行為信息，來確定所述對象是惡意對象；以及

基于確定所述對象是所述惡意對象，來提供所述對象是所述惡意對象的指示。

2.根據(jù)權(quán)利要求1所述的設備，其中所述一個或者多個處理器當接收所述對象時，用以：

基于針對從所述用戶設備被發(fā)送的所述對象的請求，來接收所述對象。

3.根據(jù)權(quán)利要求1所述的設備，其中所述一個或者多個處理器還用以：

在運行虛擬機的操作系統(tǒng)內(nèi)實現(xiàn)所述測試環(huán)境。

4.根據(jù)權(quán)利要求1所述的設備，其中所述用戶設備是第一用戶設備；并且

其中所述一個或者多個處理器還用以：

存儲所述指示；以及

基于第二用戶設備接收所述對象，來取回所述指示。

5.根據(jù)權(quán)利要求1所述的設備，其中所述一個或者多個處理器還用以：

標識與執(zhí)行所述對象相關(guān)聯(lián)的惡意行為，

所述惡意行為包括以下各項中的至少一項：

文件的創(chuàng)建，

文件的編輯，

注冊表項的創(chuàng)建，

注冊表項的刪除，

自動化任務的調(diào)度，或者

網(wǎng)絡連接的建立。

6.根據(jù)權(quán)利要求1所述的設備，其中所述一個或者多個處理器還用以：

基于所述測試行為信息，來確定所述對象不是所述惡意對象；以及

基于確定所述對象不是所述惡意對象，來允許所述對象被提供給所述用戶設備。

7.根據(jù)權(quán)利要求1所述的設備，其中所述一個或者多個處理器還用以：

向所述用戶設備提供所述測試行為信息；以及

基于所述第二行為不同于所述第一行為，來從所述用戶設備接收所述實際行為信息。

8.一種存儲指令的非瞬態(tài)計算機可讀介質(zhì)，所述指令包括：

一個或者多個指令，所述一個或者多個指令當由一個或者多個處理器執(zhí)行時，使得所述一個或者多個處理器：

接收對象；

在測試環(huán)境中執(zhí)行所述對象；

執(zhí)行對所述對象的靜態(tài)分析，包括以下各項中的至少一項：

利用反病毒軟件掃描所述對象，

執(zhí)行對所述對象的字符串搜索，或者

對所述對象反匯編；

基于在所述測試環(huán)境中執(zhí)行所述對象以及執(zhí)行對所述對象的所述靜態(tài)分析，來生成與所述對象相關(guān)聯(lián)的測試行為信息，

所述測試行為信息標識與在所述測試環(huán)境中測試所述對象相關(guān)聯(lián)的第一行為；

接收與所述對象相關(guān)聯(lián)的實際行為信息，

所述實際行為信息標識當所述對象在用戶設備上被安裝、打開或者執(zhí)行時，由所述對象展現(xiàn)的第二行為；

基于所述實際行為信息不同于所述測試行為信息，來確定所述對象是惡意對象；以及

基于確定所述對象是所述惡意對象，來提供所述對象是所述惡意對象的指示。