[發明專利]誘捕勒索病毒的方法及系統

在審

• 申請號: 202111464005.6
• 申請日: 2021-12-02
• 公開（公告）號: CN114218563A
• 公開（公告）日: 2022-03-22
• 發明（設計）人: 郭昌盛;邱斌;王磊;姜昱西;劉祥宇;田鵬飛;黃河;汪文曉
• 申請（專利權）人: 北京江民新科技術有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56;G06Q40/04
• 代理公司: 北京方韜法業專利代理事務所(普通合伙) 11303
• 代理人: 黨小林

1.一種誘捕勒索病毒的方法，其特征在于，包括：

釋放誘餌文件到指定系統位置；

利用MINIFILTER過濾驅動框架可以監視到對誘餌文件的訪問動作；

當監視到對誘餌文件的訪問動作時，進行報警攔截。

2.根據權利要求1所述的誘捕勒索病毒的方法，其特征在于，利用MINIFILTER過濾驅動框架可以監視到對誘餌文件的訪問動作，包括：

通過計算文件CRC匹配是否為設置的誘餌文件；

匹配上并且訪問誘餌文件的進程非系統和自身軟件進程，就認定訪問動作是對誘餌文件的訪問動作。

3.根據權利要求1所述的誘捕勒索病毒的方法，其特征在于，還包括：

在內核中注冊進程創建回調函數；

當有進程創建時，進程過濾器計算當前創建進程的哈希值；

利用當前創建進程的哈希值匹配黑名單程序中的哈希值；

一旦匹配成功，觸發攔截動作。

4.根據權利要求3所述的誘捕勒索病毒的方法，其特征在于，黑名單是計算程序文件哈希值。

5.根據權利要求3所述的誘捕勒索病毒的方法，其特征在于，哈希值保存在一個MAP容器中。

6.根據權利要求1所述的誘捕勒索病毒的方法，其特征在于，還包括：

開機啟動時第三方程序的延時啟動。

7.根據權利要求7所述的誘捕勒索病毒的方法，其特征在于，開機啟動時第三方程序的延時啟動，包括：

進程過濾回調函數中計算開機啟動時間，在一個時間范圍內認為是開機進入系統的空檔期，這個期會有很多開機自啟動程序啟動，回調函數會攔截所有的進程，計算程序文件HASH值匹配是否為系統和自身進程，如果是就放過使之正常運行，如果是第三方進程，則會進入延時邏輯中。

8.一種誘捕勒索病毒的系統，其特征在于，包括：

一個或多個處理器；

存儲裝置，用于存儲一個或多個程序；

當所述一個或多個程序被所述一個或多個處理器執行，使得所述一個或多個處理器實現根據權利要求1至7任意一項所述的誘捕勒索病毒的方法。