CN102768717B - 恶意文件检测的方法及装置 - Google Patents

Abstract

本发明揭示了一种恶意文件检测的方法及装置。该方法可包括：获取被检测文件的文件属性；将获取的文件属性与预设的恶意文件属性类别库进行匹配，验证文件属性是否异常；当文件属性异常时，判定被检测文件为恶意文件并告警。本发明针对恶意文件，根据被检测文件自身的文件属性信息并结合预先建立的恶意文件属性类别库，对被检测文件体进行启发式的判断，准确及时的识别出恶意文件。

Description

恶意文件检测的方法及装置

技术领域

本发明涉及到文件检测技术，特别涉及到一种恶意文件检测的方法及装置。

背景技术

木马的发展趋势已经由以前的技术对抗逐渐演变为更多的使用欺诈、伪装等方式，且变异周期极短，可以快速做到自动化免杀。而传统的病毒查杀引擎主要依赖特征码识别、虚拟执行等技术来识别木马，在面对这些新型木马时会显得力不从心，主要体现在反应滞后、误报不可控等。

现有技术中，一些恶意木马文件使用欺诈、伪装等手段，将自身伪造成看似正规的系统文件、正常的系统目录或正规软件的主程序，通过频繁的更改文件体信息，躲避杀毒软件的特征识别，给用户造成它们就是系统上正规软件的假象。或者通过修改自身的安全属性，在用户识别到它是恶意软件时，却无法彻底删除。

现有的病毒检测方式主要有两种，包括：

一、特征码扫描，其为最传统的查毒方法，使用此种方式首先需要收集大量的恶意样本，并分析样本的指令、数据信息等，抽取出典型的指令集合或数据集合；该典型的特征信息通常都是木马所独有，而正常软件所不具备的；将上述指令和数据集合汇总成特征库，然后使用该特征库对用户系统上的文件进行扫描，如果遇到能够匹配上的特征就可以报毒。

二、虚拟机启发式扫描，此种方式主要用来应对木马加壳导致无法扫描到文件的代码特征，或者使用特征码扫描方式失效的情况；其是将待检测文件虚拟执行，跟踪执行时的指令序列和API（Application Programming Interface，应用程序编程接口）调用组合及频率等，如果执行时的动态信息符合了预定的判断条件则认为发现了可疑文件。

上面提到的两种传统技术方案在应对欺诈伪装类木马时的缺点主要有：上述特征码扫描的主要缺点是，需要预先收集大量的木马样本，然后进行特征提取，因此不能识别未知木马，即使是面对已知木马的变种也会大量出现无法识别的情况；另外，由于要对大量的木马样本进行特征信息提取，结果就是特征库体积很大，占用系统资源较多。上述虚拟机启发式扫描的主要缺点是，需要将待检测文件模拟执行，跟踪指令序列和API调用组合，一旦木马的这些动态行为组合与正常软件的行为组合相似，就会发生误报；另外，虚拟执行的方式性能较差，要耗费较长的运行时间。上述两个检测方式都需要获取被检测文件的内容本身，降低了检测效率。

发明内容

本发明的主要目的为提供一种恶意文件检测的方法，提升了恶意文件的检测效率。

本发明提出一种恶意文件检测的方法，包括：

获取被检测文件的文件属性；

将获取的文件属性与预设的恶意文件属性类别库进行匹配，验证文件属性是否异常；

当文件属性异常时，判定被检测文件为恶意文件并告警。

优选地，所述方法之前还包括：

收集恶意文件样本，根据恶意文件的文件属性进行分类，形成预设的恶意文件属性类别库。

优选地，所述安全属性异常指的是访问控制列表ACL的异常。

优选地，所述文件属性包括：

文件图标属性、文件名称属性和/或文件安全属性。

优选地，所述将获取的文件属性与预设的恶意文件属性类别库进行匹配，验证文件属性是否异常包括：

将获取的文件图标属性与恶意文件属性类别库进行匹配，验证文件图标属性是否异常；

当文件图标属性正常时，将获取的文件名称属性与恶意文件属性类别库进行匹配，验证文件名称属性是否异常；

当文件名称属性正常时，将获取的文件安全属性与恶意文件属性类别库进行匹配，验证文件安全属性是否异常；当文件名称属性正常时，判定被检测文件为非恶意文件。

优选地，所述判定被检测文件为恶意文件并告警的步骤之前还包括：

验证被检测文件是否具备相应的签名。

优选地，所述验证被检测文件是否具备相应的签名包括：

验证被检测文件是否具备正规数字签名；当具备时，判定被检测文件为非恶意文件；

当不具备时，验证被检测文件是否具备系统签名；当具备时，判定被检测文件为非恶意文件；当不具备时，判定被检测文件为恶意文件并告警。

本发明还提出一种恶意文件检测的装置，包括：

属性获取模块，用于获取被检测文件的文件属性；

异常验证模块，用于将获取的文件属性与预设的恶意文件属性类别库进行匹配，验证文件属性是否异常；

检测判定模块，用于当文件属性异常时，判定被检测文件为恶意文件并告警。

优选地，所述装置还包括：

类别建立模块，用于收集恶意文件样本，根据恶意文件的文件属性进行分类，形成预设的恶意文件属性类别库。

优选地，所述安全属性异常指的是访问控制列表ACL的异常。

优选地，所述文件属性包括：

文件图标属性、文件名称属性和/或文件安全属性。

优选地，所述异常验证模块包括：

图标验证子模块，用于将获取的文件图标属性与恶意文件属性类别库进行匹配，验证文件图标属性是否异常；

名称验证子模块，用于当文件图标属性正常时，将获取的文件名称属性与恶意文件属性类别库进行匹配，验证文件名称属性是否异常；

安全验证子模块，用于当文件名称属性正常时，将获取的文件安全属性与恶意文件属性类别库进行匹配，验证文件安全属性是否异常；当文件名称属性正常时，判定被检测文件为非恶意文件。

优选地，所述检测判定模块还用于：

验证被检测文件是否具备相应的签名。

优选地，所述检测判定模块包括：

数字签名子模块，用于验证被检测文件是否具备正规数字签名；当具备时，判定被检测文件为非恶意文件；

系统签名子模块，用于当不具备时，验证被检测文件是否具备系统签名；当具备时，判定被检测文件为非恶意文件；当不具备时，判定被检测文件为恶意文件并告警。

本发明针对恶意文件，根据被检测文件自身的文件属性信息并结合预先建立的恶意文件属性类别库，对被检测文件体进行启发式的判断，准确及时的识别出恶意文件。

附图说明

图1是本发明恶意文件检测的方法一实施例中的步骤流程示意图；

图2是本发明恶意文件检测的方法另一实施例中的步骤流程示意图；

图3是本发明恶意文件检测的方法又一实施例中的步骤流程示意图；

图4是本发明恶意文件检测的方法一实施例中的另一步骤流程示意图；

图5是本发明恶意文件检测的方法一实施例中签名验证的步骤流程示意图；

图6是本发明恶意文件检测的装置一实施例中的结构示意图；

图7是本发明恶意文件检测的装置另一实施例中的结构示意图；

图8是本发明恶意文件检测的装置一实施例中异常验证模块的结构示意图；

图9是本发明恶意文件检测的装置一实施例中检测判定模块的结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

参照图1，提出本发明一种恶意文件检测的方法的一实施例。该方法可包括：

步骤S11、获取被检测文件的文件属性；

步骤S12、将获取的文件属性与预设的恶意文件属性类别库进行匹配，验证文件属性是否异常；当文件属性正常时，进行步骤S13；否则，进行步骤S15；

步骤S13、判定被检测文件为非恶意文件；

步骤S15、判定被检测文件为恶意文件并告警。

鉴于现有技术中对恶意文件的检测都需涉及到文件内容本身的鉴别，而获取恶意文件内容本身将会影响检测效率。因此，在本发明中可通过检验被检测文件的文件属性，从而判断被检测文件是否属于恶意文件，可提升恶意文件检测的效率。

参照图2，在上述步骤S15之前还包括：

步骤S14、验证被检测文件是否具备相应的签名；当具备时，进行步骤S13；否则，进行步骤S15。

参照图3，在上述方法之前（即步骤S11之前）还可包括：

步骤S10、收集恶意文件样本，根据恶意文件的文件属性进行分类，形成预设的恶意文件属性类别库。

在执行具体的检测之前，可预先建立恶意文件属性类别库，在检测时使用。其可通过收集恶意文件样本，并对恶意文件样本的属性进行归类，将获取的所有恶意文件属性类别保存，形成恶意文件属性类别库，为检测提供参考。由于该恶意文件属性类别库中只需存储恶意文件属性类别，相较于存储恶意文件特征的特征库，存储量较小，耗费资源也较少。

针对现有的恶意文件（比如木马病毒）通常以欺诈伪装的方式出现，该欺诈伪装的方式较常用大致可包括：文件图标异常或文件安全属性异常等。

该文件图标异常，如文件图标是系统文件夹图标（比如Windows文件夹图标）、IE图标或者其它常用应用图标等。

该文件名称异常，如该恶意文件与同目录下的文件夹同名，且将同名的文件夹属性置为隐藏。例如，该恶意文件可在C盘下面存在Windows目录中释放一个名称为Windows.exe的文件（名称中不显示文件扩展名），且该Windows.exe文件的图标是文件夹图标，然后把Windows目录隐藏，当用户点击该看似Windows文件夹的文件时，其实是运行了伪装的Windows.exe木马文件。另，如文件名与系统文件名相同或近似，但却不在系统目录，比如rundll32.exe、rundl132（小写的“L”换成了1）.exe、wininit.exe等。

该文件安全属性异常，可以是指访问控制列表ACL的异常，即与正常ACL的控制访问权限不同。正常文件的ACL（访问控制列表）里会包含当前用户、system、管理员、users等，而欺诈类木马会将自身安全属性的ACL修改为只包含everyone一个用户，且权限仅仅是只读，没有写权限和删除权限，从而无法手动删除。

本实施例中，对被检测文件的文件属性检测主要可包括：文件图标属性、文件名称属性和/或文件安全属性等。

参照图4，上述步骤S12可包括：

步骤S121、将获取的文件图标属性与恶意文件属性类别库进行匹配，验证文件图标属性是否异常；当文件图标属性异常时，进行步骤S14；当文件图标属性正常时，进行步骤S122；

步骤S122、将获取的文件名称属性与恶意文件属性类别库进行匹配，验证文件名称属性是否异常；当文件名称属性异常时，进行步骤S14；当文件名称属性正常时，进行步骤S123；

步骤S123、将获取的文件安全属性与恶意文件属性类别库进行匹配，验证文件安全属性是否异常；当文件安全属性异常时，进行步骤S14；当文件安全属性正常时，进行步骤S13。

本实施例的检测中，如果文件属性异常，比如被检测文件的图标与恶意文件属性类别库中图标一致，或者被检测文件与同目录的文件夹名称一致且同名文件夹被隐藏，或者文件名称与系统文件名称一致，或者安全属性规则与恶意文件属性类别库中的规则一致等，则进行相应的签名验证（比如正规数字签名或系统签名验证等）；如果文件属性，则判定被检测文件为非恶意文件。在检测中，该文件属性可设置为一个或多个；当文件属性为多个时，可依照设定顺序，依次对多个文件属性的异常进行检测。

上述针对文件属性的检测，即使恶意文件已进行变种，仍有可能被检测到。比如，无论木马自身的动态行为如指令序列、API调用组合如何变换，只要其的自身属性是具有欺骗性质的，都可根据其自身属性被快速识别。上述方式对付免杀效果很好。同时，不需要建设庞大的特征库系统，只需根据文件属性对进行欺诈的木马按属性进行归类汇总，形成恶意文件特征的特征库即可，减少资源的耗费。

本实施例中，在进行相应的签名验证时，可包括正规数字签名和/系统签名的检测。

参照图5，上述步骤S14可包括：

步骤S141、验证被检测文件是否具备正规数字签名；当具备时，进行步骤S13；当不具备时，进行步骤S142；

步骤S142、验证被检测文件是否具备系统签名；当具备时，进行步骤S13；当不具备时，进行步骤S15。

即使被检测文件的文件属性异常，但其如果具备正规数字签名信息或者系统签名（比如Windows签名等，即被Windows编录），则还可认为该被检测文件是非恶意文件，否则可判定该被检测文件为高可疑欺诈类文件（恶意文件）。在判定为恶意文件时，可通过告警进行提醒，该告警提醒方式可包括文字、音频和/或视频等提醒方式。

上述恶意文件检测的方法，针对恶意文件（比如欺诈伪装类木马等），根据被检测文件自身的文件属性信息并结合预先建立的恶意文件属性类别库，对被检测文件体进行启发式的判断，准确及时的识别出恶意文件。

参照图6，提出本发明一种恶意文件检测的装置20的一实施例。该装置20可包括：属性获取模块21、异常验证模块22以及检测判定模块23；该属性获取模块21，用于获取被检测文件的文件属性；该异常验证模块22，用于将获取的文件属性与预设的恶意文件属性类别库进行匹配，验证文件属性是否异常；该检测判定模块23，用于当文件属性异常时，判定被检测文件为恶意文件并告警。

鉴于现有技术中对恶意文件的检测都需涉及到文件内容本身的鉴别，而获取恶意文件内容本身将会影响检测效率。因此，在本发明中可通过检验被检测文件的文件属性，从而判断被检测文件是否属于恶意文件，可提升恶意文件检测的效率。

参照图7，上述装置20还可包括：类别建立模块24，用于收集恶意文件样本，根据恶意文件的文件属性进行分类，形成预设的恶意文件属性类别库。

在执行具体的检测之前，可预先建立恶意文件属性类别库，在检测时使用。其可通过收集恶意文件样本，并对恶意文件样本的属性进行归类，将获取的所有恶意文件属性类别保存，形成恶意文件属性类别库，为检测提供参考。由于该恶意文件属性类别库中只需存储恶意文件属性类别，相较于存储恶意文件特征的特征库，存储量较小，耗费资源也较少。

针对现有的恶意文件（比如木马病毒）通常以欺诈伪装的方式出现，该欺诈伪装的方式较常用大致可包括：文件图标异常或文件安全属性异常等。

该文件图标异常，如文件图标是系统文件夹图标（比如Windows文件夹图标）、IE图标或者其它常用应用图标等。

该文件名称异常，如该恶意文件与同目录下的文件夹同名，且将同名的文件夹属性置为隐藏。例如，该恶意文件可在C盘下面存在Windows目录中释放一个名称为Windows.exe的文件（名称中不显示文件扩展名），且该Windows.exe文件的图标是文件夹图标，然后把Windows目录隐藏，当用户点击该看似Windows文件夹的文件时，其实是运行了伪装的Windows.exe木马文件。另，如文件名与系统文件名相同或近似，但却不在系统目录，比如rundll32.exe、rundl132（小写的“L”换成了1）.exe、wininit.exe等。

该文件安全属性异常，正常文件的ACL（访问控制列表）里会包含当前用户、system、管理员、users等，而欺诈类木马会将自身安全属性的ACL修改为只包含everyone一个用户，且权限仅仅是只读，没有写权限和删除权限，从而无法手动删除。

本实施例中，对被检测文件的文件属性检测主要可包括：文件图标属性、文件名称属性和/或文件安全属性等。

参照图8，上述异常验证模块22可包括：图标验证子模块221、名称验证子模块222以及安全验证子模块223；该图标验证子模块221，用于将获取的文件图标属性与恶意文件属性类别库进行匹配，验证文件图标属性是否异常；当文件图标属性异常时，判断被检测文件是否具备相应的签名；该名称验证子模块222，用于当文件图标属性正常时，将获取的文件名称属性与恶意文件属性类别库进行匹配，验证文件名称属性是否异常；当文件名称属性异常时，判断被检测文件是否具备相应的签名；该安全验证子模块223，用于当文件名称属性正常时，将获取的文件安全属性与恶意文件属性类别库进行匹配，验证文件安全属性是否异常；当文件安全异常时，判断被检测文件是否具备相应的签名；当文件名称属性正常时，判定被检测文件为非恶意文件。

本实施例的检测中，如果文件属性异常，比如被检测文件的图标与恶意文件属性类别库中图标一致，或者被检测文件与同目录的文件夹名称一致且同名文件夹被隐藏，或者文件名称与系统文件名称一致，或者安全属性规则与恶意文件属性类别库中的规则一致等，则进行相应的签名验证（比如正规数字签名或系统签名验证等）；如果文件属性，则判定被检测文件为非恶意文件。在检测中，该文件属性可设置为一个或多个；当文件属性为多个时，可依照设定顺序，依次对多个文件属性的异常进行检测。

上述针对文件属性的检测，即使恶意文件已进行变种，仍有可能被检测到。比如，无论木马自身的动态行为如指令序列、API调用组合如何变换，只要其的自身属性是具有欺骗性质的，都可根据其自身属性被快速识别。上述方式对付免杀效果很好。同时，不需要建设庞大的特征库系统，只需根据文件属性对进行欺诈的木马按属性进行归类汇总，形成恶意文件特征的特征库即可，减少资源的耗费。

本实施例中，在进行相应的签名验证时，可包括正规数字签名和/系统签名的检测。

参照图9，上述检测判定模块还可用于：验证被检测文件是否具备相应的签名。上述检测判定模块23可包括：数字签名子模块231以及系统签名子模块232；该数字签名子模块231，用于验证被检测文件是否具备正规数字签名；当具备时，判定被检测文件为非恶意文件；该系统签名子模块232，用于当不具备时，验证被检测文件是否具备系统签名；当具备时，判定被检测文件为非恶意文件；当不具备时，判定被检测文件为恶意文件并告警。

即使被检测文件的文件属性异常，但其如果具备正规数字签名信息或者系统签名（比如Windows签名等，即被Windows编录），则还可认为该被检测文件是非恶意文件，否则可判定该被检测文件为高可疑欺诈类文件（恶意文件）。在判定为恶意文件时，可通过告警进行提醒，该告警提醒方式可包括文字、音频和/或视频等提醒方式。

上述恶意文件检测的装置20，针对恶意文件（比如欺诈伪装类木马等），根据被检测文件自身的文件属性信息并结合预先建立的恶意文件属性类别库，对被检测文件体进行启发式的判断，准确及时的识别出恶意文件。

以上所述仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (12)

1.一种恶意文件检测的方法，其特征在于，包括：

获取被检测文件的文件属性；所述文件属性包括：文件图标属性、文件名称属性和/或文件安全属性；

将获取的文件属性与预设的恶意文件属性类别库进行匹配，所述恶意文件属性类别库中存储恶意文件属性类别，通过检验被检测文件的文件属性与所述恶意文件属性类别库中存储的对应的恶意文件属性类别是否一致来验证文件属性是否异常；

当文件属性异常时，判定被检测文件为恶意文件并告警；其中，文件名称异常包括：被检测文件与同目录的文件夹名称一致且同名文件夹被隐藏。

2.根据权利要求1所述的恶意文件检测的方法，其特征在于，所述方法之前还包括：

收集恶意文件样本，根据恶意文件的文件属性进行分类，形成预设的恶意文件属性类别库。

3.根据权利要求2所述的恶意文件检测的方法，其特征在于，所述文件安全属性异常指的是访问控制列表ACL的异常。

4.根据权利要求1所述的恶意文件检测的方法，其特征在于，所述将获取的文件属性与预设的恶意文件属性类别库进行匹配，验证文件属性是否异常包括：

将获取的文件图标属性与恶意文件属性类别库进行匹配，验证文件图标属性是否异常；

当文件图标属性正常时，将获取的文件名称属性与恶意文件属性类别库进行匹配，验证文件名称属性是否异常；

当文件名称属性正常时，将获取的文件安全属性与恶意文件属性类别库进行匹配，验证文件安全属性是否异常；当文件安全属性正常时，判定被检测文件为非恶意文件。

5.根据权利要求1至4中任一项所述的恶意文件检测的方法，其特征在于，所述判定被检测文件为恶意文件并告警的步骤之前还包括：

验证被检测文件是否具备相应的签名。

6.根据权利要求5所述的恶意文件检测的方法，其特征在于，所述验证被检测文件是否具备相应的签名包括：

验证被检测文件是否具备正规数字签名；当具备时，判定被检测文件为非恶意文件；

当不具备时，验证被检测文件是否具备系统签名；当具备时，判定被检测文件为非恶意文件；当不具备时，判定被检测文件为恶意文件并告警。

7.一种恶意文件检测的装置，其特征在于，包括：

属性获取模块，用于获取被检测文件的文件属性；所述文件属性包括：文件图标属性、文件名称属性和/或文件安全属性；

异常验证模块，用于将获取的文件属性与预设的恶意文件属性类别库进行匹配，所述恶意文件属性类别库中存储恶意文件属性类别，通过检验被检测文件的文件属性与所述恶意文件属性类别库中存储的对应的恶意文件属性类别是否一致来验证文件属性是否异常；

检测判定模块，用于当文件属性异常时，判定被检测文件为恶意文件并告警；其中，文件名称异常包括：被检测文件与同目录的文件夹名称一致且同名文件夹被隐藏。

8.根据权利要求7所述的恶意文件检测的装置，其特征在于，所述装置还包括：

类别建立模块，用于收集恶意文件样本，根据恶意文件的文件属性进行分类，形成预设的恶意文件属性类别库。

9.根据权利要求8所述的恶意文件检测的装置，其特征在于，所述文件安全属性异常指的是访问控制列表ACL的异常。

10.根据权利要求7所述的恶意文件检测的装置，其特征在于，所述异常验证模块包括：

图标验证子模块，用于将获取的文件图标属性与恶意文件属性类别库进行匹配，验证文件图标属性是否异常；

名称验证子模块，用于当文件图标属性正常时，将获取的文件名称属性与恶意文件属性类别库进行匹配，验证文件名称属性是否异常；

安全验证子模块，用于当文件名称属性正常时，将获取的文件安全属性与恶意文件属性类别库进行匹配，验证文件安全属性是否异常；当文件安全属性正常时，判定被检测文件为非恶意文件。

11.根据权利要求7至10中任一项所述的恶意文件检测的装置，其特征在于，所述检测判定模块还用于：

验证被检测文件是否具备相应的签名。

12.根据权利要求11所述的恶意文件检测的装置，其特征在于，所述检测判定模块包括：

数字签名子模块，用于验证被检测文件是否具备正规数字签名；当具备时，判定被检测文件为非恶意文件；

系统签名子模块，用于当不具备时，验证被检测文件是否具备系统签名；当具备时，判定被检测文件为非恶意文件；当不具备时，判定被检测文件为恶意文件并告警。