[發明專利]勒索病毒防御方法、裝置及電子設備

有效

• 申請號: 202010741743.X
• 申請日: 2020-07-29
• 公開（公告）號: CN111625828B
• 公開（公告）日: 2021-02-26
• 發明（設計）人: 王璐;王濱;王星;王睿堯;徐文淵;冀曉宇
• 申請（專利權）人: 杭州海康威視數字技術股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56
• 代理公司: 北京博思佳知識產權代理有限公司 11415
• 代理人: 楊春香

1.一種勒索病毒防御方法，其特征在于，應用于病毒防御系統中的病毒防御平臺，所述病毒防御系統中還包括多個主機，所述病毒防御系統中部署有用于對抗勒索病毒的軟件，所述軟件包括部署于所述病毒防御平臺的中心平臺軟件，以及部署于主機的防護節點軟件，所述方法包括：

接收所述多個主機中的任一主機上報的勒索病毒告警信息；所述勒索病毒告警信息為該主機利用本機部署的防護節點軟件檢測到勒索病毒時向所述中心平臺軟件上報的；所述主機通過對預設樣本文件進行檢測，并基于所述預設樣本文件的變化情況確定是否存在勒索病毒；所述預設樣本文件包括一個或多個由所述防護節點軟件生成的樣本文件，所述預設樣本文件作為誘餌文件存儲在易于訪問的位置；在檢測到針對所述預設樣本文件的輸入/輸出I/O操作或所述預設樣本文件被加載至內存時，對于任一預設樣本文件，當該預設樣本文件的第一哈希值和第二哈希值的相似度低于預設閾值時，確定該預設樣本文件的變化滿足預設條件，該預設樣本的第一哈希值為對該預設樣本文件的當前樣本文件進行分塊哈希計算得到，該預設樣本的第二哈希值為對該預設樣本的原始文件按照相同的分塊哈希算法計算得到的哈希值；當變化滿足預設條件的樣本的數量達到預設數量時，確定存在勒索病毒；對于任一待保護文件，所述主機對該待保護文件進行分塊，以得到多個分塊以及至少一個副本；所述待保護文件為所述主機上被配置為需要進行勒索病毒防護的文件；對所述分塊以及所述副本進行指定處理后，對處理后的分塊以及副本進行存儲；其中，所述指定處理包括以下之一或多個：重命名、后綴隨機生成；所述主機上安裝的防護節點軟件的程序文件被偽裝為系統文件，所述防護節點軟件運行在所述主機上的進程被偽裝為系統進程；

基于所述勒索病毒告警信息，確定病毒腳本的下載路徑；

對所述多個主機中的任一主機基于所述下載路徑發起的腳本下載請求進行攔截；其中，若所述病毒防御系統內部署有專門的域名解析服務器DNS服務器，則所述病毒防御平臺將所述病毒腳本的下載路徑發送給所述DNS服務器，由所述DNS服務器對基于所述下載路徑發起的腳本下載請求進行攔截；

其中，所述對所述多個主機中的任一主機基于所述下載路徑發起的腳本下載請求進行攔截，包括：

將所述下載請求重定向至指定地址，所述指定地址用于下載指定無害腳本，所述指定無害腳本包括用于觸發主機安裝補丁的腳本或/和用于觸發主機加固病毒防護工具的腳本。

2.根據權利要求1所述的方法，其特征在于，所述接收所述多個主機中的任一主機上報的勒索病毒告警信息之后，還包括：

基于所述勒索病毒告警信息，確定病毒腳本關聯的可疑文件的指紋信息；

基于所述指紋信息，阻斷與所述指紋信息匹配的文件的傳輸，或/和，阻止與所述指紋信息匹配的進程的啟動。