CN100485703C - 一种计算机恶意代码处理方法和*** - Google Patents
一种计算机恶意代码处理方法和*** Download PDFInfo
- Publication number
- CN100485703C CN100485703C CNB2006101136644A CN200610113664A CN100485703C CN 100485703 C CN100485703 C CN 100485703C CN B2006101136644 A CNB2006101136644 A CN B2006101136644A CN 200610113664 A CN200610113664 A CN 200610113664A CN 100485703 C CN100485703 C CN 100485703C
- Authority
- CN
- China
- Prior art keywords
- code
- information
- malicious code
- malicious
- computer program
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title abstract description 41
- 238000012545 processing Methods 0.000 title abstract description 6
- 238000004590 computer program Methods 0.000 claims abstract description 163
- 238000004458 analytical method Methods 0.000 claims abstract description 27
- 239000000284 extract Substances 0.000 claims description 27
- 238000003672 processing method Methods 0.000 claims description 27
- 238000002955 isolation Methods 0.000 claims description 19
- 238000000605 extraction Methods 0.000 claims description 17
- 230000001133 acceleration Effects 0.000 claims description 14
- 230000003068 static effect Effects 0.000 claims description 10
- 238000003860 storage Methods 0.000 claims description 8
- 230000005540 biological transmission Effects 0.000 claims description 4
- 230000008569 process Effects 0.000 description 21
- 241000700605 Viruses Species 0.000 description 18
- 230000008878 coupling Effects 0.000 description 12
- 238000010168 coupling process Methods 0.000 description 12
- 238000005859 coupling reaction Methods 0.000 description 12
- 238000012544 monitoring process Methods 0.000 description 10
- 238000010586 diagram Methods 0.000 description 9
- 230000035772 mutation Effects 0.000 description 9
- 230000002155 anti-virotic effect Effects 0.000 description 7
- 230000006378 damage Effects 0.000 description 6
- 238000005516 engineering process Methods 0.000 description 5
- 230000006870 function Effects 0.000 description 5
- 230000004048 modification Effects 0.000 description 4
- 238000012986 modification Methods 0.000 description 4
- 230000007480 spreading Effects 0.000 description 4
- 238000003892 spreading Methods 0.000 description 4
- 238000012217 deletion Methods 0.000 description 3
- 230000037430 deletion Effects 0.000 description 3
- 238000001514 detection method Methods 0.000 description 3
- PCHJSUWPFVWCPO-UHFFFAOYSA-N gold Chemical compound [Au] PCHJSUWPFVWCPO-UHFFFAOYSA-N 0.000 description 3
- 239000010931 gold Substances 0.000 description 3
- 229910052737 gold Inorganic materials 0.000 description 3
- 235000012907 honey Nutrition 0.000 description 3
- 230000007613 environmental effect Effects 0.000 description 2
- 238000011002 quantification Methods 0.000 description 2
- 230000008439 repair process Effects 0.000 description 2
- 230000000630 rising effect Effects 0.000 description 2
- 230000001960 triggered effect Effects 0.000 description 2
- 241000272201 Columbiformes Species 0.000 description 1
- 208000035126 Facies Diseases 0.000 description 1
- 230000009471 action Effects 0.000 description 1
- 239000000654 additive Substances 0.000 description 1
- 230000000996 additive effect Effects 0.000 description 1
- 230000003542 behavioural effect Effects 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000008901 benefit Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 230000001149 cognitive effect Effects 0.000 description 1
- 238000004891 communication Methods 0.000 description 1
- 230000000295 complement effect Effects 0.000 description 1
- 230000007812 deficiency Effects 0.000 description 1
- 238000000151 deposition Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 210000000987 immune system Anatomy 0.000 description 1
- 230000036039 immunity Effects 0.000 description 1
- 238000007689 inspection Methods 0.000 description 1
- 230000013011 mating Effects 0.000 description 1
- 238000005457 optimization Methods 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 230000002093 peripheral effect Effects 0.000 description 1
- 230000000644 propagated effect Effects 0.000 description 1
- 238000012797 qualification Methods 0.000 description 1
- 231100000279 safety data Toxicity 0.000 description 1
- 238000004088 simulation Methods 0.000 description 1
- 230000003612 virological effect Effects 0.000 description 1
Images
Landscapes
- Storage Device Security (AREA)
Abstract
本发明公开了一种计算机恶意代码处理方法和***。该方法包括下列步骤:读取可能包含恶意代码的计算机程序文件并运行,采集计算机程序文件运行时的与恶意代码相关联的代码信息,将所述代码信息与所述计算机程序文件的文件代码的数据地址相对应,生成编码数据;将代码信息进行信息组合,与恶意代码知识库中的恶意代码知识比较匹配,分析计算机程序文件是否包含恶意代码;在确认计算机程序文件包含恶意代码后,根据编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码。该方法和***提高了恶意代码分析的工作效率,降低***开销和实现难度。
Description
技术领域
本发明涉及信息安全领域,特别是涉及一种计算机恶意代码处理方法和***,尤其是涉及到一种检查计算机程序文件中是否包含有计算机恶意代码,以及从包含计算机恶意代码的计算机程序文件中提取恶意代码特征码的方法和***。
背景技术
随着计算机的普及和互联网的飞速发展,计算机恶意代码(广义上,一般也可以叫计算机病毒)的威胁越来越严重,计算机恶意代码的数量增长迅速,其传播性、危害性、隐藏性等等也在不断提高,从而使反计算机恶意代码的工作面临着巨大的挑战。
现有的广泛应用的反计算机恶意代码技术是静态的模式匹配技术,其在可能包含恶意代码的计算机程序文件出现后进行人工分析,确定文件是否包含恶意代码,如果包含恶意代码就从计算机程序文件中提取恶意代码的特征码,然后把新的恶意代码的特征码升级给恶意代码特征码库来提供给用户查杀计算机程序中的恶意代码。这些分析和提取恶意代码特征码的工作都要由人工来完成。其中,有许多包含恶意代码的计算机程序文件,他们的文件外表是千差万别的,不能直接看出文件是包含什么恶意代码的计算机程序文件,不得不通过人工一个一个计算机程序文件去分析其是否包含恶意代码,然后基于这个计算机程序文件提取所包含的恶意代码,生成恶意代码特征码,加入到恶意代码特征码库来提供给用户查杀计算机程序中的恶意代码。然而,现有的很多计算机恶意代码具有多种变种,在运行时具有很多相同或者相似的代码信息。如威金病毒(Viking),灰鸽子后门病毒(Huigezi、Gpigeon),Banker盗取银行密码病毒等等,这些数量众多的变种恶意代码运行时具有相同或者相似的代码信息。如威金病毒家族,其运行时具有三个相同或者相似的代码信息:1)都会感染Windows程序;2)把原始文件捆绑在恶意代码的后面;3)从网上下载数个盗取密码的恶意程序,并通过局域网传播。尽管威金病毒家族的变种很多,但基本行为就是这三个方面,但是而对于每一个恶意代码及其变种,都不得不通过人工重复多次进行分析,才能得到恶意代码及其变种的恶意代码特征码,使得工作效率降低,并影响到恶意代码特征码库的更新速度。
中国专利公开号CN1737722A公开了一种检测和防御计算机恶意程序的***,包括:计算机操作***监控装置,用于收集目标程序执行的动作信息;目标程序行为记录装置,用于临时保存目标程序所进行的操作记录,并记录修改前后的文件、注册表内容;已知行为特征存储装置,用于保存已知的、整理到的特定操作信息,并存储有各种操作相对应的威胁级别权值;目标程序行为识别分析装置,用于比较目标程序行为与已知行为特征,根据目标程序行为对应的威胁级别权值进行加权计算,达到一定阈值则确定该目标程序为恶意程序;结果调度处理装置,用于对被确定为恶意程序的目标程序进行终止操作并通知用户进行处理或者自行调度处理;恶意行为撤销装置,用于对被推断为恶意程序的目标程序所执行的操作进行撤销。
中国专利授权公告号为CN1235108C的发明专利公开了一种计算机病毒检测和识别方法,其通过模拟生物免疫***,将免疫原理应用于反计算机病毒的特征代码法,结合行为监测法等计算机病毒检测和识别方法,通过监控计算机***来检测和发现计算机病毒并获得病毒样本,然后在学习识别阶段通过使用变异进化以及样本文本分析来获得病毒特征码。该发明具有检测一些已知恶意代码和未知恶意代码的能力。
但现有技术没有对监测和发现计算机恶意代码的过程中,感染计算机恶意代码的文件运行时的代码信息进行充分的收集并加以分析和利用,割裂被包含计算机恶意代码的计算机程序文件和恶意代码及其变种之间的在运行过程中的联系,其还是一种基于单一文件的恶意代码特征码提取方法,同样不能提高工作效率,并影响到恶意代码特征码库的更新速度。同时,该发明由于它无法直接生成准确的恶意代码特征码,需要不断的变异和进化,这必然导致在生成特征码时需要重复的比对,从而增加了***的开销,而且,其中的自体文件库,需要囊括所有正常文件的代码集合,实现的难度很大,实用性很小。
发明内容
本发明所要解决的技术问题在于提供一种计算机恶意代码处理方法和***,以提高恶意代码分析的工作效率,降低***开销和实现难度。
为实现上述目的,本发明提供了一种计算机恶意代码处理方法,包括下列步骤:
步骤A,读取可能包含恶意代码的计算机程序文件并运行,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息,将所述代码信息与所述计算机程序文件的文件代码的数据地址相对应,生成编码数据;
步骤B,将所述代码信息进行信息组合,与恶意代码知识库中的恶意代码知识比较匹配,分析所述计算机程序文件是否包含恶意代码。
所述的计算机恶意代码处理方法,在步骤A与步骤B之间还可以包括下列步骤:
隔离所述采集代码信息的计算机运行环境。
所述读取可能包含恶意代码的计算机程序文件并运行,可以是:
复制可能包含恶意代码的计算机程序文件,并运行所述计算机程序文件。
所述将代码信息与计算机程序文件的文件代码的数据地址相对应,可以是:
根据所述代码信息,记录与所述代码信息相对应的计算机程序文件的文件代码的数据地址,并将所述数据地址转化为地址文本,建立所述代码信息与数据地址的关联。
所述生成编码数据,可以是:
根据所述代码信息,以及与所述代码信息相对应的地址文本,建立所述代码信息与地址文本的数据链表,生成所述代码信息的编码数据。
所述步骤A和步骤B之间还可以包括下列步骤:
传送所述代码信息和编码数据给所述分析计算机程序文件是否包含恶意代码的计算机运行环境,以及恶意代码特征码提取的计算机运行环境。
所述步骤B之后还可以包括下列步骤:
步骤C,在确认所述计算机程序文件包含恶意代码后,根据所述编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码。
所述根据编码数据中代码信息与地址文本的关系,在所述计算机程序文件中提取文件代码,可以是:
根据编码数据中代码信息与地址文本的关系,由相应的恶意代码的代码信息,查找到所述代码信息对应的地址文本,由所述地址文本得到与所述代码信息相对应的计算机程序文件的文件代码的数据地址;
然后把所述数据地址对应所在位置存储的所述计算机程序文件的二进制文件代码提取出来。
所述生成恶意代码特征码,可以是:
把提取出的二进制文件代码,以及所述文件代码在所述计算机程序文件中的相对地址位置汇总在一起形成恶意代码特征码。
所述步骤C之后还可以包括下列步骤:
步骤D,在生成恶意代码特征码后,利用恶意代码特征码优化算法对所述恶意代码特征码进行优化,再存入恶意代码特征码库。
所述信息组合包括加速符号串,用于表示采集到的代码信息并对代码信息进行分类。
所述恶意代码知识为量化的恶意代码知识,利用加速符号串进行分类。
为实现本发明的目的还提供一种计算机恶意代码处理***,包括:信息采集模块,分析模块,其中:
信息采集模块,用于读取可能包含恶意代码的计算机程序文件并运行,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息,将所述代码信息与所述计算机程序文件的文件代码的数据地址相对应,生成编码数据;
分析模块,用于将所述代码信息进行信息组合,与恶意代码知识库中的恶意代码知识比较匹配,分析所述计算机程序文件是否包含恶意代码。
所述的计算机恶意代码处理***,还可以包括隔离模块,用于隔离信息采集模块的计算机运行环境。
所述信息采集模块可以包括复制子模块和信息采集子模块,其中:
复制子模块,用于复制可能包含恶意代码的计算机程序文件,并运行所述计算机程序文件;
信息采集子模块,用于采集所述计算机程序文件运行时的与恶意代码相关联的代码信息。
所述信息采集模块还可以包括编码子模块,用于将所述代码信息与所述计算机程序文件的文件代码的数据地址相对应,生成编码数据。
所述信息采集模块还可以包括传送子模块,用于传送所述代码信息和编码数据给分析模块。
所述的计算机恶意代码处理***,还可以包括恶意代码特征码生成模块,用于在确认所述计算机程序文件包含恶意代码后,根据所述编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码。
所述恶意代码特征码生成模块可以包括查找子模块和提取子模块,其中:
查找子模块,用于根据编码数据中代码信息与地址文本的关系,由相应的恶意代码的代码信息,查找到所述代码信息对应的地址文本,由所述地址文本得到与所述代码信息相对应的计算机程序文件的文件代码的数据地址;
提取子模块,用于把所述数据地址对应所在位置存储的所述计算机程序文件的二进制文件代码提取出来。
所述恶意代码特征码生成模块还可以包括汇总子模块,用于把提取出的二进制文件代码,以及所述文件代码在所述计算机程序文件中的相对地址位置汇总在一起形成恶意代码特征码。
所述的计算机恶意代码处理***还可以包括优化模块,用于在生成恶意代码特征码后,利用恶意代码特征码优化算法对所述恶意代码特征码进行优化,再存入恶意代码特征码库。
所述信息组合包括加速符号串,用于表示采集到的代码信息并对代码信息进行分类。
所述恶意代码知识为量化的恶意代码知识,利用加速符号串进行分类。
所述与恶意代码相关联的代码信息是与恶意代码相关联的文件信息、进程信息、用户密码信息、***服务信息、网络共享和访问信息、***的注册信息中的一种或者一种以上的组合。
所述采集为动态跟踪采集和静态采集。
所述隔离为网络隔离或者虚拟机隔离。
本发明的有益效果是:本发明的计算机恶意代码处理方法和***,通过对可能包含恶意代码的计算机程序文件运行过程中与恶意代码相关联的代码信息的充分采集,利用与恶意代码相对应的代码信息得到计算机程序文件的文件代码的数据地址,然后生成编码数据,根据采集到的代码信息组合与与已知的恶意代码知识库中的恶意代码知识比较匹配,快速准确地识别是否包含恶意代码,进而从已经包含恶意代码的计算机程序文件中提取出恶意代码特征码。其具有识别未知恶意代码的能力,尤其对内部信息相似而文件外表不同的包含计算机恶意代码的计算机程序文件,能够快速准确地识别并提取恶意代码特征码,从而能够迅速更新恶意代码特征码库。其比由人工的基于单一文件的处理方法提高了效率,对于相似的同一家族的恶意代码的处理更加高效,使恶意代码分析人员从重复的低效率恶意代码分析工作中摆脱出来。
附图说明
图1是本发明计算机恶意代码处理方法流程图;
图2是本发明的与恶意代码相关联的代码信息采集过程示意图;
图3是本发明的代码信息和数据地址相对应过程示意图;
图4是本发明的代码信息和地址文本编码过程示意图;
图5A是本发明的网络隔离示意图;
图5B是本发明的虚拟机隔离示意图;
图6是本发明的恶意代码分析过程示意图;
图7是本发明的恶意代码特征码生成并优化存入恶意代码特征码库过程示意图;
图8是本发明计算机恶意代码处理***示意图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白,以下结合附图1~8及实施例,对本发明的一种计算机恶意代码处理方法和***进行进一步详细说明。应当理解,此处所描述的具体实施例仅仅用以解释本发明,并不用于限定本发明。
本发明的计算机恶意代码处理方法和***,通过读取可能包含恶意代码的计算机程序文件并运行,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息;然后将所述代码信息进行组合,与已知的恶意代码知识库中的已经收集恶意代码知识信息进行比较匹配,分析该计算机程序文件中是否包含恶意代码。进一步地,可以将该代码信息与计算机程序文件的文件代码的数据地址相对应,生成编码数据;当确认所述计算机程序文件包含恶意代码后,根据所述编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码;在生成恶意代码特征码后,利用恶意代码特征码优化算法对恶意代码特征码进行优化,再存入恶意代码特征码库。其根据编码数据,从已经确定包含恶意代码的计算机程序文件中,提取相应的恶意代码,准确自动提取恶意代码的特征码。
如图1所示,本发明的计算机恶意代码处理方法包括下列步骤:
步骤1:读取可能包含恶意代码的计算机程序文件并运行,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息;
进一步地,所述步骤1还包括下列步骤:
将该代码信息与计算机程序文件的文件代码的数据地址相对应,生成代码信息与数据地址的编码数据。
步骤2:隔离所述采集代码信息的计算机运行环境;将所述代码信息和编码数据从采集代码信息的计算机运行环境传送给隔离后的所述分析计算机程序文件是否包含恶意代码的计算机运行环境,以及恶意代码特征码提取的计算机运行环境。
步骤3:将所述代码信息进行信息组合,与恶意代码知识库中的恶意代码知识比较匹配,分析所述计算机程序文件是否包含恶意代码;
步骤4:在确认所述计算机程序文件包含恶意代码后,根据所述编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码。
步骤5:在生成恶意代码特征码后,利用恶意代码特征码优化算法对所述恶意代码特征码进行优化,再存入恶意代码特征码库。
下面详细说明本发明的计算机恶意代码处理方法:
在步骤1中,读取可能包含恶意代码的计算机程序文件并运行,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息,将该代码信息与计算机程序文件的文件代码数据地址相对应,生成编码数据。具体而言:
首先,复制可能包含恶意代码的计算机程序文件,将该计算机程序文件运行在采集代码信息的计算机运行环境,并采集该文件运行时的与恶意代码相关联的代码信息。
通过对计算机***的监测,发现可能包含恶意代码的计算机程序文件,对该计算机程序文件进行复制,并运行该计算机程序文件,在运行该文件过程中采集与恶意代码相关联的代码信息。
计算机运行环境指计算机程序文件运行所需要的硬件环境和软件环境,硬件环境包括但不限于能够运行该计算机程序文件的计算机主机及***设备等;软件环境包括但不限于能够运行该计算机程序文件的***软件、驱动程序软件等。根据计算机程序文件提供计算机运行环境是本领域的公知常识,本发明中不再一一赘述。
所述的与恶意代码相关联的代码信息,具体包括下列与恶意代码相关联的代码信息:
文件信息,即文件的复制,文件或文件夹的删除,文件或文件夹属性的变化,文件大小的变化,文件创建日期的变化,文件属主(ower),用户组(group)属性的变化等信息,本发明实施例主要是采集恶意代码对计算机程序文件操作的代码信息,如从网上下载广告,从网上下载别的恶意程序代码,以及从恶意代码内部释放出新的恶意代码程序(dropper)等等;
进程信息,包括进程或线程的创建、删除,进程的模块信息等等,本发明实施例主要是采集与恶意代码相关的,并与注入技术和隐藏技术相关的信息。
用户和密码信息,包括计算机用户和工作组的创建,修改和删除,密码的修改信息等,本发明实施例主要是采集计算机后门相关的信息。
***服务信息,包括服务程序的创建、启动、停止、删除,服务所属的用户、服务的类型、描述、功能信息等等,本发明实施例主要是采集恶意代码对计算机底层控制的信息。
网络共享和访问信息,包括被恶意代码共享的本地资源,恶意代码对网络的访问,对网络环境(例如防火墙的应用规则,host文件,IP地址等)的修改等信息,本发明实施例主要是采集恶意代码的网络传播,网络破坏行为的信息。
***的注册信息,本发明实施例主要是采集恶意代码对注册表的修改信息,包括与自启动技术相关的信息等。
例如,以Banker恶意代码(即Banker盗取银行密码病毒)为例,复制运行并采集后,能够得到如下与恶意代码相关联的代码信息:
I)文件信息,该恶意代码会先把自己拷贝到***目录下,并删除自己原始文件;
II)***注册信息,该恶意代码会把自己添加到***的自启动程序文件中;
III)进程信息,记录用户的键盘输入。
其他信息没有。
通过对计算机运行环境监测,可以发现可能包含恶意代码的计算机程序文件,其既可以是人为的手工运行计算机程序而发现,也可以是专门监测计算机恶意代码的公司的恶意代码监测人员发现,也可以是由计算机软件公司生产的计算机反恶意代码监测软件发现(如瑞星公司的瑞星杀毒软件RAV),还有是通过”蜜罐”***(“蜜罐”***是恶意程序收集***的一部分,每个公司都有自己的“蜜罐”***)收集的文件,以及用户恶意代码上报***上报的文件等等,也有国际反病毒组织向各个反病毒公司提供样本文件,各个反病毒公司之间交换样本等等。
该可能包含恶意代码的计算机程序文件在被发现后,提供给本发明的计算机恶意代码处理***。该监测发现可能包含恶意代码的计算机程序文件的过程,或者是人为的过程,或者是与本发明无关的现有公知技术,与本发明无关,因此在本发明中不再一一赘述。
可能包含恶意代码的计算机程序文件,既可以是怀疑带有已知或者未知恶意代码的计算机程序文件,也可以是已经知道带有某种未知恶意代码的计算机程序文件。该恶意代码可以是计算机程序文件的全部代码(即计算机程序文件本身就是恶意代码),也可以是该计算机程序文件中的一部分代码。
如图2所示,计算机***通过动态跟踪采集和静态采集,采集与恶意代码相关联的代码信息,如是否产生了新文件和新文件的路径和地址,是否连接了恶意的网址和连接了哪个具体网址等等。
动态跟踪采集主要有中断跟踪,其通过反汇编引擎,在可能包括恶意代码的计算机程序中***中断指令,来达到控制文件的执行,其和计算机调试程序类似,如Ollydebug,SoftIce软件等;另一种是注入技术,通过把一个监控代码注入到可能包含恶意代码的计算机程序文件中,通过修改该文件的引入表,把入口改向监控代码的地址,在该文件执行后,监控代码执行监控后,再进入引入表中文件原始的地址开始执行,监控代码监控该文件的执行。这种方法实现比较简单,准确性和效率都很高;另外还有一种方法是通过汇编程序对***底层进行接管。
静态采集是静态地对可能包含恶意代码的计算机程序文件运行前后,根据计算机***信息的对比后得到的代码信息,其通过计算机操作***提供的函数,对***属性进行访问,并记录该文件运行前后的信息结果而得到的代码信息。通过恶意程序运行前后***信息的变化,根据两次结果的对比,得到不同的代码信息部分。
静态采集与动态跟踪采集的代码信息相似,但因为动态跟踪采集只是针对修改行为,以及修改发生的代码数据地址进行有效的信息提取,但修改前的状态信息和修改后的状态信息,利用动态跟踪不能进行有效的信息采集,而且对被恶意代码破坏的***的修复工作也不能提供有效的参照,因而,通过静态的对比采集对动态的不足进行补充,对***修复工作提供参照。
动态跟踪采集主要目的是为代码信息和计算机程序文件的文件代码的数据地址相关联提供支持,进而对恶意代码特征码的快速准确提取提供支持。静态采集的主要目的是对动态跟踪采集进行补充,最终形成一个完整的代码信息链(破坏前的状态,破坏行为,破坏后的结果)。
其次,如图3所示,根据与恶意代码相关联的代码信息,记录与该代码信息相对应的计算机程序文件的文件代码的数据地址,并将该数据地址转化为地址文本,建立代码信息与数据地址的关联;
采集代码信息的计算机运行环境在采集与恶意代码相关联的代码信息的过程中,记录产生该代码信息的计算机程序文件的文件代码的数据地址,即该计算机程序文件的文件代码存储在计算机内存中的相对数据地址位置,然后将该数据地址转化为地址文本,即以文本形式记录该数据地址。这样,就可以建立代码信息与产生该代码信息的数据地址的关联关系。
其后,如图4所示,根据采集到的与恶意代码相关联的代码信息,以及与该代码信息相关联的地址文本,建立该代码信息和地址文本的数据链表,生成编码数据。
根据与恶意代码相关联的代码信息,以及地址文本,进行规范化编码,建立该代码信息和地址文本的数据链表,生成编码数据。
本发明实施例的规范化编码就是用一个统一的数据结构链表对信息进行表示。
代码信息与地址文本的数据链表具体存储结构如图4所示:
如图4所示,该编码数据链表结构为:首先是一个是否采集到信息的总体标志结构,如果采集到信息的话这个结构会指向一个地址数组,其中每一个项指向一个信息大类,每一个大类有一个信息链表表示。因为每一类信息是不固定的,链表中的每一项描述一个信息,每一个信息包括一个信息描述和文件关联。
在步骤2中,隔离所述采集代码信息的计算机运行环境;将所述代码信息和编码数据从采集代码信息的计算机运行环境传送给隔离后的所述分析计算机程序文件是否包含恶意代码计算机运行环境,以及恶意代码特征码提取的计算机运行环境。
由于恶意代码的危害性,在计算机程序文件计算机运行环境中中,应当采取有效的方法把计算机恶意代码计算机运行环境和恶意代码分析与提取恶意代码特征码的计算机运行环境相隔离,以防止恶意代码的破坏行为的蔓延,才能有效防止恶意代码的破坏行为的蔓延,准确地进行根据代码信息和编码数据,进行恶意代码分析,进而提取出恶意代码特征码。
本发明中的环境隔离可以是通过网络隔离或者虚拟机隔离。
如图5A所示,网络隔离就是把两个不同的环境建立在两个不同的计算机***上,之间用安全的数据通道连接在一起;
如图5B所示,虚拟机隔离是把两个环境建立在一个计算机***上,通过虚拟机技术又虚拟了一个计算机***,两个环境互不干扰,达到防止恶意代码外泄的目的。
然后,将采集到的与恶意代码相关联的代码信息,以及编码数据通过安全的数据传输通道,例如利用新软盘拷贝,或者数据过滤的网络传输等,传送给隔离后的恶意代码分析和恶意代码特征码提取的计算机运行环境。
在步骤3中,将与恶意代码相关联的代码信息进行组合,与恶意代码知识库中的恶意代码知识比较匹配,分析该计算机程序文件是否包含计算机恶意代码。
恶意代码知识库是收集所有已知恶意代码的特征码及其运行时产生的代码信息,并提供恶意代码解释的一个***。因为在杀毒软件把一个计算机程序文件报告为恶意代码时,需要杀毒软件公司提供这样做的依据和合理性的解释,所以每个杀毒软件公司都会拥有一个自己的恶意代码知识库,其包括有恶意代码特征码库和信息库。现有技术中,恶意代码特征码库提供给用户用于杀毒,只管根据恶意代码特征码查杀计算机程序文件中的恶意代码,而信息库只用于解释,只是对不同的恶意代码提供恶意代码运行时产生的代码信息的描述,以及对恶意代码解释,即恶意代码知识,并不作为查杀恶意代码的工具,因此,这两个部分是两个不同的***。然而,恶意代码知识库中的恶意代码特征码库和信息库这两个部分在反恶意代码中是联系密切的。本发明把恶意代码特征码库和信息库建立紧密的联系,互相促进作为反恶意代码的手段,首先将可能包含恶意代码的计算机程序文件运行时产生的代码信息,与信息库中已知的恶意代码知识进行比较匹配,确认该代码信息是否为恶意代码运行时产生的代码信息,从而确认该计算机程序文件包含有恶意代码。
一般地,恶意代码知识库使用规范的语言对恶意代码知识进行描述,具体而言,对恶意代码知识,包括但不限于文件信息,进程信息,用户密码信息,***服务信息,网络共享和访问信息,***的注册信息等,恶意代码知识库都进行规范化的编辑,例如,XX1恶意代码程序开了X1端口,XX2恶意代码程序从http://www.XX2.com下载了XX2程序。
恶意代码知识库包括对多个恶意代码描述的集合,其中,每一个描述又是一个或者多个恶意代码知识,这些恶意代码知识是用文本描述的,可以很好地进行量化为需要的代码信息。
由于对恶意代码知识的描述语言是规范的,例如对不同的恶意代码特征码在描述相同的恶意代码知识时用的语言是相同的,量化时就可以把这些相同的语言符号化,变成计算机能看懂的语言,将文本描述的恶意代码知识量化,把相同的语言符号化,变成计算机能看懂的语言,是本领域的公知常识,本发明不再一一赘述。
如图6所示,将所述代码信息进行组合,与预设的恶意代码知识库中量化的恶意代码知识比较匹配,分析所述计算机程序文件是否包含恶意代码。
采集到的代码信息是一个最大化的结构的代码信息,包括所有能够采集到的那些与恶意代码相关联的代码信息,而根据采集到的代码信息进行组合而得到的信息组合结构是一个最小化的信息结构,其指出了能确定这个信息组合是否为恶意代码运行时产生的代码信息量的所需要的最小的信息组合。
该信息组合的方式可以是简单的排列组合,即将所有采集到的信息——排列加在一起,得到一个信息组合,例如上述Banker恶意代码的信息组合为:
文件信息:先把自己拷贝到***目录下,并删除自己原始文件;
***注册信息:把自己添加到***的自启动程序文件中;
进程信息:记录用户的键盘输入。
当然,该信息组合也可以是本领域技术人员可以得知的其他组合方式。如随机抽取其中代码信息的组合方式等。
同时,为了加快查找效率,该信息组合还包括加速符号串,用于表示采集到的代码信息并对代码信息进行分类。在每一种采集的代码信息下,设立一个总的加速符,表示是否采集到信息。例如,1表示有,0表示没有,然后把代码信息分成几个大类,如文件类,进程类等。类信息各有一个加速符,1表示这一大类有信息被收集到,0表示没有,然后还可以继续把类再分成更小的类。分类后即可得到一个整体的加速符号串。例如,文件信息为第一位,***注册信息为第二位,进程信息为第三位,其它的信息为后面的位,则上述的关于Banker恶意代码的例子的代码信息就会生成一个111000......的加速符号串。同样,对于恶意代码知识库中的恶意代码知识,也采用加速符号串进行分类。然后,通过查找与代码信息的加速符号串相同的恶意代码知识加速符串,再比较信息组合与恶意代码知识中的小类或具体的信息,这样比直接匹配具体信息,从而提高了效率。
这样,在进行恶意代码分析的过程中,就会提高比较匹配的速度。
恶意代码知识库中量化的恶意代码知识与代码信息的信息组合是包含与被包含的关系,两者间的比较匹配运算过程是一个逻辑“与”运算。当恶意代码知识与信息组合的运算结果相同就匹配,即如果恶意代码知识对恶意代码运行时产生的代码信息的描述与采集到的代码信息中的某个信息组合的代码信息描述相同,则匹配,判断确定产生该信息组合的代码为恶意代码,表明该计算机程序文件中包含恶意代码,即病毒,确认该代码信息是否为恶意代码产生的代码信息;运算结果不同就不匹配,表明该信息组合不是恶意代码产生的代码信息,如果所有可能信息组合都与恶意代码知识库中的恶意代码知识不相匹配,则表明该计算机程序文件不包含计算机恶意代码。另外,如果没有采集到任何与恶意代码相关联的代码信息,则表明计算机程序文件中不包含恶意代码。
较佳地,在比较匹配时,采用匹配优先原则,即只要有一个信息组合匹配就不进行后面的匹配,加快查找计算机恶意代码的速度。
与运算是计算机最基本最快的运算之一,比加法运算要快很多。
如果比较匹配成功,那么从恶意代码知识库中,就可以得到相应的恶意代码家族名,根据该恶意代码运行时产生的代码信息的描述,由恶意代码知识库量化的逆过程,就可以自动生成恶意代码知识库中的对该恶意代码描述的恶意代码知识,即该恶意代码运行时产生的代码信息,恶意代码名可以根据家族中的发现顺序进行排列,如a b c d......aa,ab,ac......。
利用这些采集到的代码信息的信息组合和恶意代码知识库量化的恶意代码知识进行比较匹配时,通过加速符号串,可以快速地确定查找的恶意代码,增强了查找恶意代码的准确性。同时,由于代码信息是文件内部运行时产生的结果的描述,可以降低了由于文件外部的变化而产生的复杂度。
在步骤4中,在确认所述计算机程序文件为包含恶意代码的计算机程序文件后,根据所述编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码。具体而言:
如图7所示,通过把信息组合与恶意代码知识库中量化的恶意代码知识进行比较匹配,确定该计算机程序文件包含恶意代码,即包含病毒后,根据信息组合就可以由编码数据而得到的产生该信息组合的全部地址文本,进而从地址文本得到与该代码信息相关联的文件代码的数据地址,通过对文件代码的数据地址中存储的计算机程序文件的文件代码的查找、提取与汇总,生成该恶意代码的恶意代码特征码。这样,通过信息组合,编码数据以及计算机程序文件三个资源进行查找、提取与汇总,就可以生成恶意代码特征码。
把恶意代码特征码和恶意代码进行关联的过程包括下列过程:
首先,利用信息组合,在编码数据中找到该信息组合的对应的地址文本,由地址文本得到与该信息组合相关联的文件代码的数据地址;
然后,把信息组合的文件代码的数据地址对应所在位置存储的二进制文件代码提取出来,可以用十六进制表示;
最后,把提取出的二进制文件代码和文件代码在文件中的相对数据地址位置汇总在一起生成恶意代码特征码。
这样,用户就可以根据恶意代码特征码在计算机程序文件中的相应位置查找恶意代码,找到就报为恶意代码,并进行相应的查杀恶意代码的处理。
本发明实施例根据与该代码信息匹配的恶意代码知识,恶意代码特征码库得到相应的恶意代码特征码,然后与已经确认包含恶意代码的计算机程序文件相关联,根据编码数据,确认这个包含恶意代码的计算机程序文件所包含的是什么恶意代码,是已知的恶意代码变种还是未知的恶意代码。如果是已知恶意代码变种,则查找其变种部分的恶意代码特征码并进行命名确认;如果是未知的恶意代码,则直接从计算机程序文件中提取恶意代码特征码并进行命名确认。
在步骤5中,在生成恶意代码特征码后,利用恶意代码特征码优化算法对所述恶意代码特征码进行优化,再存入恶意代码特征码库。具体而言:
优化算法是通过时间来换空间的算法,未优化的恶意代码特征码是文件相对数据地址和恶意代码的文件代码数据对的组合,采用优化算法后把恶意代码特征码中的文件相对地址变成一个范围,恶意代码特征码会相应的变短,这样一个恶意代码特征码可以替换掉文件相对地址在一个范围内的特征,通过恶意代码特征码优化算法优化,这样可以有效减小恶意代码特征码库的大小。
所述的优化算法可以是常用的优化算法,如约束变尺度法,混合离散综合型算法,约束法等。
恶意代码的文件代码数据不同于恶意代码特征码,恶意代码的文件代码数据是文件中的二进制字符串,而恶意代码特征码是恶意代码的文件代码数据和相对地址对的组合体,两者是包含与被包含的关系。
本发明的计算机恶意代码处理方法,通过规范化采集可能包含恶意代码(病毒)的计算机程序文件运行时产生的与恶意代码相关联的代码信息,并将得到代码信息与相关联的文件代码的数据地址进行编码,把恶意代码知识库的恶意代码知识和对计算机程序文件运行时产生的与恶意代码相关联的代码信息比较匹配,判断该计算机程序文件是否包含有恶意代码(病毒),其通过代码信息把恶意代码知识库中的恶意代码特征码库和信息库联系在一起,起到了一个纽带的功能,能够迅速分析判断计算机程序文件中是否包含恶意代码,增强判断程序文件中恶意代码的准确性,快速生成恶意代码特征码,提高了工作的效率,使恶意代码分析人员从重复的低效率恶意代码分析工作中得到摆脱。
同时,本发明还提供了与该方法相对应的一种计算机恶意代码处理***:
如图8所示,本发明的计算机恶意代码处理***包括信息采集模块810,隔离模块820,分析模块830,恶意代码特征码生成模块840。其中:
信息采集模块810,用于读取可能包含恶意代码的计算机程序文件并运行,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息。
隔离模块820,用于隔离信息采集模块的计算机运行环境。
分析模块830,用于将所述代码信息进行信息组合,与恶意代码知识库中的恶意代码知识比较匹配,分析所述计算机程序文件是否包含恶意代码。
恶意代码特征码生成模块840,用于在确认所述计算机程序文件为包含恶意代码的计算机程序文件后,根据所述编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码。
其中,信息采集模块810包括复制子模块811,信息采集子模块812,编码子模块813,传送子模块814。
复制子模块811,用于复制可能包含恶意代码的计算机程序文件,并运行所述计算机程序文件。
信息采集子模块812,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息。
信息采集子模块812通过动态跟踪和静态采集与恶意代码相关联的代码信息。
编码子模块813,用于将所述代码信息与所述计算机程序文件的文件代码的数据地址相对应,生成编码数据。
传送子模块814,用于传送所述代码信息和编码数据给分析模块830。
隔离模块820通过网络隔离或者虚拟机隔离隔离信息采集模块810的计算机运行环境,防止恶意代码的破坏行为的蔓延,有效防止恶意代码的破坏行为的蔓延
分析模块830根据编码数据中恶意代码程序文件运行时产生的各个代码信息,与恶意代码知识库中的恶意代码知识相比较匹配,确认该计算机程序文件中是否包含有恶意代码。
较佳地,利用这些采集到的代码信息组合和恶意代码知识库量化的恶意代码知识进行比较匹配时,通过加速符号串,可以快速地确定恶意代码,而且充分地把恶意代码特征码和恶意代码知识的描述相结合,增强了查找的准确性。
恶意代码特征码生成模块840包括查找子模块841,提取子模块842和汇总子模块843。其中:
查找子模块841,用于根据编码数据中代码信息与地址文本的关系,由相应的恶意代码的代码信息,查找到所述代码信息对应的地址文本,由所述地址文本得到与所述代码信息相对应的计算机程序文件的文件代码的数据地址;
提取子模块842,用于把所述数据地址对应所在位置存储的所述计算机程序文件的二进制文件代码提取出来。
汇总子模块843,用于把提取出的二进制文件代码,以及所述文件代码在所述计算机程序文件中的相对地址位置汇总在一起形成恶意代码特征码。
恶意代码特征码生成模块840根据信息组合由编码数据而得到的产生信息组合的全部地址文本,进而从地址文本得到与该代码信息相关联的文件代码的数据地址,通过对文件代码的数据地址中存储的文件代码的查找、提取与汇总,生成该恶意代码的特征码。这样,通过信息组合,编码数据以及计算机程序文件三个资源进行查找、提取与汇总,就可以生成恶意代码特征码
较佳地,本发明的计算机恶意代码处理***还包括优化模块850,用于在生成恶意代码特征码后,利用恶意代码特征码优化算法对所述恶意代码特征码进行优化,再存入恶意代码特征码库。
恶意代码特征生成模块840在生成恶意代码特征码后,在存入恶意代码特征码库之前利用恶意代码特征码优化算法对恶意代码特征码进行优化。
所述的优化算法可以是常用的优化算法,如约束变尺度法,混合离散综合型算法,约束法等。
本发明的计算机恶意代码处理方法和***,把代码信息与文件代码的数据地址进行对应,然后把这些代码信息和数据地址进行编码,通过代码信息组合与已知的恶意代码知识库中的已经收集恶意代码知识进行比较匹配,确定该文件是否包含恶意代码,即病毒,再通过已经确定的为恶意代码产生的代码信息组合,根据编码数据的地址,从该文件中查找出相应的文件代码,提取并汇总,准确自动提取该文件已经感染的计算机恶意代码特征码。其比由人工的基于单一文件的处理方法提高了效率,对于相似的同一家族的恶意代码的处理更加高效,使恶意代码分析人员从重复的低效率恶意代码单一文件的分析工作中摆脱出来,快速准确地提取恶意代码特征码,减少了计算机***的开销,也不需要建立所有正常文件的自体文件库,提高反恶意代码工作的效率。
以上对本发明的具体实施例进行了描述和说明,这些实施例应被认为其只是示例性的,并不用于对本发明进行限制,本发明应根据所附的权利要求进行解释。
Claims (27)
1、一种计算机恶意代码处理方法,其特征在于,包括下列步骤:
步骤A,读取可能包含恶意代码的计算机程序文件并运行,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息,将所述代码信息与所述计算机程序文件的文件代码的数据地址相对应,生成编码数据;
步骤B,将所述代码信息进行信息组合,与恶意代码知识库中的恶意代码知识比较匹配,分析所述计算机程序文件是否包含恶意代码;
步骤C,在确认所述计算机程序文件包含恶意代码后,根据所述编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码。
2、根据权利要求1所述的计算机恶意代码处理方法,其特征在于,所述步骤A与步骤B之间还包括下列步骤:
隔离采集代码信息的计算机运行环境。
3、根据权利要求1或2所述的计算机恶意代码处理方法,其特征在于,所述读取可能包含恶意代码的计算机程序文件并运行,是:
复制可能包含恶意代码的计算机程序文件,并运行所述计算机程序文件。
4、根据权利要求1所述的计算机恶意代码处理方法,其特征在于,所述将代码信息与计算机程序文件的文件代码的数据地址相对应,是:
根据所述代码信息,记录与所述代码信息相对应的计算机程序文件的文件代码的数据地址,并将所述数据地址转化为地址文本,建立所述代码信息与数据地址的关联。
5、根据权利要求4所述的计算机恶意代码处理方法,其特征在于,所述生成编码数据,是:
根据所述代码信息,以及与所述代码信息相对应的地址文本,建立所述代码信息与地址文本的数据链表,生成所述代码信息的编码数据。
6、根据权利要求5所述的计算机恶意代码处理方法,其特征在于,所述步骤A和步骤B之间还包括下列步骤:
传送所述代码信息和编码数据给所述分析计算机程序文件是否包含恶意代码的计算机运行环境,以及恶意代码特征码提取的计算机运行环境。
7、根据权利要求1所述的计算机恶意代码处理方法,其特征在于,所述根据编码数据中代码信息与地址文本的关系,在所述计算机程序文件中提取文件代码,是:
根据编码数据中代码信息与地址文本的关系,由相应的恶意代码的代码信息,查找到所述代码信息对应的地址文本,由所述地址文本得到与所述代码信息相对应的计算机程序文件的文件代码的数据地址;
然后把所述数据地址对应所在位置存储的所述计算机程序文件的二进制文件代码提取出来。
8、根据权利要求7所述的计算机恶意代码处理方法,其特征在于,所述生成恶意代码特征码,是:
把提取出的二进制文件代码,以及所述文件代码在所述计算机程序文件中的相对地址位置汇总在一起形成恶意代码特征码。
9、根据权利要求1所述的计算机恶意代码处理方法,其特征在于,所述步骤C之后还包括下列步骤:
步骤D,在生成恶意代码特征码后,利用恶意代码特征码优化算法对所述恶意代码特征码进行优化,再存入恶意代码特征码库。
10、根据权利要求1所述的计算机恶意代码处理方法,其特征在于,所述信息组合包括加速符号串,用于表示采集到的代码信息并对代码信息进行分类。
11、根据权利要求10所述的计算机恶意代码处理方法,其特征在于,所述恶意代码知识为量化的恶意代码知识,利用加速符号串进行分类。
12、根据权利要求1所述的计算机恶意代码处理方法,其特征在于,所述与恶意代码相关联的代码信息是与恶意代码相关联的文件信息、进程信息、用户密码信息、***服务信息、网络共享和访问信息、***的注册信息中的一种或者一种以上的组合。
13、根据权利要求1所述的计算机恶意代码处理方法,其特征在于,所述采集为动态跟踪采集和静态采集。
14、根据权利要求2所述的计算机恶意代码处理方法,其特征在于,隔离为网络隔离或者虚拟机隔离。
15、一种计算机恶意代码处理***,其特征在于,包括:信息采集模块,分析模块,和恶意代码特征码生成模块,其中:
信息采集模块,用于读取可能包含恶意代码的计算机程序文件并运行,采集所述计算机程序文件运行时的与恶意代码相关联的代码信息,将所述代码信息与所述计算机程序文件的文件代码的数据地址相对应,生成编码数据;
分析模块,用于将所述代码信息进行信息组合,与恶意代码知识库中的恶意代码知识比较匹配,分析所述计算机程序文件是否包含恶意代码;
恶意代码特征码生成模块,用于在确认所述计算机程序文件包含恶意代码后,根据所述编码数据中代码信息与数据地址的关系,在所述计算机程序文件中提取文件代码,并生成恶意代码特征码。
16、根据权利要求15所述的计算机恶意代码处理***,其特征在于,还包括隔离模块,用于隔离信息采集模块的计算机运行环境。
17、根据权利要求15或16所述的计算机恶意代码处理***,其特征在于,所述信息采集模块包括复制子模块和信息采集子模块,其中:
复制子模块,用于复制可能包含恶意代码的计算机程序文件,并运行所述计算机程序文件;
信息采集子模块,用于采集所述计算机程序文件运行时的与恶意代码相关联的代码信息。
18、根据权利要求15或16所述的计算机恶意代码处理***,其特征在于,所述信息采集模块还包括编码子模块,用于将所述代码信息与所述计算机程序文件的文件代码的数据地址相对应,生成编码数据。
19、根据权利要求18所述的计算机恶意代码处理***,其特征在于,所述信息采集模块还包括传送子模块,用于传送所述代码信息和编码数据给分析模块。
20、根据权利要求15所述的计算机恶意代码处理***,其特征在于,所述恶意代码特征码生成模块包括查找子模块和提取子模块,其中:
查找子模块,用于根据编码数据中代码信息与地址文本的关系,由相应的恶意代码的代码信息,查找到所述代码信息对应的地址文本,由所述地址文本得到与所述代码信息相对应的计算机程序文件的文件代码的数据地址;
提取子模块,用于把所述数据地址对应所在位置存储的所述计算机程序文件的二进制文件代码提取出来。
21、根据权利要求20所述的计算机恶意代码处理***,其特征在于,所述恶意代码特征码生成模块还包括汇总子模块,用于把提取出的二进制文件代码,以及所述文件代码在所述计算机程序文件中的相对地址位置汇总在一起形成恶意代码特征码。
22、根据权利要求15所述的计算机恶意代码处理***,其特征在于,还包括优化模块,用于在生成恶意代码特征码后,利用恶意代码特征码优化算法对所述恶意代码特征码进行优化,再存入恶意代码特征码库。
23、根据权利要求15所述的计算机恶意代码处理***,其特征在于,所述信息组合包括加速符号串,用于表示采集到的代码信息并对代码信息进行分类。
24、根据权利要求23所述的计算机恶意代码处理***,其特征在于,所述恶意代码知识为量化的恶意代码知识,利用加速符号串进行分类。
25、根据权利要求15所述的计算机恶意代码处理***,其特征在于,所述与恶意代码相关联的代码信息是与恶意代码相关联的文件信息、进程信息、用户密码信息、***服务信息、网络共享和访问信息、***的注册信息中的一种或者一种以上的组合。
26、根据权利要求15所述的计算机恶意代码处理***,其特征在于,所述采集为动态跟踪采集和静态采集。
27、根据权利要求16所述的计算机恶意代码处理***,其特征在于,所述隔离为网络隔离或者虚拟机隔离。
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CNB2006101136644A CN100485703C (zh) | 2006-10-11 | 2006-10-11 | 一种计算机恶意代码处理方法和*** |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CNB2006101136644A CN100485703C (zh) | 2006-10-11 | 2006-10-11 | 一种计算机恶意代码处理方法和*** |
Publications (2)
Publication Number | Publication Date |
---|---|
CN101162485A CN101162485A (zh) | 2008-04-16 |
CN100485703C true CN100485703C (zh) | 2009-05-06 |
Family
ID=39297409
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CNB2006101136644A Active CN100485703C (zh) | 2006-10-11 | 2006-10-11 | 一种计算机恶意代码处理方法和*** |
Country Status (1)
Country | Link |
---|---|
CN (1) | CN100485703C (zh) |
Families Citing this family (18)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN101593253B (zh) * | 2009-06-22 | 2012-04-04 | 成都市华为赛门铁克科技有限公司 | 一种恶意程序判断方法及装置 |
CN101989320B (zh) * | 2010-10-12 | 2013-09-25 | 李彬杰 | 计算机文件处理方法 |
CN102012987B (zh) * | 2010-12-02 | 2013-03-13 | 李清宝 | 自动二进制恶意代码行为分析*** |
CN102254120B (zh) * | 2011-08-09 | 2014-05-21 | 华为数字技术(成都)有限公司 | 恶意代码的检测方法、***及相关装置 |
CN102663286B (zh) * | 2012-03-21 | 2015-05-06 | 北京奇虎科技有限公司 | 一种病毒apk的识别方法及装置 |
CN103369555B (zh) * | 2012-04-01 | 2017-03-01 | 西门子公司 | 一种用于检测手机病毒的方法和装置 |
CN103268443B (zh) * | 2012-12-27 | 2016-08-10 | 武汉安天信息技术有限责任公司 | 一种基于符号的Android恶意代码检测方法及*** |
CN103428212A (zh) * | 2013-08-08 | 2013-12-04 | 电子科技大学 | 一种恶意代码检测及防御的方法 |
CN103902905B (zh) * | 2013-12-17 | 2017-02-15 | 哈尔滨安天科技股份有限公司 | 基于软件结构聚类的恶意代码生成器识别方法及*** |
CN103679034B (zh) * | 2013-12-26 | 2016-04-13 | 南开大学 | 一种基于本体的计算机病毒分析***及其特征提取方法 |
CN105975855B (zh) * | 2015-08-28 | 2019-07-23 | 武汉安天信息技术有限责任公司 | 一种基于apk证书相似性的恶意代码检测方法及*** |
CN105337994B (zh) * | 2015-11-26 | 2018-09-14 | 晶赞广告(上海)有限公司 | 基于网络流量的恶意代码检测方法及装置 |
CN105528543A (zh) * | 2015-12-23 | 2016-04-27 | 北京奇虎科技有限公司 | 远程杀毒的方法、客户端、控制台及*** |
CN105740711B (zh) * | 2016-01-29 | 2018-08-31 | 哈尔滨工业大学深圳研究生院 | 一种基于内核对象行为本体的恶意代码检测方法及*** |
CN105760762B (zh) * | 2016-03-10 | 2018-05-22 | 华中科技大学 | 一种嵌入式处理器的未知恶意代码检测方法 |
CN109284604A (zh) * | 2018-09-10 | 2019-01-29 | 中国联合网络通信集团有限公司 | 一种基于虚拟机的软件行为分析方法和*** |
CN109800574A (zh) * | 2018-12-12 | 2019-05-24 | 中国人民公安大学 | 基于密码算法分析的计算机病毒检测方法及*** |
CN109857481B (zh) * | 2018-12-29 | 2022-12-02 | 医渡云(北京)技术有限公司 | 一种数据采集方法、装置、可读介质及电子设备 |
-
2006
- 2006-10-11 CN CNB2006101136644A patent/CN100485703C/zh active Active
Also Published As
Publication number | Publication date |
---|---|
CN101162485A (zh) | 2008-04-16 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN100485703C (zh) | 一种计算机恶意代码处理方法和*** | |
Gao et al. | Enabling efficient cyber threat hunting with cyber threat intelligence | |
Zeng et al. | WATSON: Abstracting Behaviors from Audit Logs via Aggregation of Contextual Semantics. | |
CN106557695B (zh) | 一种恶意应用检测方法和*** | |
Caliskan et al. | When coding style survives compilation: De-anonymizing programmers from executable binaries | |
US20020162015A1 (en) | Method and system for scanning and cleaning known and unknown computer viruses, recording medium and transmission medium therefor | |
Alhuzali et al. | Chainsaw: Chained automated workflow-based exploit generation | |
CN111639337B (zh) | 一种面向海量Windows软件的未知恶意代码检测方法及*** | |
CN106778268A (zh) | 恶意代码检测方法与*** | |
CN111104579A (zh) | 一种公网资产的识别方法、装置及存储介质 | |
CN113076538B (zh) | 一种移动应用apk文件内嵌隐私政策提取方法 | |
Naidu et al. | A syntactic approach for detecting viral polymorphic malware variants | |
CN112688966A (zh) | webshell检测方法、装置、介质和设备 | |
Bai et al. | A malware and variant detection method using function call graph isomorphism | |
Zhang et al. | A php and jsp web shell detection system with text processing based on machine learning | |
Chaumette et al. | Automated extraction of polymorphic virus signatures using abstract interpretation | |
Pirch et al. | Tagvet: Vetting malware tags using explainable machine learning | |
CN103440454B (zh) | 一种基于搜索引擎关键词的主动式蜜罐检测方法 | |
Gray et al. | Identifying authorship style in malicious binaries: techniques, challenges & datasets | |
CN101594234B (zh) | 互联网加密安全通讯控制方法 | |
Alhawi et al. | Evaluation and application of two fuzzing approaches for security testing of IoT applications | |
KR20110129020A (ko) | 코드 분석기법을 이용한 악성코드 차단 시스템 및 방법 | |
CN117056924A (zh) | 一种基于恶意行为序列特征建模的恶意软件包检测方法 | |
WO2010149986A2 (en) | A method, a computer program and apparatus for analysing symbols in a computer | |
Tan et al. | Attack provenance tracing in cyberspace: Solutions, challenges and future directions |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
C14 | Grant of patent or utility model | ||
GR01 | Patent grant | ||
ASS | Succession or assignment of patent right |
Owner name: FORTINET INC. Free format text: FORMER OWNER: FORTINET INFORMATION TECHNOLOGY (BEIJING) CO., LTD. Effective date: 20091002 |
|
C41 | Transfer of patent application or patent right or utility model | ||
TR01 | Transfer of patent right |
Effective date of registration: 20091002 Address after: California, USA Patentee after: Fortinet, Inc. Address before: Room 507, digital media building, No. 7 information road, Beijing, Haidian District Patentee before: Fortinet,Inc. |