[發(fā)明專利]惡意應(yīng)用程序檢測(cè)方法、裝置、電子設(shè)備及可讀存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202010467743.5
• 申請(qǐng)日: 2020-05-28
• 公開（公告）號(hào): CN111639340A
• 公開（公告）日: 2020-09-08
• 發(fā)明（設(shè)計(jì)）人: 馬西興
• 申請(qǐng)（專利權(quán)）人: 北京金山云網(wǎng)絡(luò)技術(shù)有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56
• 代理公司: 北京柏杉松知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11413
• 代理人: 項(xiàng)京;馬敬

1.一種惡意應(yīng)用程序檢測(cè)方法，其特征在于，所述方法包括：

確定目標(biāo)設(shè)備中內(nèi)核模塊對(duì)應(yīng)的內(nèi)存區(qū)域，作為待檢測(cè)內(nèi)存區(qū)域；

確定所述待檢測(cè)內(nèi)存區(qū)域中的內(nèi)存數(shù)據(jù)所指向的內(nèi)核模塊，作為待檢測(cè)內(nèi)核模塊；

基于所述待檢測(cè)內(nèi)核模塊，確定所述目標(biāo)設(shè)備中是否存在惡意應(yīng)用程序。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于所述待檢測(cè)內(nèi)核模塊，確定所述目標(biāo)設(shè)備中是否存在惡意應(yīng)用程序，包括：

如果所述待檢測(cè)內(nèi)核模塊，與所述目標(biāo)設(shè)備的操作系統(tǒng)提供的內(nèi)核模塊鏈表中記錄的內(nèi)核模塊不一致，確定所述目標(biāo)設(shè)備中存在惡意應(yīng)用程序。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，在所述確定所述目標(biāo)設(shè)備中存在惡意應(yīng)用程序之后，所述方法還包括：

確定所述待檢測(cè)內(nèi)核模塊與所述內(nèi)核模塊鏈表中記錄的內(nèi)核模塊中不一致的內(nèi)核模塊，作為目標(biāo)內(nèi)核模塊；

分別對(duì)所述目標(biāo)內(nèi)核模塊對(duì)應(yīng)的文件進(jìn)行二進(jìn)制掃描；

基于掃描結(jié)果，從所述目標(biāo)內(nèi)核模塊對(duì)應(yīng)的文件中，確定出惡意應(yīng)用程序。

4.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述確定所述待檢測(cè)內(nèi)存區(qū)域中的內(nèi)存數(shù)據(jù)所指向的內(nèi)核模塊，作為待檢測(cè)內(nèi)核模塊，包括：

針對(duì)所述待檢測(cè)內(nèi)存區(qū)域中每一頁(yè)面，判斷該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)是否符合驅(qū)動(dòng)對(duì)象的有效數(shù)據(jù)結(jié)構(gòu)；

如果該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)符合驅(qū)動(dòng)對(duì)象的有效數(shù)據(jù)結(jié)構(gòu)，將該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)指向的內(nèi)核模塊，確定為待檢測(cè)內(nèi)核模塊。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，所述判斷該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)是否符合驅(qū)動(dòng)對(duì)象的有效數(shù)據(jù)結(jié)構(gòu)，包括：

當(dāng)該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)滿足預(yù)設(shè)條件時(shí)，判定該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)符合驅(qū)動(dòng)對(duì)象的有效數(shù)據(jù)結(jié)構(gòu)，其中，所述預(yù)設(shè)條件包括：

該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)中記錄的魔術(shù)頭Magic Header位為預(yù)設(shè)數(shù)值；

該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)指向的模塊的文件大小屬于預(yù)設(shè)大小范圍；

該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)指向的模塊的起始地址，屬于所述待檢測(cè)內(nèi)存區(qū)域?qū)?yīng)的地址范圍；

該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)指向的模塊的文件為合法的可執(zhí)行文件。

6.根據(jù)權(quán)利要求4所述的方法，其特征在于，在所述判斷該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)是否符合驅(qū)動(dòng)對(duì)象的有效數(shù)據(jù)結(jié)構(gòu)之前，所述方法還包括：

判斷該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)，當(dāng)前是否映射到所述目標(biāo)設(shè)備的物理內(nèi)存；

如果該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)當(dāng)前已映射到所述目標(biāo)設(shè)備的物理內(nèi)存，執(zhí)行所述判斷該頁(yè)面存儲(chǔ)的內(nèi)存數(shù)據(jù)是否符合驅(qū)動(dòng)對(duì)象的有效數(shù)據(jù)結(jié)構(gòu)的步驟。

7.一種惡意應(yīng)用程序檢測(cè)裝置，其特征在于，所述裝置包括：

第一確定模塊，用于確定目標(biāo)設(shè)備中內(nèi)核模塊對(duì)應(yīng)的內(nèi)存區(qū)域，作為待檢測(cè)內(nèi)存區(qū)域；

第二確定模塊，用于確定所述待檢測(cè)內(nèi)存區(qū)域中的內(nèi)存數(shù)據(jù)所指向的內(nèi)核模塊，作為待檢測(cè)內(nèi)核模塊；

檢測(cè)模塊，用于基于所述待檢測(cè)內(nèi)核模塊，確定所述目標(biāo)設(shè)備中是否存在惡意應(yīng)用程序。

8.根據(jù)權(quán)利要求7所述的裝置，其特征在于，所述檢測(cè)模塊，具體用于如果所述待檢測(cè)內(nèi)核模塊，與所述目標(biāo)設(shè)備的操作系統(tǒng)提供的內(nèi)核模塊鏈表中記錄的內(nèi)核模塊不一致，確定所述目標(biāo)設(shè)備中存在惡意應(yīng)用程序。

9.根據(jù)權(quán)利要求8所述的裝置，其特征在于，所述裝置還包括：

掃描模塊，用于確定所述待檢測(cè)內(nèi)核模塊與所述內(nèi)核模塊鏈表中記錄的內(nèi)核模塊中不一致的內(nèi)核模塊，作為目標(biāo)內(nèi)核模塊；

分別對(duì)所述目標(biāo)內(nèi)核模塊對(duì)應(yīng)的文件進(jìn)行二進(jìn)制掃描；

基于掃描結(jié)果，從所述目標(biāo)內(nèi)核模塊對(duì)應(yīng)的文件中，確定出惡意應(yīng)用程序。