CN102547710A - 在移动通信系统中探测病毒的方法和装置 - Google Patents

Abstract

本发明实施例提供了在移动通信系统中探测病毒的方法和装置。该方法包括：病毒探测装置获取移动通信系统中流经网络设备的业务数据；从所述业务数据中提取指向网络中资源的资源标识；根据所述资源标识下载所述资源；判断所述资源是否为病毒，若所述资源为病毒，则通知所述移动通信系统。本发明实施例提供的在移动通信系统中探测病毒方法和装置可以监测移动通信系统的业务数据，针对其中可疑的消息主动探测病毒，能够发现通过向移动通信系统的用户散播病毒服务器地址进行传播的病毒。

Description

在移动通信系统中探测病毒的方法和装置

技术领域

本发明涉及数据安全技术领域，特别涉及在移动通信系统中探测病毒的方法和装置。

背景技术

随着移动通信技术的发展，移动通信终端，例如智能手机、PDA、笔记本电脑等能够通过移动通信系统的用户识别模块(如SIM卡、UIM卡等)获取移动通信服务的各种终端设备，具有越来越强大的计算能力和各种网络连接途径，可以发送短信、彩信，还可以通过蓝牙和红外线进行通信，并且方便地访问互联网。随之在移动通信系统中出现了许多针对移动通信终端的病毒，可以通过多种渠道在移动通信终端之间传播。例如，Mabir，一个Cabir病毒的变种，不仅可以通过蓝牙，而且还可以通过彩信发送自身的副本。CommWarrior病毒是一种蠕虫病毒，可以通过彩信在诺基亚S60智能手机之间传播。随着手机病毒检测技术的发展，如果病毒通过彩信发送自身的副本，可以很容易地根据已知的特征被检测出来。同时，病毒无法通过彩信发送太多的内容。例如，2G/2.5G移动通信网络的彩信大小不超过100KB，而3G移动通信网络对彩信大小的限制是300KB。特别是当手机病毒的大小超过100KB时，就更难通过彩信传播了。

还有一种类型的病毒被嵌入或隐藏在一些网站中，通过向移动通信系统的用户发送一些欺骗性信息，诱使用户从病毒网站服务器下载病毒。例如，“手机骷髅(mobile phone Skulls)”木马病毒通过彩信传播欺骗性内容和病毒网站服务器的地址。这些内容很难被病毒安全系统及时检测出来。如果病毒发行者经常改变其网站服务器地址，这种病毒就更难被发现并阻止了。

目前，针对后一种类型的病毒，有以下两种检测和过滤方法。

一是恶意病毒网址过滤，即一些病毒安全系统或恶意信息过滤器检测已知的恶意病毒网址并阻止用户访问这些网站。这种方法只能检测出已知的病毒服务器，而不能发现新的病毒服务器。病毒可以通过改变服务器的地址来躲避这种病毒检测方法。

二是基于关键字的病毒检测。这种方法可以找到总是传播相同欺骗信息的病毒。如果病毒经常改变消息的内容，由于散播的信息不同，这种病毒也很难被检测出来。

因此，目前对于通过在移动通信系统中发送欺骗性消息诱骗用户访问病毒服务器地址进行传播的病毒还没有非常及时有效的检测方法。

发明内容

有鉴于此，为了检测这种通过在移动通信系统中发送欺骗性消息诱骗用户访问病毒服务器地址进行传播的病毒类型，本发明实施例提供了一种在移动通信系统中探测病毒的方法，用于发现可能的病毒。

本发明实施例还提供了一种在移动通信系统中探测病毒的病毒探测装置，用于发现可能的病毒。

本发明实施例提供的一种在移动通信系统中探测病毒的方法包括：

病毒探测装置获取移动通信系统中流经网络设备的业务数据；

病毒探测装置从所述业务数据中提取指向网络中资源的资源标识；

病毒探测装置根据所述资源标识下载所述资源；以及

病毒探测装置判断所述资源是否为病毒，若所述资源为病毒，则通知所述移动通信系统。

本发明实施例提供的一种用于在移动通信系统中探测病毒的病毒探测装置，包括：

业务数据获取模块，用于获取移动通信系统中流经网络设备的业务数据；

信息提取模块，用于从所述业务数据获取模块获取的业务数据中提取指向网络中资源的资源标识；

病毒探测模块，用于根据所述信息提取模块提取的资源标识下载所述资源，并判断所述资源是否为病毒，若所述资源为病毒，则通知所述移动通信系统。

由上述的技术方案可见，本发明实施例提供的在移动通信系统中探测病毒的方法，能够发现可能的病毒并报告给移动通信系统，从而提高移动通信系统的安全性能。

本发明实施例提供的用于在移动通信系统中探测病毒的病毒探测装置，能够发现可能的手机病毒并报告给移动通信系统，从而提高移动通信系统的安全性能。

附图说明

图1为本发明实施例提供的一种在移动通信系统中探测病毒的方法流程图。

图2为本发明另一实施例提供的一种在移动通信系统中探测病毒的方法流程图。

图3为本发明实施例的一种病毒探测装置的结构示意图。

具体实施方式

为使本发明的实施例的目的、技术方案及优点更加清楚明白，以下参照附图并举实施例，对本发明实施例进一步详细说明。

本发明实施例主要采用了主动探测病毒的方法，监测移动通信系统中的业务数据，下载可疑资源，然后对可疑资源进行分析以确定该资源是否为病毒。

图1为本发明实施例提供的一种在移动通信系统中探测病毒的方法流程图。如图1所示，该方法可以包括：

步骤101，病毒探测装置获取移动通信系统中流经网络设备的业务数据；

步骤102，病毒探测装置从所述业务数据中提取指向网络(Web)中资源的资源标识；

步骤103，病毒探测装置根据所述资源标识下载所述资源；

步骤104，病毒探测装置判断所述资源是否为病毒，若所述资源为病毒，则执行步骤105；若所述资源不是病毒，则结束流程。

步骤105，通知所述移动通信系统。

病毒探测装置可以通过对该网络设备的流入和/或流出端口进行监听来获取所述业务数据。例如，可以在与所述网络设备相连的一个或多个交换机上设置镜像端口，所述一个或多个交换机将与所述网络设备相连的端口中的业务数据镜像到所述镜像端口，病毒探测装置从所述镜像端口获取所述业务数据。或者，在与所述网络设备相连的一个或多个光链路上设置光分路装置，所述病毒探测装置通过连接到所述光分路装置的一路输出来获取所述业务数据。

通过对流经网络设备的业务数据进行监听/获取，病毒探测装置相当于监听/获取了该网络设备服务的所有用户的业务数据。

病毒探测装置可以获取移动通信系统中流经短信中心，如短消息服务中心(SMSC)，的短信；或者获取移动通信系统中流经网关(无线应用协议网关(WAP Gateway)和/或WEB网关)或通用分组无线业务网关支持节点(GGSN)的彩信和/或邮件。

其中，判断资源是否为病毒的方法可以是对资源进行病毒扫描，或者分析资源的代码，根据其特征，如签名等进行判断。由于病毒一般为可执行文件的形式，因此还可以判断所述资源是否为可执行文件，例如Symbian操作系统的SIS文件。如果是可执行文件，可以在一个模拟器中运行所述可执行文件并监控所述可执行文件的行为。根据监控到的可执行文件的行为可以判断所述资源是否为病毒。例如，如果所述可执行文件通过短信、彩信或者蓝牙自动发送可疑消息，那么它很有可能是病毒；如果模拟器重启时，所述可执行文件修改了某些关键文件，该可执行文件也有可能是病毒。

一些手机病毒不仅在消息或业务数据中带有病毒服务器的地址，还可能加入一些欺骗性内容，如某些引诱性的文字、图片等，来引诱移动通信用户访问其病毒服务器的地址。因此，本发明的另一实施例中，还可以先判断所述业务数据中是否包括可疑内容，如果所述业务数据中包括可疑内容，再根据所述业务数据中的资源标识从互联网下载所述资源。其中，可疑内容可以为：预设的关键字，和/或预设的图片特征信息。

当判断所述资源为病毒时，可以执行两方面的操作：一是通知移动通信系统，例如将该业务数据的信息发送给移动通信系统，使移动通信系统中的流量过滤设备能够根据这些信息对类似的业务数据进行拦截和过滤；同时，还可以将所述资源的信息，如提取出的病毒特征信息，存储在病毒库中，供下次资源扫描时使用，检测出的病毒文件还可以留给专家进行研究。

上面所述的资源标识可以是统一资源标识符(URI)或统一资源定位符(URL)。当判断所述资源是病毒时，还可以记录该资源标识。之后从其它业务数据中提取到资源标识时，可以先判断是不是已经记录的资源标识，如果是，则直接判定该资源为病毒。

下面通过一个较详细的例子来对本发明的方法进行进一步的说明。

图2为本发明另一实施例提供的一种手机病毒探测方法的流程图。如图2所示，该方法可以包括以下步骤。

步骤201，从移动通信系统获取业务数据。

步骤202，判断所述业务数据是否包括资源标识，如果有，则执行步骤203；若没有，结束流程。

步骤203，判断所述业务数据是否包括可疑内容，如果有，则执行步骤204；若没有，结束流程。

步骤204，提取所述业务数据中的资源标识。

步骤205，判断所述资源标识是否是已记录的资源标识，若是，则执行步骤210；若不是，则执行步骤206.

步骤206，根据所述资源标识从互联网下载相应的资源。

步骤207，判断该资源是否是可执行文件，如果是，则执行步骤208，若不是，结束流程。

步骤208，根据病毒库对所述资源进行病毒扫描。

步骤209，根据扫描结果判断该资源是否是病毒，如果是，则执行步骤214；若不是，则执行步骤210。

步骤210，对所述资源进行代码分析。

步骤211，根据分析结果判断该资源是否是病毒，如果是，则执行步骤214；若不是，则执行步骤212。

步骤212，在模拟器中执行该可执行文件，并监控该可执行文件的行为。

步骤213，根据监控的行为判断该可执行文件是否是病毒，如果是，则执行步骤214，若不是，则结束流程。

步骤214，通知移动通信系统通过该业务数据找到病毒，记录所述资源标识，并将该病毒的信息存储到病毒库中。

以上仅为本发明的其中一个实施例，并不用于限制本发明的保护范围。实际应用时，可以根据需要将其中的一些步骤省略，还可以调整各步骤的执行顺序，或者加入其它的步骤。例如，在执行步骤207之前，可以先执行步骤208，扫描资源；当经过扫描判断该资源不是病毒时，再执行步骤207，判断该资源是否是可执行文件或压缩文件，等。或者，还可以增加针对压缩格式的文件的处理步骤。例如，在步骤207之前，先判断是否为压缩文件，如果是压缩文件，对所述压缩文件进行解压缩，然后对解压缩后的文件进行扫描、模拟运行等。

相应地，本发明实施例还提供了一种病毒探测装置。

图3为本发明实施例的一种用于在移动通信系统中探测病毒的病毒探测装置的结构示意图。如图3所示，该装置主要包括：

业务数据获取模块301，用于获取移动通信系统中流经网络设备的业务数据；

信息提取模块303，用于从所述业务数据获取模块301获取的业务数据中提取指向网络中资源的资源标识；

病毒探测模块302，用于根据所述信息提取模块303提取的业务数据中的资源标识从互联网下载资源；判断所述资源是否为病毒，若所述资源为病毒，则通知所述移动通信系统。

业务数据获取模块301可以通过对所述网络设备的流入和/或流出端口进行监听来获取所述业务数据。

业务数据获取模块301可以连接到与所述网络设备相连的一个或多个交换机上设置的镜像端口，接收所述一个或多个交换机向所述镜像端口发送的与所述网络设备相连的端口中的业务数据的副本；或者连接到与所述网络设备相连的一个或多个光链路上设置的光分路装置，用于从所述光分路装置的一路输出信号中获取所述业务数据。

业务数据获取模块301可以获取移动通信系统中流经短信中心的短信；也可以获取移动通信系统中流经网关或通用分组无线业务网关支持节点GGSN的彩信和/或邮件。

在本发明提供的实施例中，病毒探测模块302可以包括：

资源下载单元3021，用于根据所述资源标识下载所述资源；

资源扫描单元3022，用于判断所述资源是否为可执行文件；若所述资源为可执行文件，将所述资源提供给模拟器单元；

模拟器单元3023，用于运行所述可执行文件并监控所述可执行文件的行为；

病毒检测单元3024，用于根据所述模拟器单元3023监控到的所述可执行文件的行为判断所述资源是否为病毒，若为病毒，则通知所述移动通信系统。

在本发明提供的实施例中，病毒探测模块302或者可以包括：

资源下载单元3021，用于根据所述资源标识下载资源；

资源扫描单元3022，用于根据病毒库扫描所述资源，根据所述扫描结果判断所述资源是否为病毒；以及

病毒检测单元3024，用于当所述资源扫描单元3022判断所述资源为病毒时，将所述资源的信息存储在所述病毒库中。

在本发明提供的实施例中，病毒探测模块302或者可以包括：

资源下载单元3021，用于根据所述资源标识下载资源；

资源扫描单元3022，用于根据病毒库扫描所述资源，并根据所述扫描结果判断所述资源是否为病毒，若所述资源为病毒则通知病毒检测单元3024将所述资源的信息存储在所述病毒库中，若所述资源不是病毒，则判断所述资源是否为可执行文件，若所述资源为可执行文件，将所述资源提供给模拟器单元3023；

所述模拟器单元3023，用于运行所述可执行文件并监控所述可执行文件的行为；以及，

所述病毒检测单元3024，用于根据所述模拟器单元3023监控到的所述可执行文件的行为判断所述资源是否为病毒，若为病毒，则通知所述移动通信系统和/或将所述资源的信息存储在所述病毒库中。

模拟器单元3023用于监控并记录所述可执行文件的以下中的一种或多种行为：所述可执行文件通过短信或者彩信或者蓝牙自动发送可疑消息；所述模拟器重启时，所述可执行文件修改关键文件。

所述信息提取模块303还可以用于判断所述业务数据中是否包括可疑内容；若所述业务数据中包括可疑内容，则将所述资源标识提供给所述病毒探测模块302。

信息提取模块303可以包括：

关键字扫描单元3031，用于扫描所述业务数据中是否包括预设的关键字；

图片扫描单元3032，用于扫描所述业务数据中是否包括预设的图片特征信息；

资源标识提取单元3033，用于从所述业务数据中提取所述资源标识；

资源标识分析单元3034，用于当所述关键字扫描单元3031判断所述业务数据中包括预设的关键字时，或者当所述图片扫描单元3032判断所述业务数据中包括预设的图片特征信息时，将所述资源标识提取单元3033提取出的所述资源标识提供给所述病毒探测模块302。

需要说明的是，以上装置可以是独立的设备，也可以是移动通信网络中现有设备中的模块。可以由一个设备单独实现，也可以由多个设备共同实现。由于移动通信系统中可能有多个短信中心、多个网关、以及多个GGSN设备，那么就可以针对这些设备设置多个病毒探测装置，这样可以分担病毒探测的工作量。本发明的病毒探测装置中的各个模块、单元仅仅是根据功能进行划分的逻辑部件，实际实现时，可以采用相同的物理结构，也可以采用的结构，例如将若干模块或者单元合并由一个物理实体实现，或者将某个模块或单元的功能分别由多个物理实体实现。实现该装置的多个设备或实体之间可以通过物理连接相连，也可以通过无线通信协议进行信息交互；可以直接相连，也可以通过网络或其它途径进行信息交互。

另外，该装置中还可能包括协议解析器，用于分析业务数据使用的协议。例如，从MM1协议中提取彩信内容，并将内容输入到信息提取模块303，信息提取模块303分析彩信内容后从彩信内容中提取URI。病毒探测模块302还可能需要通过协议分析器分析URI的协议，在互联网上主动搜索该URI，然后使用协议爬虫中的相应协议下载器从服务器下载该URI标识的文件。如果下载的资源是一些可执行文件，例如Symbian操作系统的SIS文件，病毒探测模块302可以根据保存有已知病毒信息的病毒库扫描并发现已知的病毒文件，还可以根据文件代码的特征(如签名等)判断该可执行文件是否为病毒。如果该可执行文件不是已知的病毒，病毒探测模块302将执行并安装该可执行文件，并监控其行为来验证该文件是否是病毒。如监测到可疑行为，例如通过短信、彩信或蓝牙自动发送可疑消息，或模拟器单元3023重新启动时，修改关键文件或自行启动，这些行为将被记录，病毒探测模块302可以据此判断出该文件是否为病毒，将发现的病毒存储在病毒库中，并通知移动通信系统，让其中的病毒过滤系统或流量控制系统过滤这些业务数据。

一些消息中包含欺骗性文字和图片，引诱用户根据其中的URI从服务器下载病毒。这些病毒经常改变欺骗性内容和服务器地址，而现有的病毒检测过滤技术很难检测出以这种形式传播的病毒。通过以上实施例可以看出，本发明实施例提供的在移动通信系统中探测病毒的方法和装置可以监测WAP网关和短信中心的业务数据，针对其中可疑的消息主动探测病毒，能够发现通过在移动通信系统中散播病毒服务器地址进行传播的病毒。该方法和装置具有较好的灵活性，可以通过增加新的关键字或图片特征用于寻找新的病毒变种。

综上所述，以上仅为本发明的部分实施例而已，并非用于限定本发明的保护范围。凡在本发明的范围之内所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (15)

1.一种在移动通信系统中探测病毒的方法，所述方法包括：

病毒探测装置获取移动通信系统中流经网络设备的业务数据；

所述病毒探测装置从所述业务数据中提取指向网络中资源的资源标识；

所述病毒探测装置根据所述资源标识下载所述资源；以及

所述病毒探测装置判断所述资源是否为病毒，若所述资源为病毒，则通知所述移动通信系统。

2.根据权利要求1所述的方法，其特征在于，所述病毒探测装置获取移动通信系统中流经网络设备的业务数据，包括：

所述病毒探测装置通过对所述网络设备的流入和/或流出端口进行监听来获取所述业务数据。

3.根据权利要求2所述的方法，其特征在于，所述病毒探测装置对所述网络设备的流入和/或流出端口进行监听，包括：

病毒探测装置从至少一个交换机上的镜像端口获取所述业务数据，其中，所述至少一个交换机与所述网络设备相连且能够将与所述网络设备相连的端口中的业务数据镜像到所述镜像端口；或者

所述病毒探测装置通过连接到光分路装置的一路输出来获取所述业务数据，其中所述光分路装置设置在与所述网络设备相连的一个或多个光链路上。

4.根据权利要求1所述的方法，其特征在于，所述病毒探测装置获取移动通信系统中流经网络设备的业务数据，包括：

所述病毒探测装置获取所述移动通信系统中流经短信中心的短信；和/或

所述病毒探测装置获取所述移动通信系统中流经网关或通用分组无线业务网关支持节点GGSN的彩信和/或邮件。

5.根据权利要求1至4中任一项所述的方法，其特征在于，所述病毒探测装置判断资源是否为病毒，

包括：所述病毒探测装置判断所述资源是否为可执行文件；若所述资源为可执行文件，所述病毒探测装置在模拟器中运行所述可执行文件并监控所述可执行文件的行为；以及所述病毒探测装置根据监控到的所述可执行文件的行为判断所述资源是否为病毒；

或者包括：所述病毒探测装置对所述资源进行代码分析，根据代码分析结果判断所述资源是否为病毒。

6.根据权利要求5所述的方法，其特征在于，所述病毒探测装置根据监控到的所述可执行文件的行为判断所述资源是否为病毒，包括：

当所述行为包括至少一种以下行为时，所述病毒探测装置判断所述资源是病毒：

所述可执行文件通过短信或者彩信或者蓝牙自动发送可疑消息；

所述模拟器重启时，所述可执行文件修改关键文件。

7.根据权利要求1至4中任一项所述的方法，其特征在于，所述方法进一步包括：

所述病毒探测装置判断所述业务数据中是否包括可疑内容；

若所述业务数据中包括可疑内容，则病毒探测装置执行所述根据所述资源标识下载所述资源的步骤。

8.根据权利要求7所述的方法，其特征在于，所述可疑内容包括：预设的关键字，和/或预设的图片特征信息。

9.根据权利要求1至4中任一项所述的方法，其特征在于，

所述方法进一步包括：若所述资源为病毒，则所述病毒探测装置将所述资源的信息存储在病毒库中；

所述病毒探测装置判断资源是否为病毒，包括：所述病毒探测装置根据所述病毒库判断所述资源是否为病毒。

10.一种用于在移动通信系统中探测病毒的病毒探测装置，所述装置包括：

业务数据获取模块，用于获取移动通信系统中流经网络设备的业务数据；

信息提取模块，用于从所述业务数据获取模块获取的业务数据中提取指向网络中资源的资源标识；

病毒探测模块，用于根据所述信息提取模块提取的资源标识下载所述资源，并判断所述资源是否为病毒，若所述资源为病毒，则通知所述移动通信系统。

11.根据权利要求10所述的装置，其特征在于，所述业务数据获取模块用于通过对所述网络设备的流入和/或流出端口进行监听来获取所述业务数据。

12.根据权利要求10所述的装置，其特征在于，

所述业务数据获取模块用于执行以下操作中的至少一个：获取移动通信系统中流经短信中心的短信；获取移动通信系统中流经网关或通用分组无线业务网关支持节点GGSN的彩信和/或邮件。

13.根据权利要求10所述的装置，其特征在于，所述病毒探测模块，

包括：资源下载单元，用于根据所述资源标识下载资源；资源扫描单元，用于判断所述资源是否为可执行文件；若所述资源为可执行文件，将所述资源提供给模拟器单元；所述模拟器单元，用于运行所述可执行文件并监控所述可执行文件的行为；以及，病毒检测单元根据所述模拟器单元监控到的所述可执行文件的行为判断所述资源是否为病毒，若为病毒，则通知所述移动通信系统；

或者包括：资源下载单元，用于根据所述资源标识下载资源；资源扫描单元，用于根据病毒库扫描所述资源，根据所述扫描结果判断所述资源是否为病毒；以及病毒检测单元，用于当所述资源扫描单元判断所述资源为病毒时，将所述资源的信息存储在所述病毒库中；

或者包括：资源下载单元，用于根据所述资源标识下载资源；资源扫描单元，用于根据病毒库扫描所述资源，并根据所述扫描结果判断所述资源是否为病毒，若所述资源为病毒则通知病毒检测单元将所述资源的信息存储在所述病毒库中，若所述资源不是病毒，则判断所述资源是否为可执行文件，若所述资源为可执行文件，将所述资源提供给模拟器单元；所述模拟器单元，用于运行所述可执行文件并监控所述可执行文件的行为；以及，所述病毒检测单元，用于根据所述模拟器单元监控到的所述可执行文件的行为判断所述资源是否为病毒，若为病毒，则通知所述移动通信系统和/或将所述资源的信息存储在所述病毒库中。

14.根据权利要求13所述的装置，其特征在于，所述模拟器单元用于监控并记录所述可执行文件的以下中的一种或多种行为：

所述可执行文件通过短信或者彩信或者蓝牙自动发送可疑消息；

所述模拟器重启时，所述可执行文件修改关键文件。

15.根据权利要求10所述的装置，其特征在于，所述信息提取模块进一步用于判断所述业务数据中是否包括可疑内容；若所述业务数据中包括可疑内容，则将所述资源标识提供给所述病毒探测模块。

Images