CN103810428B - 一种宏病毒检测方法及装置 - Google Patents
一种宏病毒检测方法及装置 Download PDFInfo
- Publication number
- CN103810428B CN103810428B CN201410061998.6A CN201410061998A CN103810428B CN 103810428 B CN103810428 B CN 103810428B CN 201410061998 A CN201410061998 A CN 201410061998A CN 103810428 B CN103810428 B CN 103810428B
- Authority
- CN
- China
- Prior art keywords
- macrovirus
- data file
- macroblock
- detection module
- detection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/562—Static detection
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Software Systems (AREA)
- General Health & Medical Sciences (AREA)
- Health & Medical Sciences (AREA)
- Virology (AREA)
- Signal Processing (AREA)
- Computer Networks & Wireless Communication (AREA)
- Computing Systems (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Debugging And Monitoring (AREA)
- Measuring Or Testing Involving Enzymes Or Micro-Organisms (AREA)
- Storage Device Security (AREA)
Abstract
本发明实施例公开了一种宏病毒检测方法及装置,方法包括:在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;利用调用的宏病毒检测模块,对目标数据文件进行检测。应用本发明实施例,宏病毒检测模块能识别所有数据文件的格式,也能进入到数据文件内部进行分析,提高了被检测数据文件的覆盖面。
Description
技术领域
本发明涉及计算机安全技术领域,特别涉及一种宏病毒检测方法及装置。
背景技术
计算机科学中的宏,是指在数据文件中被程序语言允许使用的指令序列。宏病毒,是指寄存在数据文件或数据文件模版上,用宏语言编写的恶意指令序列,当用户打开被宏病毒感染的数据文件或者对被宏病毒感染的数据文件进行操作(例如保存、删除等)时,会将其激活,使其运行,从而造成其想要达到的后果。
随着计算机和互联网的发展,越来越多的人使用办公软件,带有宏病毒的数据文件很容易从地球的一端传播到另一端,因此宏病毒其影响范围和危害性不可小觑,对宏病毒的检测和清除已经成为当前计算机安全技术领域中一个非常重要的部分。
现有两种对宏病毒进行检测的方法,一种方法是利用杀毒软件对数据文件进行静态分析,利用复合数据文件格式对数据文件的结构进行分解识别,提取数据文件中所有宏的特征码,将提取的数据文件中所有宏的特征码与病毒库中宏病毒的特征码的进行对比匹配,如果匹配,则将匹配的宏清除;另一种方法是利用杀毒软件的主动防御功能来实时监控数据文件处理程序的行为,如果检测到有恶意行为,则截获该行为,暂停数据文件处理程序的执行,向用户提示该行为执行的结果以及可能造成的后果,只有当用户对该行为进行处理后,数据文件处理程序方可继续执行。
然而,在实际应用中,利用杀毒软件对数据文件进行静态分析对宏病毒进行检测的方法,要求杀毒软件能识别所有数据文件的结构并分析,但是由于不同的应用程序具有不同的数据文件结构,此种方法在实际应用中很难实现;另外,如果数据文件经过加密处理,即使杀毒软件能识别该数据文件的结构,但也无法获得该数据文件结构的具体内容,导致不能对数据文件的结构进行分析。这就造成此方法在对宏病毒进行检测时覆盖面较小。
利用杀毒软件的主动防御功能来实时监控数据文件处理程序行为的方法,会导致用户在对数据文件进行操作时,占用较高的***资源,影响机器的整体性能。另外检测到的“恶意行为”,有可能是用户的正常操作行为,也有可能是真正意义上的恶意行为,但是行为监控的方法不能对二者进行加以区分,为了保证安全,只好频繁的示警,提示用户进行相应的处理,导致用户体验效果不佳。
发明内容
本发明实施例的目的在于提供一种宏病毒检测方法及装置,提高对宏病毒进行检测的数据文件的覆盖面,提高用户的体验效果,减少***资源占用。
为达到上述目的,本发明实施例公开了一种宏病毒检测方法,包括:
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
利用调用的宏病毒检测模块,对目标数据文件进行检测。
较佳的,所述调用预先注册为所述数据文件处理程序插件的宏病毒检测模块,包括:
检测目标数据文件中有无宏模块;
当目标数据文件中有宏模块时,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
所述利用调用的宏病毒检测模块,对目标数据文件进行检测,包括:
利用调用的宏病毒检测模块,对目标数据文件中的宏模块进行检测。
较佳的,所述利用调用的宏病毒检测模块,对目标数据文件中的宏模块进行检测,包括:
提取每一宏模块的特征;
利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配;
如果满足预设的病毒特征匹配条件,则向用户输出确定性宏病毒告警信息。
较佳的,还包括:
在没有匹配的病毒特征的情况下,进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配;
如果满足预设的微特征匹配条件,则向用户输出非确定性宏病毒告警信息。
较佳的,所述预设的微特征匹配条件,包括:
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
较佳的,还包括:
分析特征匹配的宏模块的执行过程以及执行后的结果;
检测***中,是否存在分析出来的结果;
如果是,根据特征匹配的宏模块的执行过程以及执行后的结果,对***进行逆向修复。
为达到上述目的,本发明实施例还公开了一种宏病毒检测装置,包括:
调用单元,用于在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
第一检测单元,用于利用调用的宏病毒检测模块,对目标数据文件进行检测。
较佳的,所述调用单元具体用于:
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,检测目标数据文件中有无宏模块;
当目标数据文件中有宏模块时,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
所述第一检测单元,具体用于:
利用调用的宏病毒检测模块,对目标数据文件中的宏模块进行检测。
较佳的,所述第一检测单元包括:提取子单元,第一匹配子单元和第一输出子单元,
所述提取子单元,用于提取每一宏模块的特征;
所述第一匹配子单元,用于利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配;
所述第一输出子单元,用于在满足预设的病毒特征匹配条件的情况下,向用户输出确定性宏病毒告警信息。
较佳的,所述第一检测单元还包括:第二匹配子单元和第二输出子单元,
所述第二匹配子单元,用于在没有匹配的病毒特征的情况下,进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配;
所述第二输出子单元,用于在满足预设的微特征匹配条件的情况下,则向用户输出非确定性宏病毒告警信息。
较佳的,所述预设的微特征匹配条件,包括:
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
较佳的,还包括:分析单元、第二检测单元和修复单元,
所述分析单元,用于分析特征匹配的宏模块的执行过程以及执行后的结果;
所述第二检测单元,用于检测***中,是否存在分析模块分析出来的结果;
所述修复单元,用于在第二检测模块检测结果为是的情况下,根据特征匹配的宏模块的执行过程以及执行后的结果,对***进行逆向修复。
由上述的技术方案可见,由于宏病毒检测模块被先注册为数据文件处理程序插件,在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,宏病毒检测模块被调用,进行目标数据文件的检测。因此宏病毒检测模块能识别所有数据文件的格式,也能进入到数据文件内部进行分析,提高了被检测数据文件的覆盖面。
另外,该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,被调用运行一次,检测完成后不再继续运行,相对现有技术中实时监控行为的方法,本发明实施例提供的方法减少了***资源的占用,并且在用户使用数据文件的过程中也不会频繁的示警,提高了用户的体验效果。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案,下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍,显而易见地,下面描述中的附图仅仅是本发明的一些实施例,对于本领域普通技术人员来讲,在不付出创造性劳动的前提下,还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种宏病毒检测方法的流程示意图;
图2为本发明实施例提供的另一种宏病毒检测方法的流程示意图;
图3为本发明实施例提供的一种宏病毒检测装置的结构示意图;
图4为本发明实施例提供的另一种宏病毒检测装置的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图,对本发明实施例中的技术方案进行清楚、完整地描述,显然,所描述的实施例仅仅是本发明一部分实施例,而不是全部的实施例。基于本发明中的实施例,本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例,都属于本发明保护的范围。
图1为本发明实施例提供的一种宏病毒检测方法的流程示意图,包括如下步骤:
S101:在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
例如:数据文件处理程序为Microsoft Office2007(微软公司开发的办公软件,版本2007),目标数据文件为xxx.docx,将宏病毒检测模块A预先注册为MicrosoftOffice2007的插件;
当xxx.docx被打开、且还未对其内容进行加载的情况下,调用A,其中xxx.docx被打开包括xxx.docx含有密码,输入密码之后被打开的情况。
S102:利用调用的宏病毒检测模块,对目标数据文件进行检测。
利用A对xxx.docx进行检测。
在实际应用中,可以在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,检测目标数据文件中有无宏模块;当目标数据文件中有宏模块时,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;利用调用的宏病毒检测模块,对目标数据文件中的宏模块进行检测。
例如:Microsoft Office文档的VBE对象模型,如下表示:
VBE对象
VBProjects
VBProject
VBComponents
VBComponent
CodeModule
其中,VBE对象:根对象,它包含所有其它可在Visual Basic for Applications中表示对象和集合;
VBProjects:VBProject对象的集合,表示开发环境中所有打开的工程;
VBProject对象:表示一工程即文档本身自己的模块工程;
VBComponents:VBComponent对象的集合,代表工程中的部件;
VBComponent对象:代表一个包含在工程中的部件,例如类模块或标准模块;
CodeModule对象:在诸如窗体,类或文档等部件之后表示程序代码(宏代码)。
根据VBE对象模型,首先获取该目标文件xxx.docx的VBE对象,然后通过这个对象获取CodeModule,其中CodeModule代表着宏模块,如果获取不到CodeModule,则表明xxx.docx中没有宏模块,如果获取到CodeModule,则表明xxx.docx中有宏模块,假设检测到xxx.docx中含有名称为macros的宏模块,利用调用的A对xxx.docx中名称为macros的宏模块进行检测。
进一步,在实际应用中,还可以提取每一宏模块的特征;利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配;如果满足预设的病毒特征匹配条件,则向用户输出确定性宏病毒告警信息。
假设提取出的名称为macros的宏模块的特征为:在驱动目录下释放驱动文件xxx.sys,而宏病毒检测模块中内置的病毒特征包含:在驱动目录下释放驱动文件,则表示提取出的特征与宏病毒检测模块中内置的病毒特征匹配,向用户输出“xxx.docx文件中含有名称为macros的宏病毒”的告警信息。
对于excel而言,除了有宏模块之外,还可能拥有宏表,宏表是可以包含宏代码的表格的一种,通过指定的name来触发执行。如果,excel中含有宏表,提取宏表的对象集合sheets,然后一个个的去枚举,通过sheet的接口获取表格内的代码,提取特征,利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配;如果满足预设的病毒特征匹配条件,则向用户输出确定性宏病毒告警信息。
在没有匹配的病毒特征的情况下,进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配;如果满足预设的微特征匹配条件,则向用户输出非确定性宏病毒告警信息。
假设提取出的名称为macros的宏模块的特征为:含有delete模块,而宏病毒检测模块中内置的病毒特征不包含这个特征,宏病毒检测模块中内置的微特征包含这个特征,则表示提取出的特征与宏病毒检测模块中内置的微特征匹配,向用户输出“xxx.docx文件中含有名称为macros的宏模块可能含有宏病毒”的告警信息。
进一步,在实际应用中,还可以在有匹配的微特征、且提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值的情况下,向用户输出非确定性宏病毒告警信息。
假设宏病毒检测模块中的微特征包括:敏感字符串,可疑函数名和可疑模块名,其中将systemroot\drivers认为是敏感字符串,将名称带有add、delete或update的函数认为是可疑函数名,将名称带有autorun的模块认为是可疑模块名。
假设提取出的名称为macros的宏模块的特征为:含有4个带有systemroot\drivers的字符串,含有2个名称带有delete的函数,含有1个名称带有add的函数,含有2个名称带有autorun的子模块。
如果预设的阈值为8,提取出的名称为macros的宏模块的特征与宏病毒检测模块中的微特征匹配的个数总和9,大于预设的阈值8,表示提取出的名称为macros的宏模块可能含有宏病毒,向用户输出“xxx.docx文件中含有名称为macros的宏模块可能含有宏病毒”的告警信息。
如果预设的阈值为10,提取出的名称为macros的宏模块的特征与宏病毒检测模块中的微特征匹配的个数总和9,不大于预设的阈值10,表示提取出的名称为macros的宏模块不含有宏病毒,不向用户输出告警信息。
本发明实施例定义了两种宏病毒信息:其中“确定性宏病毒信息”是指:在目前杀毒技术的基础上,基本可以确定检测出的宏模块中确实含有目前已知的宏病毒存在的信息;相应地,“非确定性宏病毒信息”是指:在目前杀毒技术的基础上,检测出的宏模块中可能含有宏病毒的信息,对检测出的结果不确定。
应用本发明图1所示实施例,宏病毒检测模块被先注册为数据文件处理程序插件,在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,宏病毒检测模块被调用,进行目标数据文件的检测。因此宏病毒检测模块能识别所有数据文件的格式,也能进入到数据文件内部进行分析,提高了被检测数据文件的覆盖面。
另外,该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,被调用运行一次,检测完成后不再继续运行,相对现有技术中实时监控行为的方法,本发明实施例提供的方法减少了***资源的占用,并且在用户使用数据文件的过程中也不会频繁的示警,提高了用户的体验效果。
需要说明的是,本实施例中没有考虑特征匹配的宏模块运行后,对***造成的影响,下面针对特征匹配的宏模块运行后,对***造成的影响的情况,本发明实施例还提供另一种宏病毒检测方法,参见图2所示,
本发明图2所示实施例在图1所示实施例基础上,增加S103:分析特征匹配的宏模块的执行过程以及执行后的结果;S104:检测***中,是否存在分析出来的结果;S105:根据特征匹配的宏模块的执行过程,对***进行逆向修复的步骤。
例如:分析出特征匹配的宏模块的执行过程以及执行后的结果为:在驱动目录下释放驱动文件xxx.sys,检测***的驱动目录下是否存在文件xxx.sys,如果存在,将文件xxx.sys删除。
对于含有宏表的excel而言,还可以分析宏表的执行过程以及执行后的结果;检测***中,是否存在分析出来的结果;根据宏表的执行过程,对***进行逆向修复的步骤。
应用本发明图2所示实施例,能够对特征匹配的宏模块的执行过程以及执行后的结果对***造成的影响进行分析,并根据分析对***进行修复,保证***在运行的过程中,没有特征匹配的宏模块执行后对***造成影响的隐患。
图3为本发明实施例提供的一种宏病毒检测装置,包括调用单元301和第一检测单元302,
其中,调用单元301,用于在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
第一检测单元302,用于利用调用的宏病毒检测模块,对目标数据文件进行检测。
其中,调用单元301,具体用于:
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,检测目标数据文件中有无宏模块;当目标数据文件中有宏模块时,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
第一检测单元302,具体用于:
利用调用的宏病毒检测模块,对目标数据文件中的宏模块进行检测。
本实施例中的第一检测单元302包括:提取子单元,第一匹配子单元和第一输出子单元(图中未示出),
提取子单元,用于提取每一宏模块的特征;
第一匹配子单元,用于利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配;
第一输出子单元,用于在满足预设的病毒特征匹配条件的情况下,向用户输出确定性宏病毒告警信息。
本实施例中的第一检测模块302还包括:第二匹配子单元和第二输出子单元(图中未示出),
第二匹配子单元,用于在没有匹配的病毒特征的情况下,进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配;
第二输出子单元,用于在满足预设的病毒特征匹配条件的情况下,向用户输出非确定性宏病毒告警信息。
进一步,在实际应用中,预设的微特征匹配条件为:提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
应用本发明图3所示实施例,宏病毒检测模块被先注册为数据文件处理程序插件,在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,宏病毒检测模块被调用,进行目标数据文件的检测。因此宏病毒检测模块能识别所有数据文件的格式,也能进入到数据文件内部进行分析,提高了被检测数据文件的覆盖面。
另外,该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,被调用运行一次,检测完成后不再继续运行,相对现有技术中实时监控行为的方法,本发明实施例提供的方法减少了***资源的占用,并且在用户使用数据文件的过程中也不会频繁的示警,提高了用户的体验效果。
图4为本发明实施例提供的另一种宏病毒检测装置,包括调用单元301、第一检测单元302、分析单元303、第二检测单元304和修复单元305,
其中,分析单元303,用于分析特征匹配的宏模块的执行过程以及执行后的结果;
第二检测单元304,用于检测***中,是否存在分析模块分析出来的结果;
修复单元305,用于在第二检测模块检测结果为是的情况下,根据特征匹配的宏模块的执行过程以及执行后的结果,对***进行逆向修复。
应用本发明图4所示实施例,能够对特征匹配的宏模块的执行过程以及执行后的结果对***造成的影响进行分析,并根据分析对***进行修复,保证***在运行的过程中,没有特征匹配的宏模块执行后对***造成影响的隐患。
需要说明的是,在本文中,诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来,而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且,术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含,从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素,而且还包括没有明确列出的其他要素,或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下,由语句“包括一个……”限定的要素,并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述,各个实施例之间相同相似的部分互相参见即可,每个实施例重点说明的都是与其他实施例的不同之处。尤其,对于装置实施例而言,由于其基本相似于方法实施例,所以描述的比较简单,相关之处参见方法实施例的部分说明即可。
本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可以通过程序来指令相关的硬件来完成,所述的程序可以存储于计算机可读取存储介质中,这里所称得的存储介质,如:ROM/RAM、磁碟、光盘等。
以上所述仅为本发明的较佳实施例而已,并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等,均包含在本发明的保护范围内。
Claims (10)
1.一种宏病毒检测方法,其特征在于,包括:
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,检测目标数据文件中有无宏模块;当目标数据文件中有宏模块时,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
利用调用的宏病毒检测模块,对目标数据文件中的宏模块进行检测,检测完成后不再继续运行所述宏病毒检测模块。
2.根据权利要求1所述的方法,其特征在于,所述利用调用的宏病毒检测模块,对目标数据文件中的宏模块进行检测,包括:
提取每一宏模块的特征;
利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配;
如果满足预设的病毒特征匹配条件,则向用户输出确定性宏病毒告警信息。
3.根据权利要求2所述的方法,其特征在于,还包括:
在没有匹配的病毒特征的情况下,进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配;
如果满足预设的微特征匹配条件,则向用户输出非确定性宏病毒告警信息。
4.根据权利要求3所述的方法,其特征在于,所述预设的微特征匹配条件,包括:
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
5.根据权利要求2至4任意一项所述的方法,其特征在于,还包括:
分析特征匹配的宏模块的执行过程以及执行后的结果;
检测***中,是否存在分析出来的结果;
如果是,根据特征匹配的宏模块的执行过程以及执行后的结果,对***进行逆向修复。
6.一种宏病毒检测装置,其特征在于,包括:
调用单元,用于在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下,检测目标数据文件中有无宏模块;当目标数据文件中有宏模块时,调用预先注册为所述数据文件处理程序插件的宏病毒检测模块;
第一检测单元,用于利用调用的宏病毒检测模块,对目标数据文件中的宏模块进行检测,检测完成后不再继续运行所述宏病毒检测模块。
7.根据权利要求6所述的装置,其特征在于,所述第一检测单元包括:提取子单元,第一匹配子单元和第一输出子单元,
所述提取子单元,用于提取每一宏模块的特征;
所述第一匹配子单元,用于利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配;
所述第一输出子单元,用于在满足预设的病毒特征匹配条件的情况下,向用户输出确定性宏病毒告警信息。
8.根据权利要求7所述的装置,其特征在于,所述第一检测单元还包括:第二匹配子单元和第二输出子单元,
所述第二匹配子单元,用于在没有匹配的病毒特征的情况下,进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配;
所述第二输出子单元,用于在满足预设的微特征匹配条件的情况下,则向用户输出非确定性宏病毒告警信息。
9.根据权利要求8所述的装置,其特征在于,所述预设的微特征匹配条件,包括:
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
10.根据权利要求6至9任意一项所述的装置,其特征在于,还包括:分析单元、第二检测单元和修复单元,
所述分析单元,用于分析特征匹配的宏模块的执行过程以及执行后的结果;
所述第二检测单元,用于检测***中,是否存在分析模块分析出来的结果;
所述修复单元,用于在第二检测模块检测结果为是的情况下,根据特征匹配的宏模块的执行过程以及执行后的结果,对***进行逆向修复。
Priority Applications (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201410061998.6A CN103810428B (zh) | 2014-02-24 | 2014-02-24 | 一种宏病毒检测方法及装置 |
US14/901,883 US10237285B2 (en) | 2014-02-24 | 2014-08-14 | Method and apparatus for detecting macro viruses |
PCT/CN2014/084389 WO2015123972A1 (zh) | 2014-02-24 | 2014-08-14 | 宏病毒检测方法及装置 |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
CN201410061998.6A CN103810428B (zh) | 2014-02-24 | 2014-02-24 | 一种宏病毒检测方法及装置 |
Publications (2)
Publication Number | Publication Date |
---|---|
CN103810428A CN103810428A (zh) | 2014-05-21 |
CN103810428B true CN103810428B (zh) | 2017-05-24 |
Family
ID=50707181
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
CN201410061998.6A Active CN103810428B (zh) | 2014-02-24 | 2014-02-24 | 一种宏病毒检测方法及装置 |
Country Status (3)
Country | Link |
---|---|
US (1) | US10237285B2 (zh) |
CN (1) | CN103810428B (zh) |
WO (1) | WO2015123972A1 (zh) |
Families Citing this family (8)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN103810428B (zh) | 2014-02-24 | 2017-05-24 | 珠海市君天电子科技有限公司 | 一种宏病毒检测方法及装置 |
CN105488410A (zh) * | 2015-05-19 | 2016-04-13 | 哈尔滨安天科技股份有限公司 | 一种excel宏表病毒的检测方法及*** |
US10534917B2 (en) * | 2017-06-20 | 2020-01-14 | Xm Cyber Ltd. | Testing for risk of macro vulnerability |
CN107819783A (zh) * | 2017-11-27 | 2018-03-20 | 深信服科技股份有限公司 | 一种基于威胁情报的网络安全检测方法及*** |
CN109800568B (zh) * | 2018-12-29 | 2021-01-15 | 360企业安全技术(珠海)有限公司 | 文档文件的安全防护方法、客户端、***及存储介质 |
KR102284646B1 (ko) * | 2019-10-25 | 2021-08-03 | 소프트캠프 주식회사 | 문서 파일에 구성된 매크로의 악성코드 감염 확인 방법과 시스템 |
CN111125701B (zh) * | 2019-12-24 | 2022-04-29 | 深信服科技股份有限公司 | 文件检测方法、设备、存储介质及装置 |
CN115189926B (zh) * | 2022-06-22 | 2024-01-26 | 北京天融信网络安全技术有限公司 | 网络流量的检测方法、网络流量的检测***和电子设备 |
Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102045368A (zh) * | 2011-01-20 | 2011-05-04 | 中兴通讯股份有限公司 | 智能移动终端的病毒防御方法及*** |
CN103019872A (zh) * | 2012-10-15 | 2013-04-03 | 北京奇虎科技有限公司 | 浏览器修复方法与装置 |
CN103294955A (zh) * | 2013-06-28 | 2013-09-11 | 北京奇虎科技有限公司 | 宏病毒查杀方法及*** |
Family Cites Families (14)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US5951698A (en) * | 1996-10-02 | 1999-09-14 | Trend Micro, Incorporated | System, apparatus and method for the detection and removal of viruses in macros |
US6577920B1 (en) * | 1998-10-02 | 2003-06-10 | Data Fellows Oyj | Computer virus screening |
US6697950B1 (en) * | 1999-12-22 | 2004-02-24 | Networks Associates Technology, Inc. | Method and apparatus for detecting a macro computer virus using static analysis |
US6986051B2 (en) * | 2000-04-13 | 2006-01-10 | International Business Machines Corporation | Method and system for controlling and filtering files using a virus-free certificate |
GB2378273A (en) * | 2001-07-31 | 2003-02-05 | Hewlett Packard Co | Legitimate sharing of electronic content |
US7409717B1 (en) * | 2002-05-23 | 2008-08-05 | Symantec Corporation | Metamorphic computer virus detection |
US7418729B2 (en) * | 2002-07-19 | 2008-08-26 | Symantec Corporation | Heuristic detection of malicious computer code by page tracking |
US7882561B2 (en) * | 2005-01-31 | 2011-02-01 | Microsoft Corporation | System and method of caching decisions on when to scan for malware |
US8365286B2 (en) * | 2006-06-30 | 2013-01-29 | Sophos Plc | Method and system for classification of software using characteristics and combinations of such characteristics |
GB0822619D0 (en) * | 2008-12-11 | 2009-01-21 | Scansafe Ltd | Malware detection |
US8726388B2 (en) * | 2011-05-16 | 2014-05-13 | F-Secure Corporation | Look ahead malware scanning |
CN102708320B (zh) | 2012-05-04 | 2015-05-06 | 北京奇虎科技有限公司 | 一种病毒apk的识别方法及装置 |
CN102841999B (zh) | 2012-07-16 | 2016-12-21 | 北京奇虎科技有限公司 | 一种文件宏病毒的检测方法和装置 |
CN103810428B (zh) | 2014-02-24 | 2017-05-24 | 珠海市君天电子科技有限公司 | 一种宏病毒检测方法及装置 |
-
2014
- 2014-02-24 CN CN201410061998.6A patent/CN103810428B/zh active Active
- 2014-08-14 US US14/901,883 patent/US10237285B2/en active Active
- 2014-08-14 WO PCT/CN2014/084389 patent/WO2015123972A1/zh active Application Filing
Patent Citations (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
CN102045368A (zh) * | 2011-01-20 | 2011-05-04 | 中兴通讯股份有限公司 | 智能移动终端的病毒防御方法及*** |
CN103019872A (zh) * | 2012-10-15 | 2013-04-03 | 北京奇虎科技有限公司 | 浏览器修复方法与装置 |
CN103294955A (zh) * | 2013-06-28 | 2013-09-11 | 北京奇虎科技有限公司 | 宏病毒查杀方法及*** |
Also Published As
Publication number | Publication date |
---|---|
US20160156645A1 (en) | 2016-06-02 |
WO2015123972A1 (zh) | 2015-08-27 |
US10237285B2 (en) | 2019-03-19 |
CN103810428A (zh) | 2014-05-21 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
CN103810428B (zh) | 一种宏病毒检测方法及装置 | |
Maiorca et al. | Looking at the bag is not enough to find the bomb: an evasion of structural methods for malicious pdf files detection | |
Uppal et al. | Malware detection and classification based on extraction of API sequences | |
CN102768717B (zh) | 恶意文件检测的方法及装置 | |
CN109271788B (zh) | 一种基于深度学习的Android恶意软件检测方法 | |
CN107688743B (zh) | 一种恶意程序的检测分析方法及*** | |
CN102841999B (zh) | 一种文件宏病毒的检测方法和装置 | |
KR101851233B1 (ko) | 파일 내 포함된 악성 위협 탐지 장치 및 방법, 그 기록매체 | |
US20180211041A1 (en) | Detection of Malware Using Feature Hashing | |
CN110837640B (zh) | 恶意文件的查杀方法、查杀设备、存储介质及装置 | |
CN104598824A (zh) | 一种恶意程序检测方法及其装置 | |
CN107103237A (zh) | 一种恶意文件的检测方法及装置 | |
KR101816045B1 (ko) | 악성코드 룰셋을 이용한 악성코드 탐지 시스템 및 방법 | |
EP3800570B1 (en) | Methods and systems for genetic malware analysis and classification using code reuse patterns | |
Eskandari et al. | To incorporate sequential dynamic features in malware detection engines | |
Mimura et al. | Detecting unseen malicious VBA macros with NLP techniques | |
CN111400707A (zh) | 一种文件宏病毒检测方法、装置、设备及存储介质 | |
Kakisim et al. | Sequential opcode embedding-based malware detection method | |
CN106415577A (zh) | 用于识别可疑事件来源的***和方法 | |
US10275596B1 (en) | Activating malicious actions within electronic documents | |
CN108040036A (zh) | 一种行业云Webshell安全防护方法 | |
KR101327740B1 (ko) | 악성코드의 행동 패턴 수집장치 및 방법 | |
CN110210216A (zh) | 一种病毒检测的方法以及相关装置 | |
CN108171057A (zh) | 基于特征匹配的Android平台恶意软件检测方法 | |
CN111723370A (zh) | 一种容器恶意行为检测的方法和设备 |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
C06 | Publication | ||
PB01 | Publication | ||
C10 | Entry into substantive examination | ||
SE01 | Entry into force of request for substantive examination | ||
GR01 | Patent grant | ||
GR01 | Patent grant | ||
TR01 | Transfer of patent right | ||
TR01 | Transfer of patent right |
Effective date of registration: 20181212 Address after: Room 105-53811, No. 6 Baohua Road, Hengqin New District, Zhuhai City, Guangdong Province Patentee after: Zhuhai Seal Interest Technology Co., Ltd. Address before: 519070, six level 601F, 10 main building, science and technology road, Tangjia Bay Town, Zhuhai, Guangdong. Patentee before: Zhuhai Juntian Electronic Technology Co.,Ltd. |