CN103810428A - 一种宏病毒检测方法及装置 - Google Patents

一种宏病毒检测方法及装置 Download PDF

Info

Publication number
CN103810428A
CN103810428A CN201410061998.6A CN201410061998A CN103810428A CN 103810428 A CN103810428 A CN 103810428A CN 201410061998 A CN201410061998 A CN 201410061998A CN 103810428 A CN103810428 A CN 103810428A
Authority
CN
China
Prior art keywords
data file
macrovirus
detection module
macroblock
target data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201410061998.6A
Other languages
English (en)
Other versions
CN103810428B (zh
Inventor
王云峰
梁光彩
付志远
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Zhuhai Seal Interest Technology Co Ltd
Original Assignee
Zhuhai Juntian Electronic Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Zhuhai Juntian Electronic Technology Co Ltd filed Critical Zhuhai Juntian Electronic Technology Co Ltd
Priority to CN201410061998.6A priority Critical patent/CN103810428B/zh
Publication of CN103810428A publication Critical patent/CN103810428A/zh
Priority to PCT/CN2014/084389 priority patent/WO2015123972A1/zh
Priority to US14/901,883 priority patent/US10237285B2/en
Application granted granted Critical
Publication of CN103810428B publication Critical patent/CN103810428B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)
  • Storage Device Security (AREA)
  • Measuring Or Testing Involving Enzymes Or Micro-Organisms (AREA)

Abstract

本发明实施例公开了一种宏病毒检测方法及装置，方法包括：在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；利用调用的宏病毒检测模块，对目标数据文件进行检测。应用本发明实施例，宏病毒检测模块能识别所有数据文件的格式，也能进入到数据文件内部进行分析，提高了被检测数据文件的覆盖面。

Description

一种宏病毒检测方法及装置
技术领域
本发明涉及计算机安全技术领域，特别涉及一种宏病毒检测方法及装置。
背景技术
计算机科学中的宏，是指在数据文件中被程序语言允许使用的指令序列。宏病毒，是指寄存在数据文件或数据文件模版上，用宏语言编写的恶意指令序列，当用户打开被宏病毒感染的数据文件或者对被宏病毒感染的数据文件进行操作（例如保存、删除等）时，会将其激活，使其运行，从而造成其想要达到的后果。
随着计算机和互联网的发展，越来越多的人使用办公软件，带有宏病毒的数据文件很容易从地球的一端传播到另一端，因此宏病毒其影响范围和危害性不可小觑，对宏病毒的检测和清除已经成为当前计算机安全技术领域中一个非常重要的部分。
现有两种对宏病毒进行检测的方法，一种方法是利用杀毒软件对数据文件进行静态分析，利用复合数据文件格式对数据文件的结构进行分解识别，提取数据文件中所有宏的特征码，将提取的数据文件中所有宏的特征码与病毒库中宏病毒的特征码的进行对比匹配，如果匹配，则将匹配的宏清除；另一种方法是利用杀毒软件的主动防御功能来实时监控数据文件处理程序的行为，如果检测到有恶意行为，则截获该行为，暂停数据文件处理程序的执行，向用户提示该行为执行的结果以及可能造成的后果，只有当用户对该行为进行处理后，数据文件处理程序方可继续执行。
然而，在实际应用中，利用杀毒软件对数据文件进行静态分析对宏病毒进行检测的方法，要求杀毒软件能识别所有数据文件的结构并分析，但是由于不同的应用程序具有不同的数据文件结构，此种方法在实际应用中很难实现；另外，如果数据文件经过加密处理，即使杀毒软件能识别该数据文件的结构，但也无法获得该数据文件结构的具体内容，导致不能对数据文件的结构进行分析。这就造成此方法在对宏病毒进行检测时覆盖面较小。
利用杀毒软件的主动防御功能来实时监控数据文件处理程序行为的方法，会导致用户在对数据文件进行操作时，占用较高的系统资源，影响机器的整体性能。另外检测到的“恶意行为”，有可能是用户的正常操作行为，也有可能是真正意义上的恶意行为，但是行为监控的方法不能对二者进行加以区分，为了保证安全，只好频繁的示警，提示用户进行相应的处理，导致用户体验效果不佳。
发明内容
本发明实施例的目的在于提供一种宏病毒检测方法及装置，提高对宏病毒进行检测的数据文件的覆盖面，提高用户的体验效果，减少系统资源占用。
为达到上述目的，本发明实施例公开了一种宏病毒检测方法，包括：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
利用调用的宏病毒检测模块，对目标数据文件进行检测。
较佳的，所述调用预先注册为所述数据文件处理程序插件的宏病毒检测模块，包括：
检测目标数据文件中有无宏模块；
当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
所述利用调用的宏病毒检测模块，对目标数据文件进行检测，包括：
利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测。
较佳的，所述利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测，包括：
提取每一宏模块的特征；
利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；
如果满足预设的病毒特征匹配条件，则向用户输出确定性宏病毒告警信息。
较佳的，还包括：
在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配；
如果满足预设的微特征匹配条件，则向用户输出非确定性宏病毒告警信息。
较佳的，所述预设的微特征匹配条件，包括：
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
较佳的，还包括：
分析特征匹配的宏模块的执行过程以及执行后的结果；
检测系统中，是否存在分析出来的结果；
如果是，根据特征匹配的宏模块的执行过程以及执行后的结果，对系统进行逆向修复。
为达到上述目的，本发明实施例还公开了一种宏病毒检测装置，包括：
调用单元，用于在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
第一检测单元，用于利用调用的宏病毒检测模块，对目标数据文件进行检测。
较佳的，所述调用单元具体用于：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，检测目标数据文件中有无宏模块；
当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
所述第一检测单元，具体用于：
利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测。
较佳的，所述第一检测单元包括：提取子单元，第一匹配子单元和第一输出子单元，
所述提取子单元，用于提取每一宏模块的特征；
所述第一匹配子单元，用于利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；
所述第一输出子单元，用于在满足预设的病毒特征匹配条件的情况下，向用户输出确定性宏病毒告警信息。
较佳的，所述第一检测单元还包括：第二匹配子单元和第二输出子单元，
所述第二匹配子单元，用于在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配；
所述第二输出子单元，用于在满足预设的微特征匹配条件的情况下，则向用户输出非确定性宏病毒告警信息。
较佳的，所述预设的微特征匹配条件，包括：
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
较佳的，还包括：分析单元、第二检测单元和修复单元，
所述分析单元，用于分析特征匹配的宏模块的执行过程以及执行后的结果；
所述第二检测单元，用于检测系统中，是否存在分析模块分析出来的结果；
所述修复单元，用于在第二检测模块检测结果为是的情况下，根据特征匹配的宏模块的执行过程以及执行后的结果，对系统进行逆向修复。
由上述的技术方案可见，由于宏病毒检测模块被先注册为数据文件处理程序插件，在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，宏病毒检测模块被调用，进行目标数据文件的检测。因此宏病毒检测模块能识别所有数据文件的格式，也能进入到数据文件内部进行分析，提高了被检测数据文件的覆盖面。
另外，该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，被调用运行一次，检测完成后不再继续运行，相对现有技术中实时监控行为的方法，本发明实施例提供的方法减少了系统资源的占用，并且在用户使用数据文件的过程中也不会频繁的示警，提高了用户的体验效果。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明实施例提供的一种宏病毒检测方法的流程示意图；
图2为本发明实施例提供的另一种宏病毒检测方法的流程示意图；
图3为本发明实施例提供的一种宏病毒检测装置的结构示意图；
图4为本发明实施例提供的另一种宏病毒检测装置的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
图1为本发明实施例提供的一种宏病毒检测方法的流程示意图，包括如下步骤：
S101：在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
例如：数据文件处理程序为Microsoft Office2007（微软公司开发的办公软件，版本2007），目标数据文件为xxx.docx，将宏病毒检测模块A预先注册为Microsoft Office2007的插件；
当xxx.docx被打开、且还未对其内容进行加载的情况下，调用A，其中xxx.docx被打开包括xxx.docx含有密码，输入密码之后被打开的情况。
S102：利用调用的宏病毒检测模块，对目标数据文件进行检测。
利用A对xxx.docx进行检测。
在实际应用中，可以在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，检测目标数据文件中有无宏模块；当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测。
例如：Microsoft Office文档的VBE对象模型，如下表示：
VBE对象
  VBProjects
    VBProject
       VBComponents
         VBComponent
            CodeModule
其中，VBE对象：根对象，它包含所有其它可在Visual Basic forApplications中表示对象和集合；
VBProjects：VBProject对象的集合，表示开发环境中所有打开的工程；
VBProject对象：表示一工程即文档本身自己的模块工程；
VBComponents：VBComponent对象的集合，代表工程中的部件；
VBComponent对象：代表一个包含在工程中的部件，例如类模块或标准模块；
CodeModule对象：在诸如窗体，类或文档等部件之后表示程序代码（宏代码）。
根据VBE对象模型，首先获取该目标文件xxx.docx的VBE对象，然后通过这个对象获取CodeModule，其中CodeModule代表着宏模块，如果获取不到CodeModule，则表明xxx.docx中没有宏模块，如果获取到CodeModule，则表明xxx.docx中有宏模块，假设检测到xxx.docx中含有名称为macros的宏模块，利用调用的A对xxx.docx中名称为macros的宏模块进行检测。
进一步，在实际应用中，还可以提取每一宏模块的特征；利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；如果满足预设的病毒特征匹配条件，则向用户输出确定性宏病毒告警信息。
假设提取出的名称为macros的宏模块的特征为：在驱动目录下释放驱动文件xxx.sys，而宏病毒检测模块中内置的病毒特征包含：在驱动目录下释放驱动文件，则表示提取出的特征与宏病毒检测模块中内置的病毒特征匹配，向用户输出“xxx.docx文件中含有名称为macros的宏病毒”的告警信息。
对于excel而言，除了有宏模块之外，还可能拥有宏表，宏表是可以包含宏代码的表格的一种，通过指定的name来触发执行。如果，excel中含有宏表，提取宏表的对象集合sheets，然后一个个的去枚举，通过sheet的接口获取表格内的代码，提取特征，利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；如果满足预设的病毒特征匹配条件，则向用户输出确定性宏病毒告警信息。
在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配；如果满足预设的微特征匹配条件，则向用户输出非确定性宏病毒告警信息。
假设提取出的名称为macros的宏模块的特征为：含有delete模块，而宏病毒检测模块中内置的病毒特征不包含这个特征，宏病毒检测模块中内置的微特征包含这个特征，则表示提取出的特征与宏病毒检测模块中内置的微特征匹配，向用户输出“xxx.docx文件中含有名称为macros的宏模块可能含有宏病毒”的告警信息。
进一步，在实际应用中，还可以在有匹配的微特征、且提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值的情况下，向用户输出非确定性宏病毒告警信息。
假设宏病毒检测模块中的微特征包括：敏感字符串，可疑函数名和可疑模块名，其中将systemroot\drivers认为是敏感字符串，将名称带有add、delete或update的函数认为是可疑函数名，将名称带有autorun的模块认为是可疑模块名。
假设提取出的名称为macros的宏模块的特征为：含有4个带有systemroot\drivers的字符串，含有2个名称带有delete的函数，含有1个名称带有add的函数，含有2个名称带有autorun的子模块。
如果预设的阈值为8，提取出的名称为macros的宏模块的特征与宏病毒检测模块中的微特征匹配的个数总和9，大于预设的阈值8，表示提取出的名称为macros的宏模块可能含有宏病毒，向用户输出“xxx.docx文件中含有名称为macros的宏模块可能含有宏病毒”的告警信息。
如果预设的阈值为10，提取出的名称为macros的宏模块的特征与宏病毒检测模块中的微特征匹配的个数总和9，不大于预设的阈值10，表示提取出的名称为macros的宏模块不含有宏病毒，不向用户输出告警信息。
本发明实施例定义了两种宏病毒信息：其中“确定性宏病毒信息”是指：在目前杀毒技术的基础上，基本可以确定检测出的宏模块中确实含有目前已知的宏病毒存在的信息；相应地，“非确定性宏病毒信息”是指：在目前杀毒技术的基础上，检测出的宏模块中可能含有宏病毒的信息，对检测出的结果不确定。
应用本发明图1所示实施例，宏病毒检测模块被先注册为数据文件处理程序插件，在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，宏病毒检测模块被调用，进行目标数据文件的检测。因此宏病毒检测模块能识别所有数据文件的格式，也能进入到数据文件内部进行分析，提高了被检测数据文件的覆盖面。
另外，该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，被调用运行一次，检测完成后不再继续运行，相对现有技术中实时监控行为的方法，本发明实施例提供的方法减少了系统资源的占用，并且在用户使用数据文件的过程中也不会频繁的示警，提高了用户的体验效果。
需要说明的是，本实施例中没有考虑特征匹配的宏模块运行后，对系统造成的影响，下面针对特征匹配的宏模块运行后，对系统造成的影响的情况，本发明实施例还提供另一种宏病毒检测方法，参见图2所示，
本发明图2所示实施例在图1所示实施例基础上，增加S103：分析特征匹配的宏模块的执行过程以及执行后的结果；S104：检测系统中，是否存在分析出来的结果；S105：根据特征匹配的宏模块的执行过程，对系统进行逆向修复的步骤。
例如：分析出特征匹配的宏模块的执行过程以及执行后的结果为：在驱动目录下释放驱动文件xxx.sys，检测系统的驱动目录下是否存在文件xxx.sys，如果存在，将文件xxx.sys删除。
对于含有宏表的excel而言，还可以分析宏表的执行过程以及执行后的结果；检测系统中，是否存在分析出来的结果；根据宏表的执行过程，对系统进行逆向修复的步骤。
应用本发明图2所示实施例，能够对特征匹配的宏模块的执行过程以及执行后的结果对系统造成的影响进行分析，并根据分析对系统进行修复，保证系统在运行的过程中，没有特征匹配的宏模块执行后对系统造成影响的隐患。
图3为本发明实施例提供的一种宏病毒检测装置，包括调用单元301和第一检测单元302，
其中，调用单元301，用于在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
第一检测单元302，用于利用调用的宏病毒检测模块，对目标数据文件进行检测。
其中，调用单元301，具体用于：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，检测目标数据文件中有无宏模块；当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
第一检测单元302，具体用于：
利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测。
本实施例中的第一检测单元302包括：提取子单元，第一匹配子单元和第一输出子单元（图中未示出），
提取子单元，用于提取每一宏模块的特征；
第一匹配子单元，用于利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；
第一输出子单元，用于在满足预设的病毒特征匹配条件的情况下，向用户输出确定性宏病毒告警信息。
本实施例中的第一检测模块302还包括：第二匹配子单元和第二输出子单元（图中未示出），
第二匹配子单元，用于在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配；
第二输出子单元，用于在满足预设的病毒特征匹配条件的情况下，向用户输出非确定性宏病毒告警信息。
进一步，在实际应用中，预设的微特征匹配条件为：提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
应用本发明图3所示实施例，宏病毒检测模块被先注册为数据文件处理程序插件，在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，宏病毒检测模块被调用，进行目标数据文件的检测。因此宏病毒检测模块能识别所有数据文件的格式，也能进入到数据文件内部进行分析，提高了被检测数据文件的覆盖面。
另外，该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，被调用运行一次，检测完成后不再继续运行，相对现有技术中实时监控行为的方法，本发明实施例提供的方法减少了系统资源的占用，并且在用户使用数据文件的过程中也不会频繁的示警，提高了用户的体验效果。
图4为本发明实施例提供的另一种宏病毒检测装置，包括调用单元301、第一检测单元302、分析单元303、第二检测单元304和修复单元305，
其中，分析单元303，用于分析特征匹配的宏模块的执行过程以及执行后的结果；
第二检测单元304，用于检测系统中，是否存在分析模块分析出来的结果；
修复单元305，用于在第二检测模块检测结果为是的情况下，根据特征匹配的宏模块的执行过程以及执行后的结果，对系统进行逆向修复。
应用本发明图4所示实施例，能够对特征匹配的宏模块的执行过程以及执行后的结果对系统造成的影响进行分析，并根据分析对系统进行修复，保证系统在运行的过程中，没有特征匹配的宏模块执行后对系统造成影响的隐患。
需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机可读取存储介质中，这里所称得的存储介质，如：ROM/RAM、磁碟、光盘等。
以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (12)

1.一种宏病毒检测方法，其特征在于，包括：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
利用调用的宏病毒检测模块，对目标数据文件进行检测。
2.根据权利要求1所述的方法，其特征在于，
所述调用预先注册为所述数据文件处理程序插件的宏病毒检测模块，包括：
检测目标数据文件中有无宏模块；
当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
所述利用调用的宏病毒检测模块，对目标数据文件进行检测，包括：
利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测。
3.根据权利要求2所述的方法，其特征在于，所述利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测，包括：
提取每一宏模块的特征；
利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；
如果满足预设的病毒特征匹配条件，则向用户输出确定性宏病毒告警信息。
4.根据权利要求3所述的方法，其特征在于，还包括：
在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配；
如果满足预设的微特征匹配条件，则向用户输出非确定性宏病毒告警信息。
5.根据权利要求4所述的方法，其特征在于，所述预设的微特征匹配条件，包括：
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
6.根据权利要求3至5任意一项所述的方法，其特征在于，还包括：
分析特征匹配的宏模块的执行过程以及执行后的结果；
检测系统中，是否存在分析出来的结果；
如果是，根据特征匹配的宏模块的执行过程以及执行后的结果，对系统进行逆向修复。
7.一种宏病毒检测装置，其特征在于，包括：
调用单元，用于在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
第一检测单元，用于利用调用的宏病毒检测模块，对目标数据文件进行检测。
8.根据权利要求7所述的装置，其特征在于，所述调用单元具体用于：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，检测目标数据文件中有无宏模块；
当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
所述第一检测单元，具体用于：
利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测。
9.根据权利要求8所述的装置，其特征在于，所述第一检测单元包括：提取子单元，第一匹配子单元和第一输出子单元，
所述提取子单元，用于提取每一宏模块的特征；
所述第一匹配子单元，用于利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；
所述第一输出子单元，用于在满足预设的病毒特征匹配条件的情况下，向用户输出确定性宏病毒告警信息。
10.根据权利要求9所述的装置，其特征在于，所述第一检测单元还包括：第二匹配子单元和第二输出子单元，
所述第二匹配子单元，用于在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特征和提取的特征进行匹配；
所述第二输出子单元，用于在满足预设的微特征匹配条件的情况下，则向用户输出非确定性宏病毒告警信息。
11.根据权利要求10所述的装置，其特征在于，所述预设的微特征匹配条件，包括：
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
12.根据权利要求9至11任意一项所述的装置，其特征在于，还包括：分析单元、第二检测单元和修复单元，
所述分析单元，用于分析特征匹配的宏模块的执行过程以及执行后的结果；
所述第二检测单元，用于检测系统中，是否存在分析模块分析出来的结果；
所述修复单元，用于在第二检测模块检测结果为是的情况下，根据特征匹配的宏模块的执行过程以及执行后的结果，对系统进行逆向修复。
CN201410061998.6A 2014-02-24 2014-02-24 一种宏病毒检测方法及装置 Active CN103810428B (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201410061998.6A CN103810428B (zh) 2014-02-24 2014-02-24 一种宏病毒检测方法及装置
PCT/CN2014/084389 WO2015123972A1 (zh) 2014-02-24 2014-08-14 宏病毒检测方法及装置
US14/901,883 US10237285B2 (en) 2014-02-24 2014-08-14 Method and apparatus for detecting macro viruses

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410061998.6A CN103810428B (zh) 2014-02-24 2014-02-24 一种宏病毒检测方法及装置

Publications (2)

Publication Number Publication Date
CN103810428A true CN103810428A (zh) 2014-05-21
CN103810428B CN103810428B (zh) 2017-05-24

Family

ID=50707181

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410061998.6A Active CN103810428B (zh) 2014-02-24 2014-02-24 一种宏病毒检测方法及装置

Country Status (3)

Country Link
US (1) US10237285B2 (zh)
CN (1) CN103810428B (zh)
WO (1) WO2015123972A1 (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015123972A1 (zh) * 2014-02-24 2015-08-27 珠海市君天电子科技有限公司 宏病毒检测方法及装置
CN105488410A (zh) * 2015-05-19 2016-04-13 哈尔滨安天科技股份有限公司 一种excel宏表病毒的检测方法及系统
CN107819783A (zh) * 2017-11-27 2018-03-20 深信服科技股份有限公司 一种基于威胁情报的网络安全检测方法及系统
CN109800568A (zh) * 2018-12-29 2019-05-24 360企业安全技术(珠海)有限公司 文档文件的安全防护方法、客户端、系统及存储介质
CN111125701A (zh) * 2019-12-24 2020-05-08 深信服科技股份有限公司 文件检测方法、设备、存储介质及装置

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10534917B2 (en) * 2017-06-20 2020-01-14 Xm Cyber Ltd. Testing for risk of macro vulnerability
KR102284646B1 (ko) * 2019-10-25 2021-08-03 소프트캠프 주식회사 문서 파일에 구성된 매크로의 악성코드 감염 확인 방법과 시스템
CN115189926B (zh) * 2022-06-22 2024-01-26 北京天融信网络安全技术有限公司 网络流量的检测方法、网络流量的检测系统和电子设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102045368A (zh) * 2011-01-20 2011-05-04 中兴通讯股份有限公司 智能移动终端的病毒防御方法及系统
CN103019872A (zh) * 2012-10-15 2013-04-03 北京奇虎科技有限公司 浏览器修复方法与装置
CN103294955A (zh) * 2013-06-28 2013-09-11 北京奇虎科技有限公司 宏病毒查杀方法及系统

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5951698A (en) * 1996-10-02 1999-09-14 Trend Micro, Incorporated System, apparatus and method for the detection and removal of viruses in macros
US6577920B1 (en) 1998-10-02 2003-06-10 Data Fellows Oyj Computer virus screening
US6697950B1 (en) * 1999-12-22 2004-02-24 Networks Associates Technology, Inc. Method and apparatus for detecting a macro computer virus using static analysis
US6986051B2 (en) * 2000-04-13 2006-01-10 International Business Machines Corporation Method and system for controlling and filtering files using a virus-free certificate
GB2378273A (en) * 2001-07-31 2003-02-05 Hewlett Packard Co Legitimate sharing of electronic content
US7409717B1 (en) * 2002-05-23 2008-08-05 Symantec Corporation Metamorphic computer virus detection
US7418729B2 (en) * 2002-07-19 2008-08-26 Symantec Corporation Heuristic detection of malicious computer code by page tracking
US7882561B2 (en) * 2005-01-31 2011-02-01 Microsoft Corporation System and method of caching decisions on when to scan for malware
US8365286B2 (en) * 2006-06-30 2013-01-29 Sophos Plc Method and system for classification of software using characteristics and combinations of such characteristics
GB0822619D0 (en) * 2008-12-11 2009-01-21 Scansafe Ltd Malware detection
US8726388B2 (en) * 2011-05-16 2014-05-13 F-Secure Corporation Look ahead malware scanning
CN102708320B (zh) 2012-05-04 2015-05-06 北京奇虎科技有限公司 一种病毒apk的识别方法及装置
CN102841999B (zh) * 2012-07-16 2016-12-21 北京奇虎科技有限公司 一种文件宏病毒的检测方法和装置
CN103810428B (zh) * 2014-02-24 2017-05-24 珠海市君天电子科技有限公司 一种宏病毒检测方法及装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102045368A (zh) * 2011-01-20 2011-05-04 中兴通讯股份有限公司 智能移动终端的病毒防御方法及系统
CN103019872A (zh) * 2012-10-15 2013-04-03 北京奇虎科技有限公司 浏览器修复方法与装置
CN103294955A (zh) * 2013-06-28 2013-09-11 北京奇虎科技有限公司 宏病毒查杀方法及系统

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015123972A1 (zh) * 2014-02-24 2015-08-27 珠海市君天电子科技有限公司 宏病毒检测方法及装置
US10237285B2 (en) 2014-02-24 2019-03-19 Zhuhai Juntian Electronic Technology Co., Ltd. Method and apparatus for detecting macro viruses
CN105488410A (zh) * 2015-05-19 2016-04-13 哈尔滨安天科技股份有限公司 一种excel宏表病毒的检测方法及系统
CN107819783A (zh) * 2017-11-27 2018-03-20 深信服科技股份有限公司 一种基于威胁情报的网络安全检测方法及系统
CN109800568A (zh) * 2018-12-29 2019-05-24 360企业安全技术(珠海)有限公司 文档文件的安全防护方法、客户端、系统及存储介质
CN109800568B (zh) * 2018-12-29 2021-01-15 360企业安全技术(珠海)有限公司 文档文件的安全防护方法、客户端、系统及存储介质
CN111125701A (zh) * 2019-12-24 2020-05-08 深信服科技股份有限公司 文件检测方法、设备、存储介质及装置
CN111125701B (zh) * 2019-12-24 2022-04-29 深信服科技股份有限公司 文件检测方法、设备、存储介质及装置

Also Published As

Publication number Publication date
US20160156645A1 (en) 2016-06-02
WO2015123972A1 (zh) 2015-08-27
CN103810428B (zh) 2017-05-24
US10237285B2 (en) 2019-03-19

Similar Documents

Publication Publication Date Title
CN103810428A (zh) 一种宏病毒检测方法及装置
US10621349B2 (en) Detection of malware using feature hashing
KR101162051B1 (ko) 문자열 비교 기법을 이용한 악성코드 탐지 및 분류 시스템 및 그 방법
CN103365699B (zh) 基于apk的系统api和运行时字符串的提取方法及系统
CN101751530B (zh) 检测漏洞攻击行为的方法及设备
Sabhadiya et al. Android malware detection using deep learning
CN104598824A (zh) 一种恶意程序检测方法及其装置
CN107688743B (zh) 一种恶意程序的检测分析方法及系统
CN103679031A (zh) 一种文件病毒免疫的方法和装置
KR101851233B1 (ko) 파일 내 포함된 악성 위협 탐지 장치 및 방법, 그 기록매체
CN102012988B (zh) 自动二进制恶意代码行为分析方法
CN104217162A (zh) 一种智能终端恶意软件的检测方法及系统
US11809556B2 (en) System and method for detecting a malicious file
CN104680065A (zh) 病毒检测方法、装置及设备
CN103294951A (zh) 一种基于文档型漏洞的恶意代码样本提取方法及系统
Choi et al. All-in-one framework for detection, unpacking, and verification for malware analysis
CN105975302A (zh) 一种应用安装方法及终端
CN110858247A (zh) 安卓恶意应用检测方法、系统、设备及存储介质
US10275596B1 (en) Activating malicious actions within electronic documents
EP3800570B1 (en) Methods and systems for genetic malware analysis and classification using code reuse patterns
CN111291377A (zh) 一种应用漏洞的检测方法及系统
CN112632538A (zh) 一种基于混合特征的安卓恶意软件检测方法及系统
CN116389148B (zh) 一种基于人工智能的网络安全态势预测系统
CN116932381A (zh) 小程序安全风险自动化评估方法及相关设备
CN114143074B (zh) webshell攻击识别装置及方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
TR01 Transfer of patent right

Effective date of registration: 20181212

Address after: Room 105-53811, No. 6 Baohua Road, Hengqin New District, Zhuhai City, Guangdong Province

Patentee after: Zhuhai Seal Interest Technology Co., Ltd.

Address before: 519070, six level 601F, 10 main building, science and technology road, Tangjia Bay Town, Zhuhai, Guangdong.

Patentee before: Zhuhai Juntian Electronic Technology Co.,Ltd.

TR01 Transfer of patent right