CN102867146B - 一种防止计算机病毒反复感染***的方法及*** - Google Patents

一种防止计算机病毒反复感染***的方法及*** Download PDF

Info

Publication number
CN102867146B
CN102867146B CN201210350752.1A CN201210350752A CN102867146B CN 102867146 B CN102867146 B CN 102867146B CN 201210350752 A CN201210350752 A CN 201210350752A CN 102867146 B CN102867146 B CN 102867146B
Authority
CN
China
Prior art keywords
module
malice
kernel
driven
record
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201210350752.1A
Other languages
English (en)
Other versions
CN102867146A (zh
Inventor
陶智飞
李容
叶进
陈睿
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhuhai Baoqu Technology Co Ltd
Original Assignee
Beijing Kingsoft Internet Security Software Co Ltd
Shell Internet Beijing Security Technology Co Ltd
Zhuhai Juntian Electronic Technology Co Ltd
Beijing Kingsoft Internet Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Kingsoft Internet Security Software Co Ltd, Shell Internet Beijing Security Technology Co Ltd, Zhuhai Juntian Electronic Technology Co Ltd, Beijing Kingsoft Internet Science and Technology Co Ltd filed Critical Beijing Kingsoft Internet Security Software Co Ltd
Priority to CN201210350752.1A priority Critical patent/CN102867146B/zh
Publication of CN102867146A publication Critical patent/CN102867146A/zh
Application granted granted Critical
Publication of CN102867146B publication Critical patent/CN102867146B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Landscapes

  • Debugging And Monitoring (AREA)
  • Storage Device Security (AREA)

Abstract

本发明属于计算机防御技术领域,具体公开了一种防止计算机病毒反复感染***的方法及***。该方法包括以下步骤:扫描并清除计算机中存在的所述计算机病毒的恶意模块,并记录被清除的恶意模块的信息;根据所述被清除的恶意模块的信息生成拦截对象列表并传输给内核驱动;通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块。本发明***所对应的模块包括病毒扫描清除和记录模块、拦截列表生成模块、以及恶意模块再生拦截模块。本发明可以有效的清除具有再生能力的恶意病毒;同时,对于企业级的服务器,可以在不重启***的情况下,就能够有效的消除病毒的危害,保证数据和服务的安全。

Description

一种防止计算机病毒反复感染***的方法及***
技术领域
本发明属于计算机防御技术领域,具体涉及一种防止计算机病毒反复感染***的方法及***。
背景技术
计算机病毒,是编制或者在计算机程序中***的破坏计算机功能或者破坏数据,影响计算机使用并且能够自我复制的一组计算机指令或者程序代码,具有破坏性,复制性和传染性。它一直是计算机安全领域的一个重要话题,随着反病毒技术的发展,计算机病毒也发展了各种技术来对抗反病毒产品。其中,一种对抗反病毒产品的重要方法就是通过将恶意代码注入到***重要进程中,这部分代码在***进程空间中执行。
所谓进程,是指在内存中正在运行的一个应用程序,进程是程序在计算机上的一次执行活动。当你运行一个程序,你就启动了一个进程。显然,程序是死的(静态的),进程是活的(动态的)。进程可以分为***进程和用户进程,凡是用于完成操作***的各种功能的进程就是***进程,它们就是处于运行状态下的操作***本身;用户进程就是所有由你启动的进程。
如果计算机病毒将恶意代码注入到***重要进程中,就很难安全可靠的从内存中将其清除,因为关闭***进程将直接影响***正常运行。由于很难安全可靠的从内存中清除其恶意代码,目前反病毒产品的应对策略是先清除该病毒对应的其他恶意模块,包括文件、注册表和恶意进程等,然后重启***来达到最终清除病毒的目的。
但是这种清除策略的有效性很差,主要原因在于:计算机病毒往往可以通过注入到***进程中的恶意代码对其他恶意模块进行监控,当发现其他病毒模块被清除,会重新释放出这些模块和进程,从而实现再生的能力。而且对于企业用户而言,某些重要服务器的重启会带来严重的业务中断,因此急需一种更为有效的清除方法。
发明内容
为了解决上述问题,本发明的目的在于提供一种防止计算机病毒反复感染***的方法及***,以有效防止被查杀后的病毒再生。
为了实现上述发明目的,本发明采用的技术方案如下:
一种防止计算机病毒反复感染***的方法,包括以下步骤:
扫描并清除计算机中存在的所述计算机病毒的恶意模块,并记录被清除的恶意模块的信息;
根据所述被清除的恶意模块的信息生成拦截对象列表并传输给内核驱动;
通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块。
进一步的,所述恶意模块包括文件、注册表、以及进程;所述记录被清除的恶意模块的信息,具体是:
记录所述文件对应的完整的文件路径名;
记录所述注册表的路径(key)和键值(Value);以及
记录所述进程所对应文件的完整的文件路径名。
进一步的,通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块,具体是:
通过所述内核驱动监控对文件、注册表和进程的所有操作,一旦发现***作对象是记录在拦截列表中的恶意模块时,则阻止对该对象的操作。
进一步的,在通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块的同时,还包括以下步骤:
通过内核驱动拦截恶意代码注入的***进程进行的网络连接操作。
进一步的,在所述通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块之后,还包括以下步骤:
通过内核驱动将所述拦截对象列表注册到***的关机回调程序中,以阻止在关机过程中因过早退出而导致计算机病毒的恶意模块再生;以及
***再次启动时将所述拦截列表删除。
一种防止计算机病毒反复感染***的***,包括以下模块:
病毒扫描清除和记录模块,用于扫描并清除计算机中存在的所述计算机病毒的恶意模块,并记录被清除的恶意模块的信息;
拦截列表生成模块,用于根据所述被清除的恶意模块的信息生成拦截对象列表并传输给内核驱动;
恶意模块再生拦截模块,用于通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块。
进一步的,所述恶意模块包括文件、注册表、以及进程;所述记录被清除的恶意模块的信息,具体是:
记录所述文件对应的完整的文件路径名;
记录所述注册表的路径(key)和键值(Value);以及
记录所述进程所对应文件的完整的文件路径名。
进一步的,所述恶意模块再生拦截模块,具体是通过所述内核驱动监控对文件、注册表和进程的所有操作,一旦发现***作对象是记录在拦截列表中的恶意模块时,则阻止对该对象的操作。
进一步的,还包括网络连接拦截模块,用于通过内核驱动拦截恶意代码注入的***进程进行的网络连接操作。
进一步的,还包括防止关机再生模块,用于通过内核驱动将所述拦截对象列表注册到***的关机回调程序中,以阻止在关机过程中因过早退出而导致计算机病毒的恶意模块再生;以及拦截列表自动失效模块,用于***再次启动时将所述拦截列表删除。
本发明将将计算机病毒的恶意模块进行扫描和清除的同时,将其记录在拦截对象列表中,最后通过内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块。
因此,本发明可以有效的清除具有再生能力的恶意病毒;同时,对于企业级的服务器,可以在不重启***的情况下,就能够有效的消除病毒的危害,保证数据和服务的安全。
附图说明
此附图说明所提供的图片用来辅助对本发明的进一步理解,构成本申请的一部分,并不构成对本发明的不当限定,在附图中:
图1是本发明方法对应的流程图;
图2是本发明***对应的框图。
具体实施方式
如图1所示,本实施例公开了一种防止计算机病毒反复感染***的方法,包括以下步骤:
Step1:扫描并清除计算机中存在的所述计算机病毒的恶意模块,并记录被清除的恶意模块的信息;所述恶意模块包括文件、注册表、以及进程,所述记录被清除的恶意模块的信息,具体是:记录所述文件对应的完整的文件路径名;记录所述注册表的路径(key)和键值(Value);以及记录所述进程所对应文件的完整的文件路径名。具体的扫描和清除方法可以采用现有的很多常规方法,比如建立一个病毒数据库,扫描***中的所有文件、注册列表、以及进程是否在其中,如在其中则将其清除。比如:计算机病毒对应的恶意模块是A文件,删除A文件后就将A文件对应的完整的文件路径名记录下来。
Step2:根据所述被清除的恶意模块的信息生成拦截对象列表并传输给内核驱动;比如:第1步骤中记录的恶意模块包括文件A、注册表B、以及用户进程C,此步骤就将第1步骤中记录的三则对应的信息写进一拦截对象列表中。
Step3A:通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块,具体是:通过所述内核驱动监控对文件、注册表和进程的所有操作,一旦发现***作对象是记录在拦截列表中的恶意模块时,则阻止对该对象的操作。比如:拦截对象列表中记录了文件A、注册表B、以及用户进程C,当内核驱动发现有其他程序或者进程对其进行删除、复制、创建、修改等操作时,则内核驱动就阻止对对他们的这些操作。
Step3B:通过内核驱动拦截恶意代码注入的***进程进行的网络连接操作,可进一步防止恶意代码注入的***进程在网络上再次下载恶意模块。
Step4:通过内核驱动将所述拦截对象列表注册到***的关机回调程序中,以阻止在关机过程中因过早退出而导致计算机病毒的恶意模块再生;因为,在关机过程中过早停止内核驱动的监控动作,将给病毒再生机会。
Step5:***再次启动时将所述拦截列表删除;因为病毒清除后,就没有必要一直阻止其被感染的文件操作。
如图2所示,本实施例还公开了一种与上述方法对应的***,它包括以下模块:
病毒扫描清除和记录模块1,用于扫描并清除计算机中存在的所述计算机病毒的恶意模块,并记录被清除的恶意模块的信息;所述恶意模块包括文件、注册表、以及进程;所述记录被清除的恶意模块的信息,具体是:记录所述文件对应的完整的文件路径名;记录所述注册表的路径(key)和键值(Value);以及记录所述进程所对应文件的完整的文件路径名;
拦截列表生成模块2,用于根据所述被清除的恶意模块的信息生成拦截对象列表并传输给内核驱动;
恶意模块再生拦截模块3,用于通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块,具体是:通过所述内核驱动监控对文件、注册表和进程的所有操作,一旦发现***作对象是记录在拦截列表中的恶意模块时,则阻止对该对象的操作;
网络连接拦截模块4,用于通过内核驱动拦截恶意代码注入的***进程进行的网络连接操作;
防止关机再生模块5,用于通过内核驱动将所述拦截对象列表注册到***的关机回调程序中,以阻止在关机过程中因过早退出而导致计算机病毒的恶意模块再生;以及
拦截列表自动失效模块6,用于***再次启动时将所述拦截列表删除。
本发明中所述的内核,是一个操作***的核心,内核驱动负责管理***的进程、内存、设备驱动程序、文件和网络***,决定着***的性能和稳定性。
本发明实质是通过内核驱动和用户层的病毒检测及清除模块配合实现,为了清除这种具有代码注入和再生能力的恶意病毒,本发明通过内核驱动实现对于文件、注册表、网络和进程操作的监控;当发现恶意模块(文件、注册表或者进程)并对其进行清除后,将所做的清除操作记录下来并传递给内核驱动,自动生成拦截列表,通过内核驱动阻止其他进程再次创建这些被清除的模块;同时被恶意代码注入的***进程进行的可疑网络连接会被拦截。
同时,内核驱动通过注册***的关机回调,避免在关机过程中过早退出而导致病毒恶意驱动有机会再生。并且,***再次启动后,上次的拦截列表自动失效。
本发明可以有效的清除具有再生能力的恶意病毒;对于企业级的服务器,可以在不重启***的情况下,就能够有效的消除病毒的危害,保证数据和服务的安全。
以上详细描述了本发明的较佳具体实施例,应当理解,本领域的普通技术无需创造性劳动就可以根据本发明的构思做出诸多修改和变化。因此,凡本技术领域中技术人员依本发明构思在现有技术基础上通过逻辑分析、推理或者根据有限的实验可以得到的技术方案,均应该在由本权利要求书所确定的保护范围之中。

Claims (6)

1.一种防止计算机病毒反复感染***的方法,其特征在于包括以下步骤:
扫描并清除计算机中存在的所述计算机病毒的恶意模块,并记录被清除的恶意模块的信息;
根据所述被清除的恶意模块的信息生成拦截对象列表并传输给内核驱动;
通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块;
通过内核驱动将所述拦截对象列表注册到***的关机回调程序中,以阻止在关机过程中因过早退出而导致计算机病毒的恶意模块再生;以及
***再次启动时将所述拦截列表删除;
其中,所述恶意模块包括文件、注册表、以及进程;
所述记录被清除的恶意模块的信息,具体是:
记录所述文件对应的完整的文件路径名;
记录所述注册表的路径和键值;以及
记录所述进程所对应文件的完整的文件路径名。
2.根据权利要求1所述的防止计算机病毒反复感染***的方法,其特征在于,通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块,具体是:
通过所述内核驱动监控对文件、注册表和进程的所有操作,一旦发现***作对象是记录在拦截列表中的恶意模块时,则阻止对该对象的操作。
3.根据权利要求1所述的防止计算机病毒反复感染***的方法,其特征在于,在通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块的同时,还包括以下步骤:
通过内核驱动拦截恶意代码注入的***进程进行的网络连接操作。
4.一种防止计算机病毒反复感染***的***,其特征在于包括以下模块:
病毒扫描清除和记录模块,用于扫描并清除计算机中存在的所述计算机病毒的恶意模块,并记录被清除的恶意模块的信息;
拦截列表生成模块,用于根据所述被清除的恶意模块的信息生成拦截对象列表并传输给内核驱动;
恶意模块再生拦截模块,用于通过所述内核驱动阻止其他进程再次创建所述拦截对象列表中记录的恶意模块;
所述恶意模块包括文件、注册表、以及进程;
所述记录被清除的恶意模块的信息,具体是:
记录所述文件对应的完整的文件路径名;
记录所述注册表的路径和键值;以及
记录所述进程所对应文件的完整的文件路径名。
5.根据权利要求4所述的防止计算机病毒反复感染***的***,其特征在于:
所述恶意模块再生拦截模块,具体是通过所述内核驱动监控对文件、注册表和进程的所有操作,一旦发现***作对象是记录在拦截列表中的恶意模块时,则阻止对该对象的操作。
6.根据权利要求4所述的防止计算机病毒反复感染***的***,其特征在于还包括:
网络连接拦截模块,用于通过内核驱动拦截恶意代码注入的***进程进行的网络连接操作。
CN201210350752.1A 2012-09-18 2012-09-18 一种防止计算机病毒反复感染***的方法及*** Active CN102867146B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201210350752.1A CN102867146B (zh) 2012-09-18 2012-09-18 一种防止计算机病毒反复感染***的方法及***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201210350752.1A CN102867146B (zh) 2012-09-18 2012-09-18 一种防止计算机病毒反复感染***的方法及***

Publications (2)

Publication Number Publication Date
CN102867146A CN102867146A (zh) 2013-01-09
CN102867146B true CN102867146B (zh) 2016-01-27

Family

ID=47446013

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201210350752.1A Active CN102867146B (zh) 2012-09-18 2012-09-18 一种防止计算机病毒反复感染***的方法及***

Country Status (1)

Country Link
CN (1) CN102867146B (zh)

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103679031B (zh) * 2013-12-12 2017-10-31 北京奇虎科技有限公司 一种文件病毒免疫的方法和装置
CN105631329B (zh) * 2015-12-21 2019-05-10 北京金山安全管理***技术有限公司 Virut感染型病毒免疫方法及其装置
CN106203118B (zh) * 2016-07-13 2019-01-22 北京金山安全软件有限公司 修改***标记闪烁时间的处理方法、装置及电子设备
TWI647585B (zh) * 2017-06-27 2019-01-11 關隆股份有限公司 Malicious virus protection method
US10503898B2 (en) 2017-10-03 2019-12-10 Grand Mate Co., Ltd. Method for defending against malware
CN107612933A (zh) * 2017-10-20 2018-01-19 广东岭南职业技术学院 一种新型计算机网络病毒防御***
CN109214186A (zh) * 2018-08-29 2019-01-15 厦门快快网络科技有限公司 一种基于内核层的拦截木马病毒***及方法
CN110851831B (zh) * 2019-11-12 2023-04-28 腾讯科技(深圳)有限公司 病毒处理方法、装置、计算机设备及计算机可读存储介质
CN110717183B (zh) * 2019-12-09 2020-10-27 深信服科技股份有限公司 病毒查杀方法、装置、设备及存储介质
CN112784270A (zh) * 2021-01-18 2021-05-11 仙境文化传媒(武汉)有限公司 一种使用注解方式加载代码文件的***及方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7917955B1 (en) * 2005-01-14 2011-03-29 Mcafee, Inc. System, method and computer program product for context-driven behavioral heuristics
CN102194072A (zh) * 2011-06-03 2011-09-21 奇智软件(北京)有限公司 一种处理计算机病毒的方法、装置及***
CN102629310A (zh) * 2012-02-29 2012-08-08 卡巴斯基实验室封闭式股份公司 用于保护计算机***免遭恶意对象活动侵害的***和方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7917955B1 (en) * 2005-01-14 2011-03-29 Mcafee, Inc. System, method and computer program product for context-driven behavioral heuristics
CN102194072A (zh) * 2011-06-03 2011-09-21 奇智软件(北京)有限公司 一种处理计算机病毒的方法、装置及***
CN102629310A (zh) * 2012-02-29 2012-08-08 卡巴斯基实验室封闭式股份公司 用于保护计算机***免遭恶意对象活动侵害的***和方法

Also Published As

Publication number Publication date
CN102867146A (zh) 2013-01-09

Similar Documents

Publication Publication Date Title
CN102867146B (zh) 一种防止计算机病毒反复感染***的方法及***
US9838415B2 (en) Fight-through nodes for survivable computer network
US10032025B1 (en) Behavior-based ransomware detection
US9473526B2 (en) Fight-through nodes for survivable computer network
US9166997B1 (en) Systems and methods for reducing false positives when using event-correlation graphs to detect attacks on computing systems
EP3712793B1 (en) Integrity assurance during runtime
CN100504899C (zh) 一种软件看门狗***和方法
US20110173698A1 (en) Mitigating false positives in malware detection
JP2006178936A (ja) 仮想マシンまたは強化オペレーティングシステムなどにおけるコンピュータのセキュリティ管理
US8402539B1 (en) Systems and methods for detecting malware
WO2011050089A2 (en) Preventing and responding to disabling of malware protection software
US10007785B2 (en) Method and apparatus for implementing virtual machine introspection
CN101436234A (zh) 一种确保操作环境安全的***和方法
KR20190121483A (ko) 화이트리스트 기반 악성코드 차단 장치 및 방법
CN103593616A (zh) 企业信息网络u盘病毒防控***和方法
KR101500512B1 (ko) 데이터 프로세싱 시스템 보안 장치와 보안방법
WO2021217652A1 (zh) 一种移动存储设备的控制方法、装置和计算机可读介质
US10848463B2 (en) Listen mode for machine whitelisting mechanisms
CN115086081B (zh) 一种蜜罐防逃逸方法及***
CN110889112A (zh) 一种基于白名单机制的软件运行统一控制***及方法
CN111624869B (zh) 自动感知攻击行为方法、***及以太网交换机
Daghmehchi Firoozjaei et al. Parent process termination: an adversarial technique for persistent malware
CN105224871A (zh) 一种病毒清除方法及装置
Huang et al. Identifying HID-based attacks through process event graph using guilt-by-association analysis
RU2739832C1 (ru) Система и способ выявления измененных системных файлов для проверки на вредоносность в облачном сервисе

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
ASS Succession or assignment of patent right

Owner name: KINGSOFT CORPORATION LIMITED BEIKE INTERNET (BEIJI

Effective date: 20130503

C41 Transfer of patent application or patent right or utility model
TA01 Transfer of patent application right

Effective date of registration: 20130503

Address after: Jingshan Hill Road, Lane 519015 Lianshan Jida Guangdong province Zhuhai City No. 8

Applicant after: ZHUHAI JUNTIAN ELECTRONIC TECHNOLOGY Co.,Ltd.

Applicant after: BEIJING KINGSOFT INTERNET SECURITY SOFTWARE Co.,Ltd.

Applicant after: SHELL INTERNET (BEIJING) SECURITY TECHNOLOGY Co.,Ltd.

Applicant after: BEIJING KINGSOFT NETWORK TECHNOLOGY Co.,Ltd.

Address before: Jingshan Hill Road, Lane 519015 Lianshan Jida Guangdong province Zhuhai City No. 8

Applicant before: Zhuhai Juntian Electronic Technology Co.,Ltd.

C14 Grant of patent or utility model
GR01 Patent grant
CP03 Change of name, title or address
CP03 Change of name, title or address

Address after: 519070 Guangdong city of Zhuhai Province town Harbour Road Technology Road No. 10 building six layer 601F

Co-patentee after: BEIJING KINGSOFT INTERNET SECURITY SOFTWARE Co.,Ltd.

Patentee after: ZHUHAI JUNTIAN ELECTRONIC TECHNOLOGY Co.,Ltd.

Co-patentee after: Beijing Cheetah Mobile Technology Co.,Ltd.

Co-patentee after: Beijing Cheetah Network Technology Co.,Ltd.

Address before: Jingshan Hill Road, Lane 519015 Lianshan Jida Guangdong province Zhuhai City No. 8

Co-patentee before: BEIJING KINGSOFT INTERNET SECURITY SOFTWARE Co.,Ltd.

Patentee before: Zhuhai Juntian Electronic Technology Co.,Ltd.

Co-patentee before: SHELL INTERNET (BEIJING) SECURITY TECHNOLOGY Co.,Ltd.

Co-patentee before: BEIJING KINGSOFT NETWORK TECHNOLOGY Co.,Ltd.

TR01 Transfer of patent right
TR01 Transfer of patent right

Effective date of registration: 20191125

Address after: Room 105-53811, No. 6 Baohua Road, Hengqin New District, Zhuhai City, Guangdong Province

Patentee after: Zhuhai Leopard Technology Co.,Ltd.

Address before: 519070, No. 10, main building, No. six, science Road, Harbour Road, Tang Wan Town, Guangdong, Zhuhai, 601F

Co-patentee before: BEIJING KINGSOFT INTERNET SECURITY SOFTWARE Co.,Ltd.

Patentee before: Zhuhai Juntian Electronic Technology Co.,Ltd.

Co-patentee before: Beijing Cheetah Mobile Technology Co.,Ltd.

Co-patentee before: Beijing Cheetah Network Technology Co.,Ltd.