[發明專利]一種惡意文件檢測的方法、系統、設備及可讀存儲介質

在審

• 申請號: 202010597641.5
• 申請日: 2020-06-28
• 公開（公告）號: CN111737696A
• 公開（公告）日: 2020-10-02
• 發明（設計）人: 程華才;范淵
• 申請（專利權）人: 杭州安恒信息技術股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/53
• 代理公司: 北京集佳知識產權代理有限公司 11227
• 代理人: 王曉坤

1.一種惡意文件檢測的方法，其特征在于，包括：

獲取待檢測文件的靜態參數，并利用所述靜態參數與本地威脅情報庫進行匹配，得到第一匹配結果；

根據所述第一匹配結果判斷所述待檢測文件是否為惡意文件；

若否，則令所述待檢測文件在沙箱中運行，并獲取運行過程中產生的動態參數；

利用所述動態參數與所述本地威脅情報庫進行匹配，并根據得到的第二匹配結果判定所述待檢測文件是否為所述惡意文件。

2.根據權利要求1所述的方法，其特征在于，令所述待檢測文件在沙箱中運行，并獲取運行過程中產生的動態參數，包括：

獲取所述待檢測文件在所述沙箱中運行時網絡連接的目標地址；

獲取所述待檢測文件在所述沙箱中運行時創建的臨時文件，并計算所述臨時文件的Hash值。

3.根據權利要求2所述的方法，其特征在于，獲取所述待檢測文件在所述沙箱中運行時網絡連接的目標地址，包括：

記錄所述待檢測文件運行時調用的網絡應用程序接口以及對應的調用參數，并根據所述網絡應用程序接口以及所述調用參數確定所述目標地址。

4.根據權利要求2所述的方法，其特征在于，獲取所述待檢測文件在所述沙箱中運行時網絡連接的目標地址，包括：

捕捉所述待檢測文件運行時的網絡流量，并通過解析所述網絡流量得到所述目標地址。

5.根據權利要求1-4任一項所述的方法，其特征在于，當所述待檢測文件為所述惡意文件時，還包括：

從所述本地威脅情報庫中獲取所述待檢測文件的威脅類型及威脅信息。

6.根據權利要求5所述的方法，其特征在于，所述威脅類型包括釣魚地址、垃圾郵件、僵尸網絡、礦池、黑產IP、蠕蟲、勒索軟件、漏洞利用、惡意軟件、DDOS攻擊、TOR代理中的至少一項；

所述威脅信息包括威脅程度、所屬黑客組織、所屬病毒家族、域名注冊信息中的至少一項。

7.根據權利要求1所述的方法，其特征在于，在利用所述靜態參數與本地威脅情報庫進行匹配，得到第一匹配結果之前，還包括：

獲取云端威脅情報庫的更新情況，并根據所述更新情況判斷是否需要對所述本地威脅情報庫進行更新。

8.一種惡意文件檢測的系統，其特征在于，包括：

第一獲取模塊，用于獲取待檢測文件的靜態參數，并利用所述靜態參數與本地威脅情報庫進行匹配，得到第一匹配結果；

判斷模塊，用于根據所述第一匹配結果判斷所述待檢測文件是否為惡意文件；

第二獲取模塊，用于當所述待檢測文件不為所述惡意文件時，令所述待檢測文件在沙箱中運行，并獲取運行過程中產生的動態參數；

判定模塊，用于利用所述動態參數與所述本地威脅情報庫進行匹配，并根據得到的第二匹配結果判定所述待檢測文件是否為所述惡意文件。

9.一種惡意文件檢測設備，其特征在于，包括：

存儲器，用于存儲計算機程序；

處理器，用于執行所述計算機程序時實現如權利要求1至7任一項所述惡意文件檢測的方法的步驟。

10.一種可讀存儲介質，其特征在于，所述可讀存儲介質上存儲有計算機程序，所述計算機程序被處理器執行時實現如權利要求1至7任一項所述惡意文件檢測的方法的步驟。