[發明專利]一種追溯惡意進程的方法、裝置及存儲介質

在審

• 申請號: 202010512480.5
• 申請日: 2020-06-08
• 公開（公告）號: CN111783089A
• 公開（公告）日: 2020-10-16
• 發明（設計）人: 陳勇;李擎宇;陳振明
• 申請（專利權）人: OPPO廣東移動通信有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京派特恩知識產權代理有限公司 11270
• 代理人: 吳薇薇;張穎玲

1.一種追溯惡意進程的方法，其特征在于，所述方法包括：

獲取惡意進程數據；

從所述惡意進程數據中過濾出所述惡意進程的用戶標識；

基于進程的用戶標識和包名的對應關系，確定所述惡意進程的用戶標識對應的惡意進程包名；

基于所述惡意進程包名對所述惡意進程進行追溯。

2.根據權利要求1所述的方法，其特征在于，所述基于進程的用戶標識和包名的對應關系，確定所述惡意進程的用戶標識對應的惡意進程包名，包括：

獲取包管理文件；其中，所述包管理文件中至少包括惡意進程的用戶標識和惡意進程包名的位置對應關系；

基于所述惡意進程的用戶標識，從所述包管理文件中查找到對應的所述惡意進程包名。

3.根據權利要求2所述的方法，其特征在于，所述基于所述惡意進程的用戶標識，從所述包管理文件中查找到對應的所述惡意進程包名，包括：

從所述包管理文件中獲取所述惡意進程的用戶標識及其相鄰定位標識之間的數據，得到所述惡意進程包名。

4.根據權利要求1-3任一項所述的方法，其特征在于，

所述獲取惡意進程數據，包括：

獲取內核層上報的所述惡意進程數據。

5.根據權利要求4所述的方法，其特征在于，所述基于所述惡意進程包名對所述惡意進程進行追溯之后，所述方法還包括：

將所述惡意進程數據和所述惡意進程包名增添到埋點信息。

6.根據權利要求4所述的方法，其特征在于，所述獲取內核層上報的所述惡意進程數據之前，所述方法還包括：

所述內核層判斷當前進程是否屬于惡意進程；

所述內核層若檢測到當前進程為惡意進程時，對所述惡意進程進行查殺操作；

所述內核層獲取所述惡意進程數據并上報。

7.根據權利要求6所述的方法，其特征在于，所述內核層判斷當前進程是否屬于惡意進程，包括：

調用所述當前進程時，獲取所述當前進程的第一權限參數；

調用所述當前進程后，獲取所述當前進程的第二權限參數；

若所述第二權限參數相對于所述第一權限參數發生變化，則所述當前進程屬于惡意進程。

8.根據權利要求7所述的方法，其特征在于，所述若所述第二權限參數相對于所述第一權限參數發生變化，則所述當前進程屬于惡意進程，包括：

若所述第二權限參數表示的權限范圍大于所述第一權限參數表示的權限范圍，則所述當前進程屬于惡意進程。

9.一種追溯惡意進程的裝置，其特征在于，所述裝置包括：

獲取單元，用于獲取惡意進程數據；

過濾單元，用于從所述惡意進程數據中過濾出所述惡意進程的用戶標識；

確定單元，用于基于進程的用戶標識和包名的對應關系，確定所述惡意進程的用戶標識對應的惡意進程包名；

執行單元，用于基于所述惡意進程包名對所述惡意進程進行追溯。

10.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，該計算機程序被處理器執行時實現權利要求1至8任一項所述的方法的步驟。