[發(fā)明專利]勒索病毒檢測(cè)方法、裝置、計(jì)算機(jī)設(shè)備及存儲(chǔ)介質(zhì)

在審

• 申請(qǐng)?zhí)枺?/td>: 202111490030.1
• 申請(qǐng)日: 2021-12-08
• 公開(kāi)（公告）號(hào): CN114254318A
• 公開(kāi)（公告）日: 2022-03-29
• 發(fā)明（設(shè)計(jì)）人: 張銳;盛穎;肖新光
• 申請(qǐng)（專利權(quán)）人: 北京安天網(wǎng)絡(luò)安全技術(shù)有限公司
• 主分類號(hào): G06F21/56
• 分類號(hào): G06F21/56;G06F21/55
• 代理公司: 北京鍾維聯(lián)合知識(shí)產(chǎn)權(quán)代理有限公司 11579
• 代理人: 鄭明明

1.一種勒索病毒檢測(cè)方法，其特征在于，所述方法包括：

獲取預(yù)置目錄的目錄信息，所述預(yù)置目錄包括多個(gè)真實(shí)創(chuàng)建的誘餌文件，所述誘餌文件包括多種文檔類型；

實(shí)時(shí)檢測(cè)是否存在可疑進(jìn)程遍歷目標(biāo)根目錄，所述目標(biāo)根目錄為需要防御勒索病毒的目標(biāo)目錄所在的根目錄；

若存在可疑進(jìn)程遍歷所述目標(biāo)根目錄，根據(jù)所述預(yù)置目錄的目錄信息在所述目標(biāo)根目錄下創(chuàng)建誘餌目錄，在所述誘餌目錄下創(chuàng)建多個(gè)文檔類型的虛擬的誘餌文件；

將所述虛擬的誘餌文件的路徑重定向到所述預(yù)置目錄下的誘餌文件上；

當(dāng)所述可疑進(jìn)程對(duì)所述誘餌目錄中的虛擬的誘餌文件進(jìn)行操作時(shí)，根據(jù)所述可疑進(jìn)程對(duì)所述虛擬的誘餌文件重定向到的所述預(yù)置目錄中的誘餌文件的操作結(jié)果，確定所述可疑進(jìn)程是否為勒索病毒。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，在實(shí)時(shí)檢測(cè)是否存在可疑進(jìn)程遍歷目錄信息之前，所述方法還包括：

加載文件過(guò)濾驅(qū)動(dòng)，攔截所有進(jìn)程對(duì)所述目標(biāo)目錄的遍歷、對(duì)目標(biāo)文件的打開(kāi)和/或查詢所述目標(biāo)文件的文件信息，所述目標(biāo)目錄為需要防御勒索病毒的目錄。

3.根據(jù)權(quán)利要求1或2所述的方法，其特征在于，所述方法還包括：

若存在可疑進(jìn)程遍歷所述誘餌目錄，則獲取所述誘餌目錄的目錄信息；

將所述誘餌目錄的目錄信息反饋給所述可疑進(jìn)程。

4.根據(jù)權(quán)利要求1或2所述的方法，其特征在于，所述方法還包括：

若存在可疑進(jìn)程查詢所述虛擬的誘餌文件的文件信息，則獲取所述虛擬的誘餌文件重定向到的所述預(yù)置目錄中的誘餌文件；

獲取重定向的所述預(yù)置目錄中的誘餌文件的文件信息；

將所述誘餌文件的文件信息反饋給所述可疑進(jìn)程。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述將所述虛擬的誘餌文件的路徑重定向到所述預(yù)置目錄下的誘餌文件上，包括：

獲取所述預(yù)置目錄下未被重定向的誘餌文件；

將所述虛擬的誘餌文件的路徑重定向到所述未被重定向的誘餌文件上。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述將所述虛擬的誘餌文件的路徑重定向到所述未被重定向的誘餌文件上，包括：

確定所述虛擬的誘餌文件分別對(duì)應(yīng)的文件類型；

將所述虛擬的誘餌文件的路徑重定向到與所述虛擬的誘餌文件的文件類型相同的，且所述未被重定向的誘餌文件上。

7.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述方法還包括：

停止所述文件過(guò)濾驅(qū)動(dòng)，刪除在所述目標(biāo)根目錄中創(chuàng)建的誘餌目錄，以及所述誘餌目錄中的虛擬的誘餌文件。

8.一種勒索病毒檢測(cè)裝置，其特征在于，所述裝置包括：

獲取模塊，用于獲取預(yù)置目錄的目錄信息，所述預(yù)置目錄包括多個(gè)真實(shí)創(chuàng)建的誘餌文件，所述誘餌文件包括多種文檔類型；

檢測(cè)模塊，用于實(shí)時(shí)檢測(cè)是否存在可疑進(jìn)程遍歷目標(biāo)根目錄，所述目標(biāo)根目錄為需要防御勒索病毒的目標(biāo)目錄所在的根目錄；

創(chuàng)建模塊，用于若存在可疑進(jìn)程遍歷所述目標(biāo)根目錄，根據(jù)所述預(yù)置目錄的目錄信息在所述目標(biāo)根目錄下創(chuàng)建誘餌目錄，在所述誘餌目錄下創(chuàng)建多個(gè)文檔類型的虛擬的誘餌文件；

重定向模塊，用于將所述虛擬的誘餌文件的路徑重定向到所述預(yù)置目錄下的誘餌文件上；

確定模塊，用于當(dāng)所述可疑進(jìn)程對(duì)所述誘餌目錄中的虛擬的誘餌文件進(jìn)行操作時(shí)，根據(jù)所述可疑進(jìn)程對(duì)所述虛擬的誘餌文件重定向到的所述預(yù)置目錄中的誘餌文件的操作結(jié)果，確定所述可疑進(jìn)程是否為勒索病毒。

9.一種計(jì)算機(jī)設(shè)備，包括存儲(chǔ)器、處理器以及存儲(chǔ)在所述存儲(chǔ)器中并可在所述處理器上運(yùn)行的計(jì)算機(jī)程序，其特征在于，所述處理器執(zhí)行所述計(jì)算機(jī)程序時(shí)實(shí)現(xiàn)如權(quán)利要求1至7任一項(xiàng)所述的勒索病毒檢測(cè)方法。

10.一種計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)，所述計(jì)算機(jī)可讀存儲(chǔ)介質(zhì)存儲(chǔ)有計(jì)算機(jī)程序，其特征在于，所述計(jì)算機(jī)程序被處理器執(zhí)行時(shí)實(shí)現(xiàn)如權(quán)利要求1至7任一項(xiàng)的勒索病毒檢測(cè)方法。