[發(fā)明專利]一種惡意文件的修復(fù)方法、裝置、電子設(shè)備及存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 201911422504.1
• 申請(qǐng)日: 2019-12-31
• 公開（公告）號(hào): CN113127865A
• 公開（公告）日: 2021-07-16
• 發(fā)明（設(shè)計(jì)）人: 位凱志;官恩洋
• 申請(qǐng)（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 深圳市深佳知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 王兆林

1.一種惡意文件的修復(fù)方法，其特征在于，包括：

提取惡意文件的文件特征；其中，所述文件特征包括文件屬性和家族公共特征串，所述文件屬性包括文件大小、節(jié)數(shù)量和節(jié)權(quán)限中任一項(xiàng)或任幾項(xiàng)的組合，所述家族公共特征串包括文件偏移地址、入口點(diǎn)偏移地址和節(jié)偏移地址中任一項(xiàng)或任幾項(xiàng)的組合；

根據(jù)所述文件特征確定所述惡意文件對(duì)應(yīng)的目標(biāo)感染型病毒家族；

對(duì)所述惡意文件執(zhí)行所述目標(biāo)感染型病毒家族對(duì)應(yīng)的文件修復(fù)操作。

2.根據(jù)權(quán)利要求1所述修復(fù)方法，其特征在于，根據(jù)所述文件特征確定所述惡意文件對(duì)應(yīng)的目標(biāo)感染型病毒家族包括：

基于多模字符串匹配算法將所述文件特征與目標(biāo)特征庫(kù)進(jìn)行匹配；其中，所述目標(biāo)特征庫(kù)中包括所述感染型病毒家族對(duì)應(yīng)的預(yù)設(shè)文件屬性和預(yù)設(shè)家族公共特征串；

根據(jù)匹配結(jié)果確定所述惡意文件對(duì)應(yīng)的目標(biāo)感染型病毒家族。

3.根據(jù)權(quán)利要求2所述修復(fù)方法，其特征在于，根據(jù)匹配結(jié)果確定所述惡意文件對(duì)應(yīng)的目標(biāo)感染型病毒家族包括：

根據(jù)所述匹配結(jié)果將與所述惡意文件具有相同文件屬性和家族公共特征串的感染型病毒家族設(shè)置為所述目標(biāo)感染型病毒家族。

4.根據(jù)權(quán)利要求2所述修復(fù)方法，其特征在于，根據(jù)匹配結(jié)果確定所述惡意文件對(duì)應(yīng)的目標(biāo)感染型病毒家族包括：

根據(jù)所述匹配結(jié)果判斷所述文件特征是否符合第一感染型病毒家族對(duì)應(yīng)的標(biāo)準(zhǔn)特征規(guī)則或第二感染型病毒家族對(duì)應(yīng)的泛化特征規(guī)則；其中，所述第一感染型病毒家族為具有靜態(tài)規(guī)則的感染型病毒家族，所述第二感染型病毒家族不具有靜態(tài)規(guī)則的感染型病毒家族；

若所述文件特征符合所述第一感染型病毒家族對(duì)應(yīng)的標(biāo)準(zhǔn)特征規(guī)則，則將與所述文件特征對(duì)應(yīng)的第一感染型病毒家族設(shè)置為所述目標(biāo)感染型病毒家族；

若所述文件特征符合所述第二感染型病毒家族對(duì)應(yīng)的泛化特征規(guī)則，則通過硬編碼的方式對(duì)所述惡意文件執(zhí)行文件解析操作，并根據(jù)文件解析結(jié)果遍歷所有所述第二感染型病毒家族的識(shí)別代碼，根據(jù)遍歷結(jié)果確定所述目標(biāo)感染型病毒家族。

5.根據(jù)權(quán)利要求4所述修復(fù)方法，其特征在于，所述通過硬編碼的方式對(duì)所述惡意文件執(zhí)行文件解析操作包括：

通過硬編碼的方式對(duì)所述惡意文件執(zhí)行解密操作和/或虛擬執(zhí)行操作。

6.根據(jù)權(quán)利要求1所述修復(fù)方法，其特征在于，根據(jù)所述文件特征確定所述惡意文件對(duì)應(yīng)的目標(biāo)感染型病毒家族包括：

將所述文件特征輸入分類模型得到分類結(jié)果，根據(jù)所述分類結(jié)果確定所述惡意文件對(duì)應(yīng)的目標(biāo)感染型病毒家族。

7.根據(jù)權(quán)利要求1至6任一項(xiàng)所述修復(fù)方法，其特征在于，對(duì)所述惡意文件執(zhí)行所述目標(biāo)感染型病毒家族對(duì)應(yīng)的文件修復(fù)操作包括：

查詢與所述目標(biāo)感染型病毒家族對(duì)應(yīng)的修復(fù)方案；其中，所述修復(fù)方案通過對(duì)所述目標(biāo)感染型病毒家族的病毒感染方式逆向分析得到；

根據(jù)所述修復(fù)方案對(duì)所述惡意文件執(zhí)行所述目標(biāo)感染型病毒家族對(duì)應(yīng)的文件修復(fù)操作。

8.一種惡意文件的修復(fù)裝置，其特征在于，包括：

特征提取模塊，用于提取惡意文件的文件特征；其中，所述文件特征包括文件屬性和家族公共特征串，所述文件屬性包括文件大小、節(jié)數(shù)量和節(jié)權(quán)限中任一項(xiàng)或任幾項(xiàng)的組合，所述家族公共特征串包括文件偏移地址、入口點(diǎn)偏移地址和節(jié)偏移地址中任一項(xiàng)或任幾項(xiàng)的組合；

家族確定模塊，用于根據(jù)所述文件特征確定所述惡意文件對(duì)應(yīng)的目標(biāo)感染型病毒家族；

文件修復(fù)模塊，用于對(duì)所述惡意文件執(zhí)行所述目標(biāo)感染型病毒家族對(duì)應(yīng)的文件修復(fù)操作。

9.一種電子設(shè)備，其特征在于，包括存儲(chǔ)器和處理器，所述存儲(chǔ)器中存儲(chǔ)有計(jì)算機(jī)程序，所述處理器調(diào)用所述存儲(chǔ)器中的計(jì)算機(jī)程序時(shí)實(shí)現(xiàn)如權(quán)利要求1至7任一項(xiàng)所述惡意文件的修復(fù)方法的步驟。

10.一種存儲(chǔ)介質(zhì)，其特征在于，所述存儲(chǔ)介質(zhì)中存儲(chǔ)有計(jì)算機(jī)可執(zhí)行指令，所述計(jì)算機(jī)可執(zhí)行指令被處理器加載并執(zhí)行時(shí)，實(shí)現(xiàn)如上權(quán)利要求1至7任一項(xiàng)所述惡意文件的修復(fù)方法的步驟。