[發(fā)明專利]一種勒索病毒識別方法、裝置、電子設(shè)備及存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 201811438897.0
• 申請日: 2018-11-28
• 公開（公告）號: CN110866248B
• 公開（公告）日: 2022-06-10
• 發(fā)明（設(shè)計）人: 孫洪偉;徐翰隆;王小豐;肖新光
• 申請（專利權(quán)）人: 北京安天網(wǎng)絡(luò)安全技術(shù)有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京市廣友專利事務(wù)所有限責(zé)任公司 11237
• 代理人: 祁獻(xiàn)民

1.一種勒索病毒識別方法，其特征在于，包括：

判斷掛載到系統(tǒng)進(jìn)程的子模塊是否為可疑子模塊；

若掛載到系統(tǒng)進(jìn)程的子模塊為可疑子模塊，則記錄所述可疑子模塊的掛載信息；其中，所述掛載信息包括可疑子模塊掛載到系統(tǒng)進(jìn)程的時間點；

監(jiān)測當(dāng)前磁盤中的文件是否被修改；

若監(jiān)測到當(dāng)前磁盤中的文件被修改，則判斷在與被修改文件的同級目錄中是否存在新創(chuàng)建的可疑文件；

若在與被修改文件的同級目錄中存在新創(chuàng)建的可疑文件，則監(jiān)測當(dāng)前磁盤中的文件是否再次被修改；

若監(jiān)測到當(dāng)前磁盤中的文件再次被修改，則根據(jù)所述掛載信息，將掛載時間點距離當(dāng)前時間點最近的可疑子模塊，確定為勒索病毒。

2.根據(jù)權(quán)利要求1所述的勒索病毒識別方法，其特征在于，所述判斷掛載到系統(tǒng)進(jìn)程的子模塊是否為可疑子模塊，包括：

根據(jù)預(yù)設(shè)的檢查規(guī)則，判斷已掛載到系統(tǒng)進(jìn)程的子模塊是否為可疑子模塊。

3.根據(jù)權(quán)利要求1所述的勒索病毒識別方法，其特征在于，所述判斷掛載到系統(tǒng)進(jìn)程的子模塊是否為可疑子模塊，包括：

監(jiān)測是否有新的子模塊掛載到系統(tǒng)進(jìn)程；

若監(jiān)測到有新的子模塊掛載到系統(tǒng)進(jìn)程，則根據(jù)預(yù)設(shè)的檢查規(guī)則，判斷新掛載到系統(tǒng)進(jìn)程的子模塊是否為可疑子模塊。

4.根據(jù)權(quán)利要求1所述的勒索病毒識別方法，其特征在于，在確定掛載到系統(tǒng)進(jìn)程的子模塊為可疑子模塊之后，所述方法還包括：

將可疑子模塊加入到危險模塊監(jiān)控列表中。

5.根據(jù)權(quán)利要求1所述的勒索病毒識別方法，其特征在于，所述若在與被修改文件的同級目錄中存在新創(chuàng)建的可疑文件，則監(jiān)測當(dāng)前磁盤中的文件是否再次被修改，包括：

若在與被修改文件的同級目錄中存在新創(chuàng)建的可疑文件，則加載深度分析模塊，通過所述深度分析模塊，監(jiān)測當(dāng)前磁盤中的文件是否再次被修改。

6.一種勒索病毒識別裝置，其特征在于，包括：

第一判斷模塊，用于判斷掛載到系統(tǒng)進(jìn)程的子模塊是否為可疑子模塊；

記錄模塊，用于若掛載到系統(tǒng)進(jìn)程的子模塊為可疑子模塊，則記錄所述可疑子模塊的掛載信息；其中，所述掛載信息包括可疑子模塊掛載到系統(tǒng)進(jìn)程的時間點；

第一監(jiān)測模塊，用于監(jiān)測當(dāng)前磁盤中的文件是否被修改；

第二判斷模塊，用于若監(jiān)測到當(dāng)前磁盤中的文件被修改，則判斷在與被修改文件的同級目錄中是否存在新創(chuàng)建的可疑文件；

第二監(jiān)測模塊，用于若在與被修改文件的同級目錄中存在新創(chuàng)建的可疑文件，則監(jiān)測當(dāng)前磁盤中的文件是否再次被修改；

第三判斷模塊，用于若監(jiān)測到當(dāng)前磁盤中的文件再次被修改，則根據(jù)所述掛載信息，將掛載時間點距離當(dāng)前時間點最近的可疑子模塊，確定為勒索病毒。

7.根據(jù)權(quán)利要求6所述的勒索病毒識別裝置，其特征在于，所述第一判斷模塊，具體用于根據(jù)預(yù)設(shè)的檢查規(guī)則，判斷已掛載到系統(tǒng)進(jìn)程的子模塊是否為可疑子模塊。

8.根據(jù)權(quán)利要求6所述的勒索病毒識別裝置，其特征在于，所述第一判斷模塊，包括：

掛載監(jiān)測子模塊，用于監(jiān)測是否有新的子模塊掛載到系統(tǒng)進(jìn)程；

可疑判斷子模塊，用于若監(jiān)測到有新的子模塊掛載到系統(tǒng)進(jìn)程，則根據(jù)預(yù)設(shè)的檢查規(guī)則，判斷新掛載到系統(tǒng)進(jìn)程的子模塊是否為可疑子模塊。

9.根據(jù)權(quán)利要求6所述的勒索病毒識別裝置，其特征在于，還包括：危險模塊監(jiān)控列表模塊，用于將可疑子模塊加入到危險模塊監(jiān)控列表中。

10.根據(jù)權(quán)利要求6所述的勒索病毒識別裝置，其特征在于，所述第二監(jiān)測模塊，具體用于：若在與被修改文件的同級目錄中存在新創(chuàng)建的可疑文件，則加載深度分析模塊，以通過所述深度分析模塊，監(jiān)測當(dāng)前磁盤中的文件是否再次被修改。