[實用新型]惡意程序發布檢測系統

有效

• 申請號: 201820514884.6
• 申請日: 2018-04-11
• 公開（公告）號: CN208548922U
• 公開（公告）日: 2019-02-26
• 發明（設計）人: 胡浩;何小梅;劉青;王明華;葉青青;岑黎光;董冬偉;李冀
• 申請（專利權）人: 北京立思辰新技術有限公司;杭州谷逸網絡科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京國帆知識產權代理事務所(普通合伙) 11334
• 代理人: 李增朝

本實用新型實施例公開了一種惡意程序發布檢測系統，所述系統包括惡意程序發布檢測裝置，所述裝置包括：數據采集模塊，采集用于發起文件下載的HTTP請求消息；特征匹配模塊，將所述摘要信息與惡意和安全網站識別庫中的識別信息進行匹配；分類處理模塊，確定所述摘要信息為對于可疑惡意網站的摘要信息或對于可信網站的摘要信息；發布信息確定模塊，將多個所述可疑惡意資源的下載連接信息進行關聯處理，確定可疑惡意資源的網絡發布信息。本實用新型的裝置，能夠解決更好地描述惡意程序發布網絡的活動的問題，關注惡意程序分發網絡的機理和網絡基礎架構的屬性，能夠檢測到以前沒有出現過的惡意網絡活動，進而增加惡意程序的檢出率，提高網絡安全。

技術領域

本實用新型涉及網絡安全技術領域，尤其涉及一種惡意程序發布檢測系統。

背景技術

目前，一般的惡意程序下載攻擊過程可以分為三個階段，在第一階段，即漏洞利用階段，攻擊者的目標是在受害者的主機上運行一小段代碼，為此，攻擊者首先準備一個帶有下載漏洞利用驅動代碼的網站。當受害者訪問惡意頁面時，瀏覽器將獲取并執行驅動代碼。當攻擊成功時，它強制瀏覽器執行注入的殼代碼(shellcode)。在隨后的第二階段，即安裝階段，殼代碼(shellcode)下載實際的惡意軟件二進制文件并啟動它。一旦惡意軟件程序運行，在第三階段，即控制階段，它展現其惡意活動，通常，惡意軟件連接回遠程命令和控制(C&C)服務器。攻擊者使用此連接發出命令，將新的可執行文件“丟棄”到受感染的主機上，以增強惡意軟件的功能，并收到被盜的數據。

目前，大多數保護用戶免受惡意軟件攻擊的技術集中在第一和第三階段。大量工作針對初始漏洞利用階段，嘗試檢測包含驅動器下載漏洞的頁面，并防止瀏覽器首先訪問惡意頁面。例如，蜜罐客戶端(honeyclient)抓取網頁以快速查找具有漏洞利用代碼的頁面，并將這些發現轉化為域和URL黑名單。攻擊者通過惡意域名快速改變，使黑名單永久失效。此外，攻擊者已經開始大力識別蜜罐客戶端(honeyclient)的指紋(由操作系統、設備類型和主機名等識別客戶端的特征)，并混淆其代碼以規避檢測。由于在安裝階段，殼代碼(shellcode)通常會發出從遠程服務器獲取程序的HTTP請求，然后在本地安裝并執行惡意軟件，這可以通過簡單地調用用戶瀏覽器中的可用功能來完成此請求。從網絡的角度來看，這種連接幾乎不可疑，和不同的下載良性程序的合法請求基本一致。因此，需要一種新的惡意程序發布檢測技術。

發明內容

有鑒于此，本實用新型要解決的一個技術問題是提供一種惡意程序發布檢測方法、裝置以及介質。

根據本實用新型的一個方面，提供一種惡意程序發布檢測裝置系統，所述系統包括惡意程序發布檢測裝置，所述裝置包括：數據采集模塊，采集用于發起文件下載的HTTP請求消息，從所述HTTP請求消息中提取摘要信息；特征匹配模塊，將所述摘要信息與惡意和安全網站識別庫中的識別信息進行匹配；分類處理模塊，如果匹配不成功，則使用決策分類器對所述摘要信息進行分類處理，確定所述摘要信息為對于可疑惡意網站的摘要信息或對于可信網站的摘要信息；發布信息確定模塊，如果確定所述摘要信息為對于可疑惡意網站的摘要信息，則基于與此摘要信息對應的HTTP請求消息生成對于此可疑惡意網站的可疑惡意資源的下載連接信息；將多個所述可疑惡意資源的下載連接信息進行關聯處理，確定可疑惡意資源的網絡發布信息。

可選地，所述特征匹配模塊，如果所述摘要信息與所述惡意和安全網站識別庫中的特征信息匹配成功，則確定所述摘要信息為對于惡意網站或對于可信網站的摘要信息，并將此摘要信息按照預設比例作為訓練樣本和測試樣本對所述決策分類器進行訓練。

可選地，所述特征匹配模塊，從摘要信息中提取識別信息，將所述識別信息分別與所述安全網站識別庫中預設的惡意網站識別信息和可信網站識別信息進行匹配；如果所述識別信息與所述惡意網站識別信息或所述可信網站識別信息匹配成功，則確定所述摘要信息為對于惡意網站或對于可信網站的摘要信息；其中，所述識別信息包括：域名、URL、IP地址。