[發明專利]誘捕勒索病毒的方法及系統

在審

• 申請號: 202111464005.6
• 申請日: 2021-12-02
• 公開（公告）號: CN114218563A
• 公開（公告）日: 2022-03-22
• 發明（設計）人: 郭昌盛;邱斌;王磊;姜昱西;劉祥宇;田鵬飛;黃河;汪文曉
• 申請（專利權）人: 北京江民新科技術有限公司
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/56;G06Q40/04
• 代理公司: 北京方韜法業專利代理事務所(普通合伙) 11303
• 代理人: 黨小林

本發明提供了一種誘捕勒索病毒的方法及系統。該方法包括：釋放誘餌文件到指定系統位置；利用MINIFILTER過濾驅動框架可以監視到對誘餌文件的訪問動作；當監視到對誘餌文件的訪問動作時，進行報警攔截。本發明提供的誘捕勒索病毒的方法及系統能夠對勒索病毒進行誘捕。

技術領域

本發明涉及計算機安全技術領域，特別是涉及一種誘捕勒索病毒的方法及系統。

發明內容

本發明要解決的技術問題是提供一種誘捕勒索病毒的方法及系統，能夠對勒索病毒進行誘捕。

為解決上述技術問題，本發明提供了一種誘捕勒索病毒的方法，所述方法包括：釋放誘餌文件到指定系統位置；利用MINIFILTER過濾驅動框架可以監視到對誘餌文件的訪問動作；當監視到對誘餌文件的訪問動作時，進行報警攔截。

在一些實施方式中，利用MINIFILTER過濾驅動框架可以監視到對誘餌文件的訪問動作，包括：通過計算文件CRC匹配是否為設置的誘餌文件；匹配上并且訪問誘餌文件的進程非系統和自身軟件進程，就認定訪問動作是對誘餌文件的訪問動作。

在一些實施方式中，還包括：在內核中注冊進程創建回調函數；當有進程創建時，進程過濾器計算當前創建進程的哈希值；利用當前創建進程的哈希值匹配黑名單程序中的哈希值；一旦匹配成功，觸發攔截動作。

在一些實施方式中，黑名單是計算程序文件哈希值。

在一些實施方式中，哈希值保存在一個MAP容器中。

在一些實施方式中，還包括：開機啟動時第三方程序的延時啟動。

在一些實施方式中，開機啟動時第三方程序的延時啟動，包括：進程過濾回調函數中計算開機啟動時間，在一個時間范圍內認為是開機進入系統的空檔期，這個期會有很多開機自啟動程序啟動，回調函數會攔截所有的進程，計算程序文件HASH值匹配是否為系統和自身進程，如果是就放過使之正常運行，如果是第三方進程，則會進入延時邏輯中。

此外，本發明還提供了一種誘捕勒索病毒的系統，所述系統包括：一個或多個處理器；存儲裝置，用于存儲一個或多個程序；當所述一個或多個程序被所述一個或多個處理器執行，使得所述一個或多個處理器實現根據前文所述的誘捕勒索病毒的方法。

采用這樣的設計后，本發明至少具有以下優點：

不做進程行為監視，只做了固定的誘餌文件的訪問監視，保證系統運行性能。

附圖說明

上述僅是本發明技術方案的概述，為了能夠更清楚了解本發明的技術手段，以下結合附圖與具體實施方式對本發明做進一步的詳細說明。

圖1是方法流程圖。

具體實施方式

以下結合附圖對本發明的優選實施例進行說明，應當理解，此處所描述的優選實施例僅用于說明和解釋本發明，并不用于限定本發明。

本發明實現了在windows系統下的勒索病毒誘捕，當病毒在掃描加密用戶文件時，優先發現病毒掃描加密行為，并攔截病毒運行，防止病毒加密實際用戶文件的誘捕手段，及防止磁盤引導區被感染的防御手段。

所有的監視和處理邏輯都是通過內核實現，以驅動方式提供。

1.防勒索軟件釋放誘餌文件到指定系統位置，這里的誘餌文件相當于魚餌，形成針對勒索病毒的陷阱文件。誘餌文件使用隨機名稱，隨機文件內容的無意義數據，此類文件對用戶完全沒有意義，所以用戶正常情況下不會訪問和打開這些誘餌文件。隨機名稱并非完全隨機的名稱，名稱的定義是通過分析大量勒索病毒樣本掃描文件方式后，設定的文件名稱和文件類型，保證勒索病毒在掃描文件時，會優先掃描到誘餌文件，從而第一時間觸發攔截動作，保證用戶的實際文件不受影響。