[發明專利]阻止勒索軟件攻擊的方法、裝置、存儲介質及電子設備

在審

• 申請號: 202110991405.6
• 申請日: 2021-08-26
• 公開（公告）號: CN113672925A
• 公開（公告）日: 2021-11-19
• 發明（設計）人: 高澤霖;鄭楠;張慧云
• 申請（專利權）人: 安天科技集團股份有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/60;G06F21/62
• 代理公司: 北京科衡知識產權代理有限公司 11928
• 代理人: 王淑靜

1.一種阻止勒索軟件攻擊的方法，其特征在于，包括：

對系統中運行的進程進行監控；

根據所述進程的運行情況，確定所述進程是否為可疑進程；

若確定所述進程為可疑進程，取消所述進程的應用程序接口中的文件刪除函數的文件刪除功能。

2.根據權利要求1所述的方法，其特征在于，根據所述進程的運行情況，確定所述進程是否為可疑進程，包括：

判斷所述進程在第一預設時間段內發生可疑行為的次數是否超過第一閾值；

若確定所述進程發生可疑行為的次數，在所述第一預設時間段內超過所述第一閾值，則確定所述進程為可疑進程。

3.根據權利要求2所述的方法，其特征在于，所述可疑行為至少包括以下一種：

讀取源文件內容并對所述源文件內容進行加密、創建新的具有可疑后綴的文件、將加密后的文件內容寫入新創建的文件中、刪除源文件。

4.根據權利要求1所述的方法，其特征在于，若確定所述進程為可疑進程，取消所述進程的應用程序接口中的文件刪除函數的文件刪除功能，包括：

若確定所述進程為可疑進程，則Hook所述可疑進程的應用程序接口中的文件刪除函數，以取消所述文件刪除函數的文件刪除功能。

5.根據權利要求1所述的方法，其特征在于，所述方法還包括：

在確定所述進程為可疑進程，取消所述進程的應用程序接口中的文件刪除函數的文件刪除功能之后，確定所述可疑進程所針對的文件夾中具有可疑后綴的文件的數量；若所述文件夾中具有可疑后綴的文件的數量超過第二閾值，則確定所述可疑進程是勒索軟件的進程；或者，

待所述可疑進程執行結束后，或所述可疑進程執行時長超第二預設時間段后，比較各文件夾中文件名相同且后綴名不同的文件數量，若各文件夾中文件名相同且后綴名不同的文件數量超過第三閾值，則確定所述可疑進程是勒索軟件的進程。

6.根據權利要求1至5任一項所述的方法，其特征在于，所述方法還包括：

在確定所述進程為可疑進程，取消所述進程的應用程序接口中的文件刪除函數的文件刪除功能之后，記錄所述可疑進程調用所述文件刪除函數指示刪除的目標文件的信息；

在確定所述可疑進程并非勒索軟件的進程之后，根據所述目標文件的信息刪除所述目標文件。

7.一種阻止勒索軟件攻擊的裝置，其特征在于，包括：

監控模塊，被配置為對系統中運行的進程進行監控；

第一確定模塊，被配置為根據所述進程的運行情況，確定所述進程是否為可疑進程；

取消模塊，被配置為若確定所述進程為可疑進程，取消所述進程的應用程序接口中的文件刪除函數的文件刪除功能。

8.根據權利要求7所述的裝置，其特征在于，所述第一確定模塊具體被配置為：

判斷所述進程在第一預設時間段內發生可疑行為的次數是否超過第一閾值；

若確定所述進程發生可疑行為的次數，在所述第一預設時間段內超過所述第一閾值，則確定所述進程為可疑進程。

9.根據權利要求8所述的裝置，其特征在于，所述可疑行為至少包括以下一種：

讀取源文件內容并對所述源文件內容進行加密、創建新的具有可疑后綴的文件、將加密后的文件內容寫入新創建的文件中、刪除源文件。

10.根據權利要求7所述的裝置，其特征在于，所述取消模塊具體被配置為：

若確定所述進程為可疑進程，則Hook所述可疑進程的應用程序接口中的文件刪除函數，以取消所述文件刪除函數的文件刪除功能。