[發明專利]勒索病毒檢測方法、裝置、計算機設備及存儲介質

在審

• 申請號: 202111490030.1
• 申請日: 2021-12-08
• 公開（公告）號: CN114254318A
• 公開（公告）日: 2022-03-29
• 發明（設計）人: 張銳;盛穎;肖新光
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06F21/55
• 代理公司: 北京鍾維聯合知識產權代理有限公司 11579
• 代理人: 鄭明明

本申請提供了一種勒索病毒檢測方法、裝置、計算機設備及存儲介質，涉及網絡安全技術領域，用于減少誘餌文件所占用的存儲空間，減少系統資源消耗。方法主要包括：實獲取預置目錄的目錄信息；實時檢測是否存在可疑進程遍歷目標根目錄；若存在可疑進程遍歷所述目標根目錄，根據預置目錄的目錄信息在所述目標根目錄下創建誘餌目錄，在誘餌目錄下創建多個文檔類型的虛擬的誘餌文件；將虛擬的誘餌文件的路徑重定向到預置目錄下的誘餌文件上；當可疑進程對誘餌目錄中的虛擬的誘餌文件進行操作時，根據可疑進程對虛擬的誘餌文件重定向到的預置目錄中的誘餌文件的操作結果，確定可疑進程是否為勒索病毒。

技術領域

本申請涉及網絡安全技術領域，尤其涉及一種勒索病毒檢測方法、裝置、計算機設備及存儲介質。

背景技術

勒索病毒是一種以用戶電腦中的文檔數據為主要攻擊目標，通過各種加密技術加密文檔內容并刪除原文件，只能通過支付贖金來獲取解密密鑰從而恢復文件的一種惡意程序，它可以通過系統漏洞、木馬、郵件等多種形式進行傳播，是近年來危害極大的程序病毒。在系統常見目錄下放置誘餌文件，來盡早發現勒索病毒的存在，也一直都是一種主要的對抗勒索病毒的文檔威脅檢測方法。

傳統的誘餌文件在主機系統特定目錄下真實的創建出來，需要在多少個目錄下放置誘餌，就要創建多少份誘餌文件，而為了能提高對勒索病毒的檢出率，通常需要盡可能多的創建各種文檔類型的誘餌文件，這占用了大量的磁盤存儲空間，同時誘餌文件的創建、刪除過程也需要消耗系統資源。

發明內容

本申請實施例提供一種勒索病毒檢測方法、裝置、計算機設備及存儲介質，用于準確的識別出勒索病毒的同時，減少誘餌文件所占用的存儲空間，減少系統資源消耗。

本發明實施例提供一種勒索病毒檢測方法，所述方法包括：

獲取預置目錄的目錄信息，所述預置目錄包括多個真實創建的誘餌文件，所述誘餌文件包括多種文檔類型；

實時檢測是否存在可疑進程遍歷目標根目錄，所述目標根目錄為需要防御勒索病毒的目標目錄所在的根目錄；

若存在可疑進程遍歷所述目標根目錄，根據所述預置目錄的目錄信息在所述目標根目錄下創建誘餌目錄，在所述誘餌目錄下創建多個文檔類型的虛擬的誘餌文件；

將所述虛擬的誘餌文件的路徑重定向到所述預置目錄下的誘餌文件上；

當所述可疑進程對所述誘餌目錄中的虛擬的誘餌文件進行操作時，根據所述可疑進程對所述虛擬的誘餌文件重定向到的所述預置目錄中的誘餌文件的操作結果，確定所述可疑進程是否為勒索病毒。

本發明實施例提供一種勒索病毒檢測裝置，所述裝置包括：

獲取模塊，用于獲取預置目錄的目錄信息，所述預置目錄包括多個真實創建的誘餌文件，所述誘餌文件包括多種文檔類型；

檢測模塊，用于實時檢測是否存在可疑進程遍歷目標根目錄，所述目標根目錄為需要防御勒索病毒的目標目錄所在的根目錄；

創建模塊，用于若存在可疑進程遍歷所述目標根目錄，根據所述預置目錄的目錄信息在所述目標根目錄下創建誘餌目錄，在所述誘餌目錄下創建多個文檔類型的虛擬的誘餌文件；

重定向模塊，用于將所述虛擬的誘餌文件的路徑重定向到所述預置目錄下的誘餌文件上；

確定模塊，用于當所述可疑進程對所述誘餌目錄中的虛擬的誘餌文件進行操作時，根據所述可疑進程對所述虛擬的誘餌文件重定向到的所述預置目錄中的誘餌文件的操作結果，確定所述可疑進程是否為勒索病毒。

一種計算機設備，包括存儲器、處理器以及存儲在所述存儲器中并可在所述處理器上運行的計算機程序，所述處理器執行所述計算機程序時實現上述勒索病毒檢測方法。