CN103843002A - 使用云技术对恶意软件的动态清理 - Google Patents

Abstract

一种用于提供恶意软件清理的方法包括检测在连接到网络的第一装置上的潜在恶意软件。包括信息以允许连接到网络的第二装置确定适当的清理响应的请求通过网络从第一装置发送到第二装置。在接收请求时，第二装置尝试识别的适当清理响应，并且如果响应已识别，则通过网络将清理响应发送到第一装置。清理响应可由第一装置用于解决检测到的潜在恶意软件。

Description

使用云技术对恶意软件的动态清理

相关申请交叉引用

本申请要求具有2011年9月7日提出的美国专利申请13/227407的优先权，该申请通过引用整体结合于本文中。

背景技术

本公开内容一般涉及计算机安全性领域。更具体但非限制性地说，它涉及提供清理代码以在接近在装置上检测到恶意软件的时间从装置移除恶意软件以及消除其影响。

恶意软件(malware)是用于描述感染计算机系统并且能够具有变化程度的影响的恶意软件的广义术语。例如，恶意软件的影响能够从恼人和不需要的恶意广告软件和间谍软件到使计算机系统实际上变得无用的计算机病毒、蠕虫和特洛伊木马。通过连接到诸如因特网等网络的大量装置和到这些网络的高速连接的扩充，恶意软件威胁能够极快地从一个系统散布到另一个系统。因此，一般实践是在这些装置上采用某一类型的防病毒应用（术语防病毒涉及广泛的多种恶意软件）以检测在装置上的恶意软件，并且如果必要，则执行所需清理功能以移除恶意软件并且修复其影响。

由于恶意软件创建者不断引入新和独特形式的恶意软件，因此，防病毒应用必须定期更新以包括能够检测并且修复最近引入的恶意软件威胁的技术。相应地，防病毒软件提供商通常将定义文件作为更新分布到其防病毒应用。这些定义文件一般由表示已知恶意软件的特征文件(signature file)和如果检测到已知恶意软件则将其移除并且修复其影响的清理代码组成，系统文件能够与特征文件进行比较以检测恶意软件。然而，即使有这些更新，在新定义文件作为更新的一部分变得可用之前，恶意软件威胁也可能感染大量的计算机系统。

防病毒软件提供商因此采用了云技术以检测恶意软件。云技术允许经网络连接将服务和数据从远程位置提供到本地装置。例如，就使用防病毒软件的恶意软件检测而言，可利用云技术将有关基于装置上安装的定义文件不能识别为恶意软件的可疑系统文件的信息封装并且经因特网连接传送到与防病毒软件提供商相关联的网络装置以做进一步检查。网络装置能够评估提供的信息并且通过文件是或不是恶意软件的指示做出响应。因此，甚至在包含恶意软件的特征的更新的定义文件尚未作为软件更新的一部分提供的情况下，也可能使用云技术检测恶意软件。然而，响应使用云技术的恶意软件的检测，仅解决恶意软件的最常规的补救措施可用。例如，解决无用于其的特定清理代码的检测到的恶意软件的默认补救措施可以是简单地删除可疑文件。此类措施经常未能完全解决威胁，并且因此防病毒软件的用户要等待包含适当清理代码的下一软件更新以解决检测到的恶意软件。

甚至在使用本地装置上安装的防病毒应用检测到恶意软件的情况下，防病毒应用可不具有适当的清理代码。例如，防病毒应用可包括启发式检测技术，根据启发式检测技术，软件可不通过比较系统文件和已知恶意软件的特征，而是通过评估系统文件以检测与恶意软件相似的属性来检测恶意软件。使用此类型的检测，防病毒软件能够检测恶意软件而不使用表示特定恶意软件的特征。由于此技术不通过将文件识别为特定已知恶意软件，而是通过将文件识别为与恶意软件的一般属性相一致来检测恶意软件，因此，可能无特定清理代码将作为定义文件的一部分可用于解决检测到的恶意软件。此处同样地，用户可能要等待包含适当清理代码的下一软件更新以解决检测到的恶意软件。

因此，需要解决与现有技术相关联的这些和其它问题。

发明内容

在第一实施例中，一种用于提供恶意软件清理的方法包括检测在连接到网络的第一装置上的潜在恶意软件，通过网络将请求从第一装置发送到第二装置，请求包括允许第二装置确定适当清理响应的信息，以及通过网络在第一装置接收来自第二装置的清理响应，清理响应可由第一装置用于移除检测到的潜在恶意软件。

在第二实施例中，计算机程序产品包括执行第一实施例的方法的计算机指令。

在第三实施例中，系统包括客户端和服务器。客户端包括存储装置和操作性耦合到存储装置的处理器，处理器适用于执行在存储装置中存储的程序代码以检测潜在的恶意软件，并且通过网络发送包含与检测到的潜在恶意软件有关的信息的请求。服务器包括存储装置和操作性耦合到存储装置的处理器，处理器适用于执行在存储装置中存储的程序代码以通过网络接收来自客户端的请求，确定清理响应，并且通过网络将清理响应发送到客户端，清理响应可由客户端用于移除检测到的潜在恶意软件。

在第四实施例中，一种用于提供恶意软件清理的方法包括在第二装置通过网络接收来自第一装置的恶意软件清理请求，识别恶意软件清理请求的恶意软件定义部分，搜索第二装置的数据仓库是否有匹配识别的恶意软件定义部分的记录，以及通过网络将清理响应从第二装置发送到第一装置，清理响应从记录确定。

附图说明

图1是根据一个实施例，示出网络体系结构的框图。

图2是根据一个实施例，示出代表性硬件环境的框图。

图3是根据一个实施例，示出用于使用云技术提供动态恶意软件清理的过程的流程图。

图4是根据一个实施例，示出用于使用云技术提供动态恶意软件清理的网络体系结构的框图。

图5是根据一个实施例，示出用于使用云技术接收和处理对动态恶意软件清理的请求的过程的流程图。

具体实施方式

在下面的描述中，为便于解释，陈述了许多细节以便提供本发明的详尽理解。然而，本领域的技术人员将明白，本发明可在这些特定细节中的一些细节不存在的情况下实行。在其它情况下，结构和装置以方框图形式示出以避免混淆本发明。对无下标或后缀的号码的引用要理解为引用对应于引用号码的下标和后缀的所有实例。另外，在本公开内容中使用的语言主要选择用于实现可读性和指导目的，并且可未选择以描述或限定发明性主题，需确定此类发明性主题时参照权利要求。说明书对“一个实施例”或“一实施例”的引用指结合该实施例描述的特定特性、结构或特性包括在本发明的至少一个实施例中，并且对“一个实施例”或“一实施例”的多次引用不应理解为必要全部引用相同实施例。

图1根据一个实施例示出网络体系结构100。如图所示，提供了多个网络102。在当前网络体系结构100的上下文中，网络102可每个采用任何形式，包括但不限于局域网(LAN)、无线网络、诸如因特网等宽域网(WAN)、对等网络等。

与网络102耦合的是能够通过网络102进行通信的服务器104和客户端106。此类服务器104和/或客户端106可每个包括台式计算机、膝上型计算机、手持式计算机、移动电话、个人数字助理(PDA)、外设（例如，打印机等）、计算机的任何组件和/或能够通过网络102进行通信的任何其它类型的装置。至少一个网关108选择性地耦合在网络102之间，使得连接到特定网络102的每个服务器104和客户端106可以能够与连接到不同网络102的服务器104和客户端106进行通信。

图2根据一个实施例示出可与图1的服务器104和/或客户端106相关联的代表性硬件环境。此类图形根据一个实施例示出工作站的典型硬件配置，工作站具有诸如微处理器等中央处理单元210和经系统总线212互连的多个其它单元。

图2所示工作站包括随机存取存储器(RAM) 214、只读存储器(ROM) 216、用于连接诸如盘存储单元220的外设装置到总线212的I/O适配器218、用于连接键盘224、鼠标226、扬声器228、麦克风232和/或诸如触摸屏（未示出）等其它用户接口装置到总线212的用户接口适配器222、用于连接工作站到诸如图1的任何网络102等通信网络的通信适配器234及用于连接总线212到显示装置238的显示适配器236。

工作站上可驻留有任何所需操作系统。一实施例也可在提及的那些平台和操作系统外的平台和操作系统上实现。一个实施例可使用JAVA、C和/或C++语言或其它编程语言及面向对象的编程方法编写。面向对象的编程(OOP)已变得越来越多地用于开发复杂的应用。

本文中陈述的各种实施例可利用硬件、软件或其任何所需组合实现。能够实现本文中陈述的各种功能性的任何类型的逻辑均可利用。

参照图3，在一示例实施例中，示出用于使用云技术提供动态恶意软件清理的过程。为清晰起见，恶意软件清理的动作指包括但不限于寻求移除任何类型的恶意软件的影响，使其失效，将其隔离（即，在系统的单个区域中分隔以阻止有害影响散布到系统的其它区域）和/或修复任何类型的恶意软件的影响的任何动作。在所示实施例中，提供动态恶意软件清理从检测在装置上的恶意软件的过程开始。装置可能是能够受恶意软件影响的任何装置，如上面在图1中描述的任何装置。通过使用能够检测到恶意软件的任何所需技术，可检测在装置上的恶意软件。检测在装置上的恶意软件的过程可包括比较装置的文件和在装置上存储的已知恶意软件特征(signature)。备选，检测恶意软件的过程可包括将有关装置上的可疑文件的信息封装和传送到网络装置，以做出有关文件是否为恶意软件的确定。也可使用基于启发式或行为的检测技术，检测在装置上的恶意软件。如果在步骤302未检测到恶意软件，则尝试检测在装置上的恶意软件的过程继续。例如，如下面将描述的一样，搜索恶意软件可持续执行或者响应在装置上的某些事件而执行。

然而，如果在步骤302检测到恶意软件，则在步骤304确定用于检测到的恶意软件的适当清理过程在装置上是否可用。在一个实施例中，负责检测恶意软件的防病毒应用可确定清理代码是否可用作用于检测到的特定恶意软件的防病毒应用的一部分。在一个实施例中，如果用于检测到的特定恶意软件的清理过程不可用，过时，或者不可能提供令人满意结果，则适当的清理过程在装置不可用。如果适当的清理过程在装置可用，则在306，利用本地可用的清理过程移除检测到的恶意软件并且修复恶意软件的影响。在一个实施例中，使用本地可用清理过程移除检测到的恶意软件并且修复其影响306可包括执行作为在装置上安装的防病毒应用的一部分的程序代码。使用本地可用清理过程修复恶意软件并且移除其影响可以任何所需方式执行。

如果适当清理过程在装置不可用，则在308可使用装置的网络连接，通过通信网络将有关检测到的恶意软件的信息发送到服务器。在一个实施例中，借助于因特网连接，装置可访问服务器。然而，借助于诸如上面图1所述的那些连接等任何所需网络连接，装置可访问服务器。在一个实施例中，服务器可以是附属于在装置上安装的防病毒应用的提供商的服务器。虽然接收装置被描述为服务器，但将理解的是，接收装置可以是能够接收从装置发送的信息和相应地处理信息的任何网络装置。在一个实施例中，可以有能够接收来自装置的有关恶意软件的检测的信息的多个服务器。根据检测到的恶意软件的类型、装置的位置等等，可确定适当的服务器。服务器因此可以是能够接收信息并且提供适当的响应到装置的任何网络装置。

在一个实施例中，发送到服务器的信息可包括被识别为检测到的恶意软件的文件的哈希。在一个实施例中，可加密发送到服务器的信息。可使用私有密钥密码（即，对称密码）或公共密钥密码（即，非对称密码）将信息加密。然而，发送到服务器的信息可包括能够允许服务器识别与检测到的恶意软件相关联的适当清理响应的任何信息。例如，在一个实施例中，信息可由服务器用于执行数据库查找，交叉引用特定类型的恶意软件到对应清理响应。

响应有关检测到的恶意软件的信息的接收，服务器可在310通过适当的清理响应做出响应。如下面将更详细描述的一样，在各种实施例中，服务器提供的响应可包括引用装置上已经存在的清理代码（例如作为在装置上安装的防病毒应用的一部分）的指令、由装置执行的清理例程、引用装置上现有清理代码的指令和要由装置执行的清理例程的组合或从不同网络装置获得清理响应的指令。然而，响应可包括能够允许装置移除检测到的恶意软件并且修复其影响的任何内容。在步骤312，装置可利用响应移除检测到的恶意软件并且修复其影响。

参照图4，在一示例实施例中，用于提供动态恶意软件清理的网络体系结构包括上面已安装有防病毒应用408的工作站402。工作站402借助于网络连接403连接到网络426。工作站402示为个人计算机，但能够是能受恶意软件影响的任何装置，如上面图1中讨论的任何装置。在一个实施例中，工作站402可实际上是虚拟机（即，机器的软件实现），上面在执行防病毒应用408。

在一个实施例中，防病毒应用408可能由工作站402用于保护工作站402免于恶意软件威胁。防病毒应用408可配置成解决创建以中断工作站402的正常和预期操作的任何类型的恶意软件。此类恶意软件威胁可包括但不限于计算机病毒、蠕虫、特洛伊木马、间谍软件、恶意广告软件、垃圾邮件软件等。防病毒应用408例如可能检测到在工作站402上存在的恶意软件，并且采取必要的动作以移除检测到的恶意软件，使其失效，将其隔离等。

在一个实施例中，防病毒应用408可包含扫描触发器410和定义文件412。本领域普通技术人员将理解的是，防病毒应用408的内容的描绘此处用于引用某些对象以描述公开内容的实施例，而不是提供防病毒应用408的内容的详尽清单。

扫描触发器410可包括用于促使防病毒应用408启动工作站402的特定文件、文件目录等的评估的计算机代码。扫描触发器410可基于工作站402上各种事件的发生而被激活。例如，在一个实施例中，扫描触发器410可响应用户尝试访问文件而启动文件的评估。在另一实施例中，扫描触发器410可根据防病毒应用408的常规调度，启动文件或文件目录的评估。例如，扫描触发器410可基于常规调度间隔，触发特定文件或文件目录的评估。

定义文件412可包含恶意软件特征414、清理过程415和清理代码416。恶意软件特征414可包括已知恶意软件的代码的代表性模式或能够用于识别恶意软件的其它数据。在扫描触发器410启动时，可使用恶意软件特征414扫描特定文件，以确定文件中的任何代码是否匹配已知恶意软件的恶意软件特征414的任一个。定义文件412可另外包含有利于检测到的恶意软件的移除和恶意软件的任何影响的修复的清理代码416。在一个实施例中，清理代码416可包含用于移除恶意软件和/或减轻其影响的例程库。防病毒应用408可利用清理过程415启动清理代码416的适当例程。清理过程415可包含将特定恶意软件与要执行以解决恶意软件的清理代码416的适当清理例程相关的记录。例如，在识别特定恶意软件威胁时，防病毒应用408可咨询清理过程415以启动明确已知为抗击检测到的特定恶意软件威胁的清理代码416的某些例程的执行。如果检测到不同恶意软件威胁，则清理过程415可调用清理代码416的不同例程的执行。在一个实施例中，软件更新可例行由防病毒应用408的提供商提供，以便更新定义文件412以包括用于最近识别的恶意软件威胁的恶意软件特征414、清理过程415和清理代码416。

防病毒应用408可确定用于特定检测到的恶意软件威胁的清理过程415不可用，过时或不可能提供令人满意结果。例如，在一个实施例中，恶意软件检测可能是使用云技术的检测的结果。通过使用云技术，可利用在诸如服务器等远程网络位置存储而不是作为定义文件412的恶意软件特征414的一部分的特征，检测恶意软件。在一个实施例中，服务器可以是服务器404。通过使用此检测方法，本地装置402可通过网络连接提供有关可疑文件的信息到远程位置以便进行评估。然而，在使用云技术检测到恶意软件时，由于在定义文件412中没有用于检测到特定恶意软件的恶意软件特征414，因此，用于特定检测到的恶意软件的记录可在清理过程415不可用于指示抗击检测到的恶意软件的清理代码416。

在另一实施例中，恶意软件检测可基于特定文件的启发式分析。由于启发式分析检测恶意软件的一般模式，而不是特定类型的恶意软件，因此，用于利用启发式分析检测到的特定恶意软件的条目可在清理过程415中不可用于指示抗击检测到的恶意软件的适当清理代码416。

在仍有的另一实施例中，可将检测到的恶意软件识别为展示特定恶意软件的充分特性，从而利用定义文件412的恶意软件特征414能够识别它。然而，可确定检测到的恶意软件虽然具有恶意软件特征所基于的已知恶意软件的特性，但具有未在已知恶意软件中观察到的独特属性。相应地，可确定与恶意软件特征414所基于的已知恶意软件相关联的清理过程415可在应用检测到的恶意软件时不提供令人满意结果。因此，通过使用本文中公开的云技术，可降低提供用于检测到的恶意软件的不当清理的可能性。

在还有的另一实施例中，定义文件412可指示清理过程415已过时。例如，包含定义文件412的软件更新可认识到包括有用于其的恶意软件特征414的特定恶意软件威胁演进太快，使得应仅在使用云技术确定更适合的清理是否可用后才使用对应清理过程415。因此，在利用对应于快速演进的恶意软件威胁的清理近程415之前，防病毒应用408可使用云技术确定清理过程415是否仍适当。本领域普通技术人员将认识到可存在确定清理过程415不可用，过时或不可能提供令人满意结果的另外的原因。

根据图4所示实施例，在防病毒应用408确定清理过程415不可用，过时或不可能提供令人满意结果时，防病毒应用408可使用云技术请求恶意软件清理。如图所示，工作站402借助于到网络426的网络连接，连接到附属于防病毒应用408的提供商的服务器404。服务器404借助于网络连接405连接到网络426。服务器404可以是能够响应来自多个工作站402的网络请求并且执行下述功能的任何装置。在一个实施例中，网络426可以是因特网。然而，网络426可以是上面在图1中所述的任何网络。如图所示，防病毒应用408可提示工作站402使用网络426发出对来自服务器404的恶意软件清理的请求418。在一个实施例中，工作站402可发出请求，如用于恶意软件清理的域名系统(DNS)查询或超文本传送协议(HTTP)请求。在另一实施例中，工作站402可利用文件传送协议(FTP)将数据上载到服务器404。也可根据需要使用其它类型的请求。在一个实施例中，请求418可包含已检测为恶意软件的文件的哈希。在一个实施例中，请求418可包含加密的信息。在一个实施例中，请求418可包括密钥或其它数据，使得服务器404可将请求418鉴权为源于已知防病毒应用408的合法请求。在另一实施例中，请求418的接收可提示服务器发出请求，请求工作站402的用户输入密码以便对请求418进行鉴权。对恶意软件清理的请求418能够采取能提供必要信息到服务器404从而能够提供适当的恶意软件清理响应的任何形式。

响应接收对恶意软件清理的请求418，服务器404可评估请求的内容以识别检测到的恶意软件并且确定适当的响应。在一个实施例中，服务器404可咨询将特定恶意软件威胁与适当响应相关联的数据仓库428（例如，库、数据库或数据存储的其它部件）。在一个实施例中，服务器404可将工作站402提供的加密信息解密，并且使用解密的信息识别检测到的恶意软件，以及基于数据仓库428中的关系信息，确定适当的响应。在一个实施例中，服务器404可比较作为请求418的一部分发送的可疑文件的哈希和数据仓库428中文件哈希的数据库以确定适当响应。服务器404可识别检测到的恶意软件并且以任何所需方式确定适当的响应。

在服务器404已识别检测到的恶意软件并且确定适当响应后，服务器404可向工作站402发出响应420。在一个实施例中，响应可以是来自工作站402的DNS查询或HTTP请求的响应。在另一实施例中，响应420可利用文件传送协议（例如，FTP、TFTP、FTPS等）将数据传送到工作站402。在一个实施例中，响应420可被加密，并且必须由防病毒应用408解密。本领域普通技术人员将理解，响应420能够以任何所需方式做出以使用网络426将适当信息从服务器404传递到工作站402。

如下面将描述的一样，清理响应420可采用各种形式。在某些实施例中，清理响应420可包含清理指令和/或清理例程。为清晰起见，清理指令引用现有清理代码416的特定例程。另一方面，清理例程是清理代码416中未包括而作为响应420的一部分提供的可执行例程。

在一个实施例中，响应420可包含清理指令。此类清理信息例如可引用定义文件412的清理代码416的例程。虽然可能确定与检测到的恶意软件相关联的清理过程415不可用，过时或不可能提供令人满意结果，例如，由于不存在用于检测到的恶意软件的清理过程415记录，但可确定清理代码416中确实存在解决检测到的恶意软件需要的清理例程。响应请求418，服务器404可识别检测到的恶意软件，并且确定必要的清理代码416在定义文件412中已经可用。例如，对检测到的恶意软件的适当响应可以是现有例程的新组合。在一个实施例中，工作站404可将定义文件412的当前版本指示为请求418的一部分以便允许服务器404做出适当响应。备选，服务器404可在接收请求418后并且在发出响应420之前，向工作站404请求定义文件412的当前版本。相应地，响应420可提示防病毒应用408执行在指令中指示的清理代码416的某些例程，以移除检测到的恶意软件并且修复其影响。

在另一实施例中，响应420可包含要由防病毒应用408执行的清理例程。根据此实施例，响应请求418，服务器404可识别检测到的恶意软件，并且确定必要的清理例程在清理代码416中不可用。响应420因此可将必要的清理例程例如提供为要由防病毒应用408启动的可执行文件，而不引用清理代码416。在一个实施例中，如果用于检测到的恶意软件的清理例程在清理代码416的最近版本中可用，但请求418指示用于工作站402的定义文件412不是最新的，并且因此未包含适当的清理例程，则响应420可包含要由防病毒应用408启动的适当清理例程。备选，响应420可提供引用在最近定义文件412中清理例程的清理指令，并且提示工作站402获取最近的定义文件412，从而能够执行指令引用的清理例程。

在另一实施例中，响应420可包含清理例程及引用定义文件412的清理代码416中清理例程的指令。根据此实施例，响应请求418，服务器404可识别检测到的恶意软件并且确定一些必要的清理例程在清理代码416中可用，但完全解决检测到的特定恶意软件要求另外的清理例程。相应地，除引用清理代码416的清理例程的指令外，响应420可将清理例程例如提供为可执行文件。

在还有的另一实施例中，响应420可将上述任何响应委托给服务器406。就此而言，响应420可委托任何所需响应到服务器406。服务器406借助于网络连接407连接到网络426。响应420可提示工作站402向服务器406发出对恶意软件清理的请求422。在一个实施例中，请求422可以是DNS请求。可根据需要使用其它类型的请求。在一个实施例中，响应420可提供要作为请求422的一部分向服务器406显示的信息，以识别所需的特定恶意软件清理响应。这样，服务器404可在委托恶意软件清理的提供到服务器406的同时，提供诊断功能（例如，识别检测到的恶意软件并且确定适当的恶意软件清理）。相应地，诊断和提供任务能够在不同网络装置之间分开以便使用云技术最有效地提供恶意软件清理。由于请求422可包括识别所需特定恶意软件清理响应的信息，因此，服务器406可能只是通过请求的恶意软件清理响应424做出回复。在一个实施例中，响应420可提供将要为请求422的一部分向服务器406显示的密钥。这样，服务器406可将请求422鉴权为合法请求。也可利用其它鉴定技术。虽然图4只示出一个服务器404和一个服务器406，但应注意的是，多个服务器404和406可连接到网络426。在一个实施例中，响应420可指引工作站402到特定服务器406，服务器406预期具有经网络426到工作站402的最合乎需要的连接。在另一实施例中，可利用每个服务器406以提供用于一个或更多个特定威胁的恶意软件清理，使得对于一种类型的恶意软件的检测，响应420可能指引工作站402到特定服务器406，并且对于不同类型的恶意软件的检测，响应420可能指引工作站402到不同服务器406。

本领域普通技术人员将理解，图4所示每个网络通信（即，418、420、422和424）及已描述但未明确示出的那些通信可利用多个传输协议，包括但不限于传送控制协议(TCP)、用户数据报协议(UDP)和流控制传送协议(SCTP)。也将理解的是，可采取各种措施确保安全和可靠的通信，如数据加密、消息鉴权等。

参照图5，在一个实施例中，用于使用云技术接收和处理对动态恶意软件清理的请求的过程从在502在服务器404通过网络426从装置402接收恶意软件清理请求418开始。虽然接收装置被描述为服务器，但将理解的是，接收装置可以是能够如下所述接收恶意软件清理请求和处理请求的任何网络装置。在一个实施例中，网络426可以因特网，然而，网络426可以是能够有利于在装置402与服务器404之间通信的任何通信网络，如上面在图1中讨论的任何网络。在一个实施例中，请求418可由附属于在装置上安装的防病毒应用的提供商的服务器404接收。在一个实施例中，请求418可以是DNS请求。请求418可识别装置上检测到的特定类型的恶意软件。然而，请求418可包含能够允许接收装置404识别与检测到的恶意软件相关联的适当清理响应的任何信息。

在步骤504，服务器404识别请求418的恶意软件定义部分。请求418的恶意软件定义部分可识别在装置402上检测到的特定类型的恶意软件，以便允许服务器404识别与检测到的恶意软件相关联的适当清理响应420。在一个实施例中，识别请求418的恶意软件定义部分可包括将来自装置402的请求418解密。在另一实施例中，识别请求418的恶意软件定义部分可包括解析请求。例如，请求418可包括可与请求418的恶意软件定义部分分开的与在装置402上安装的防病毒应用相关联的版本和许可信息、装置402的地理和/或网络位置等。

定位请求418的恶意软件定义部分后，服务器404能够在506搜索匹配识别的软件定义的记录。在一个实施例中，服务器404可在将已知恶意软件威胁与对应清理响应相关联的数据仓库428中执行数据库查找，以检索匹配在请求418中识别的特定恶意软件定义的记录。在另一实施例中，如果请求418的恶意软件定义部分包含检测为恶意软件的文件的哈希，则该哈希可用于搜索表示已知恶意软件和对应恶意软件清理响应420的文件哈希的数据仓库428。

如果在508未定位用于特定恶意软件定义的匹配记录，则在510可创建对应于特定恶意软件定义的新恶意软件记录。在一个实施例中，恶意软件定义可添加到上述数据仓库428。新恶意软件记录可包含与包括恶意软件定义的请求418有关的另外信息。例如，恶意软件记录可提供有关启动了服务器404收到的请求418的装置的信息，如装置402的系统信息、装置402的位置等。在一个实施例中，新恶意软件记录的创建可提供已观察到新恶意软件威胁的告警。例如，可将告警提供到与防病毒应用的提供商相关联的一个或更多个人。此类告警可启动用于为新观察到的恶意软件确定适当清理响应420的过程。

如果在508定位匹配请求的恶意软件定义部分的记录，则在512确定可用清理响应420是否与定位的记录相关联。在一个实施例中，如果与其中存在定位的记录的数据仓库428相关联的清理字段不为空，则可确定存在清理响应420。如果在512确定清理响应420不可用，例如，如果匹配请求418的恶意软件定义的恶意软件定义先前已记录，但适当的清理响应420尚未确定，或者如果在510已创建的恶意软件记录，则在514可将请求排队。可保留请求，直至确定抗击恶意软件的适当清理响应420。在一个实施例中，服务器可将清理响应420可用时将提供清理响应的指示发送到装置。响应排队的请求，服务器可继续监视匹配恶意软件定义的记录以确定清理响应420是否可用。在一个实施例中，清理响应420可用于与请求418相关联的恶意软件时，可更新匹配恶意软件定义的数据仓库428的记录以在记录的清理字段中包括适当的清理响应420。

在512或516，清理响应420可用时，在518将请求418的清理响应420发送到装置。如上所述，响应420可利用能够输送清理响应420到装置的任何所需网络协议。清理响应可采用任何上述响应的形式。就此而言，响应420可采用能够通过网络提供恶意软件清理的任何形式。

虽然前面的公开内容已涉及包括在本地装置上安装的防病毒应用执行的各种功能的某些实施例，但要注意的是，防病毒应用的核心功能性实际上可完全利用云技术实现。通过利用公开的技术，防病毒应用可实现用于恶意软件威胁的检测和清理的提供两者的云技术。例如，在装置上安装的防病毒应用可只执行提示装置使用云技术请求恶意软件检测和清理的有限功能性。可能希望此类系统降低寻求禁用装置上防病毒应用的功能的攻击的效力，通过降低防病毒应用的处理使用来改进装置性能，并且降低或消除与防病毒应用相关联的频繁软件更新的提供相关联的成本。

要理解的是，上述描述旨在说明而不是限制。例如，上述实施例可相互组合使用。在查看上述说明后，本领域的技术人员将明白许多其它实施例。因此，本发明的范围应参照所附权利要求以及此类权利要求被授权的等同的完全范围来确定。

如上所解释的一样，公开的实施例包括用于提供恶意软件清理的示例方法，包括：利用处理器，检测在连接到网络的第一装置上的潜在恶意软件；利用处理器，通过网络将请求（例如，域名系统查询或鉴权信息）从第一装置发送到第二装置，请求包括允许第二装置确定清理响应的信息，以及利用处理器，通过网络在第一装置接收来自第二装置的清理响应，清理响应可由第一装置用于移除检测到的潜在恶意软件。示例方法还能够包括在将请求从第一装置发送到第二装置前，利用处理器确定在第一装置上不存在对应于检测到的潜在恶意软件的适当清理过程的动作。在另一示例中，确定在第一装置上不存在对应于检测到的潜在恶意软件的适当清理过程的动作能够包括确定现有清理过程不可接受。备选，清理响应能够包括执行在第一装置上存储的清理例程的指令，或者清理响应能够包括要由第一装置执行的清理例程。在一个示例中，清理响应包括要由第一装置执行的清理例程的第一集和执行在第一装置上存储的清理例程的第二集的指令。此外，检测在第一装置上潜在恶意软件的动作包括执行第一装置的文件的基于启发式的分析。在一个示例中，清理响应包括用于第一装置请求连接到网络的第三装置提供又一清理响应的指令。可选的是，在第一装置通过网络接收来自第三装置的又一清理响应，又一清理响应可由第一装置用于移除检测到的恶意软件。

Claims (21)

1. 一种用于提供恶意软件清理的方法，包括：

利用处理器检测在连接到网络的第一装置上的潜在恶意软件；

利用所述处理器，通过所述网络将请求从所述第一装置发送到第二装置，所述请求包括允许所述第二装置确定清理响应的信息；以及

利用所述处理器，通过所述网络在所述第一装置接收来自所述第二装置的所述清理响应，所述清理响应可由所述第一装置用于移除所述检测到的潜在恶意软件。

2. 如权利要求1所述的方法，还包括在将所述请求从所述第一装置发送到所述第二装置前，利用所述处理器确定在所述第一装置上不存在对应于所述检测到的潜在恶意软件的适当清理过程的动作。

3. 如权利要求2所述的方法，其中确定在所述第一装置上不存在对应于所述检测到的潜在恶意软件的适当清理过程的所述动作包括：

确定现有清理过程不可接受。

4. 如权利要求1所述的方法，其中所述清理响应包括执行在所述第一装置上存储的清理例程的指令。

5. 如权利要求1所述的方法，其中所述清理响应包括要由所述第一装置执行的清理例程。

6. 如权利要求1所述的方法，其中所述清理响应包括要由所述第一装置执行的清理例程的第一集和执行在所述第一装置上存储的清理例程的第二集的指令。

7. 如权利要求1所述的方法，其中检测在所述第一装置上潜在恶意软件的所述动作包括执行所述第一装置的文件的基于启发式的分析。

8. 如权利要求1所述的方法，其中所述请求是域名系统查询。

9. 如权利要求1所述的方法，其中允许所述第二装置确定所述适当清理响应的所述信息被加密。

10. 如权利要求1所述的方法，其中允许所述第二装置确定所述适当清理响应的所述信息包括表示所述潜在恶意软件的文件的哈希。

11. 如权利要求1所述的方法，其中所述请求包括鉴权信息。

12. 如权利要求1所述的方法，其中所述清理响应包括用于所述第一装置请求连接到所述网络的第三装置提供又一清理响应的指令。

13. 如权利求12所述的方法，还包括在所述第一装置通过所述网络接收来自所述第三装置的所述又一清理响应，所述又一清理响应可由所述第一装置用于移除所述检测到的恶意软件。

14. 一种系统，包括：

客户端，包括：

    存储装置，以及

    处理器，操作性耦合到所述存储装置，所述处理器适用于执行在所述存储装置中存储的程序代码以检测潜在的恶意软件，并且通过网络发送包含与所述检测到的潜在恶意软件有关的信息的请求；以及

服务器，包括：

    存储装置，以及

    处理器，操作性耦合到所述存储装置，所述处理器适用于执行在所述存储装置中存储的程序代码以通过所述网络接收来自所述客户端的所述请求，确定清理响应，并且通过所述网络将所述清理响应发送到所述客户端，所述清理响应可由所述客户端用于移除所述检测到的潜在恶意软件。

15. 如权利要求14所述的系统，其中所述请求是域名系统查询。

16. 如权利要求14所述的系统，其中确定所述清理响应的所述动作包括搜索所述服务器的数据仓库是否有对应于所述检测到的潜在恶意软件的信息。

17. 如权利要求14所述的系统，其中所述清理响应包括执行在所述客户端上存储的清理例程的指令。

18. 如权利要求14所述的系统，其中所述清理响应被加密。

19. 一种用于提供恶意软件清理的方法，包括：

利用处理器在第二装置通过网络接收来自第一装置的恶意软件清理请求；

利用所述处理器识别所述恶意软件清理请求的恶意软件定义部分；

利用所述处理器搜索所述第二装置的数据仓库是否有对应于所述识别的恶意软件定义部分的信息；

利用所述处理器通过所述网络将清理响应从所述第二装置发送到所述第一装置，所述清理响应从所述信息确定。

20. 如权利要求19所述的方法，其中识别恶意软件清理请求的恶意软件定义部分的所述动作包括解析所述恶意软件清理请求。

21. 一种在非暂时性计算机可读媒体上存储的计算机程序产品，包括：

用于执行如权利要求1所述的方法的计算机代码。

Images