CN104123495A - 一种用于清除阻止计算机运行的恶意软件的方法 - Google Patents

Abstract

一种用于清除阻止计算机运行的恶意软件的方法，通过使用针对计算机用户激活的反恶意软件程序而开发的独立防病毒激活设备进行操作，防病毒激活设备由连接到控制总线的连接器、控制器以及激活装置组成，解除限制和恶意软件清除程序包括：检查操作系统的图形子系统状态，搜索所有创建的窗口及用户看过的桌面；分析感染时计算机执行的所有流程；在所收集的数据基础上创建从每一个所述窗口和桌面到特定流程和/或流程层次结构的绑定；分析流程中的数据并识别运行流程中涉及的每个流程的加载模块；搜索操作系统启动过程中自动运行的软件；编译认为恶意的软件列表；隔离每个恶意软件，且从操作系统配置文件中删除其链接，然后终止该软件生成的恶意程序。

Description

一种用于清除阻止计算机运行的恶意软件的方法

技术领域

本发明涉及防病毒保护领域，尤其是一种用于清除阻止计算机运行的恶意软件的方法。

背景技术

现有防恶意软件保护系统可以用两种方法进行检测：

·通过先前从恶意文件内容中所获得的特征数据(签名、图案和校验和等)；

·通过恶意软件行为(启发式和行为分析器)。

这两个是经典的有效抵御已知恶意软件的方法。然而不幸地是它们对最近新的恶意软件不起作用。首要原因是它们的特征数据(签名和校验和)还没有进入反病毒软件的病毒库。其次在于启发式和行为分析器并没有发现任何危险，因为恶意软件是黑客为了不引起反病毒程序行为分析器的怀疑而改变其行为专门开发出来的。因此这款对反病毒程序来说仍然不熟悉的恶意软件在用户运行被感染了的电脑时就会暴露出来。勒索软件就是这样阻止电脑运行和启动的，例如，通过显示信息，由用户来执行它们的刑事勒索(通常以某种方式进行支付)。因此，很显然用户的电脑感染了病毒(因为恶意程序要求用户进行一定操作)，电脑运行被阻止，用户不能正常工作，甚至不能启动程序来杀毒。此外，防病毒系统不检测、也不清除病毒感染，因为它既不能通过典型的迹象也不能通过恶意行为来确定任何新的威胁。

发明内容

本发明的目的是提供一种直接由个人计算机用户执行的活动性感染清除程序，用户可以检测感染并且通过可连接到电脑上的外部激活设备与被感染系统共同运行的防病毒复合体相互作用而进行杀毒。此外，这个程序可以分析操作系统内部数据的现有状态(活动性感染)，并选择一种特定方法阻止活动性恶意软件。活动性恶意软件以下简称为指恶意软件，它通过被感染的个人计算机在特定的时间内运行，并以某种方式暴露自己。

因此，因为防病毒系统既不能通过典型的迹象也不能通过恶意行为来确定任何新的威胁，所以当它们不检测及清除病毒感染时，使用这种方法可以解决上述常规防病毒系统问题。这是通过用户向杀毒软件反映计算机病毒感染情况，并提前启动搜索和恶意软件清除程序来实现的，但只适用于活动性感染阶段。因此这种方法的特征在于：

·当恶意程序已禁止或限制使用个人电脑上常规输入设备时，如键盘和鼠标(这是典型勒索软件行为的例子)，使用独立的外围设备可以激活清除程序；

·可以进行恶意软件清除及随后的解除限制步骤而无需重启电脑，也不会丢失当前未保存的用户数据；

·由于用户启动清除程序之后检测到病毒感染，可以检测并删除或禁用先前并不存在于反病毒程序病毒库中的恶意软件，并进一步自动分析感染时操作系统的当前状态；

·作为评估一个特定程序被病毒感染的严重程度的主要标准之一,检测行为分析器未能根据其行为识别的恶意软件不仅仅是通过软件的正式行为呈现的，而且通过用户信号接受(通过正在使用的激活设备)以及软件特征(时空和情景)来实现的；

·可以简化防病毒复合体和用户之间的互动，其中对于激活恶意软件清除程序，用户只需要插入设备，然后按下按钮，而不需要其他多余的操作，但要求是计算机安全领域的高学历人士。

本发明的技术效果是在不丢失数据及重启电脑的情况下提供解除电脑限制的可能性，提升防病毒系统运行的效率，从而提高电脑系统的安全性。

本发明提供一种清除阻止电脑运行的恶意软件的方法，这种方法通过专门针对计算机用户运行的反病毒软件程序激活而开发的独立的反病毒激活设备来操作的，反病毒激活设备由连接到控制总线的连接器、通过控制总线提供设备运行软硬件的逻辑电路和通信的控制器以及激活装置组成。上述方法包括：

1.连接防病毒激活设备和计算机。

2.从激活装置发送激活信号。

3.通过激活设备启动解除限制和恶意软件清除程序。

因此，所述解除限制和恶意软件清除程序包括：检查操作系统的图形子系统状态，搜索所有创建的窗口及用户看过的桌面；分析感染时计算机执行的所有流程；在所收集的数据基础上创建从每一个所述窗口和桌面到特定流程和/或流程层次结构的绑定；分析流程中的数据并识别运行流程中涉及的每个流程的加载模块；搜索操作系统启动过程中自动运行的软件；编译认为恶意的软件列表；隔离每个恶意软件，且从操作系统配置文件中删除其链接，然后终止该软件生成的恶意程序。

附图说明

图1所示为一种防病毒激活设备概念实施例的示意图。

图2所示为以勒索软件为例，阐述清除恶意软件的基本步骤。

图3所示为解除限制和恶意软件清除程序的流程图。

具体实施方式

为解决所述及相关问题，下面将结合说明和附图对本发明实施例进行具体描述。然而，这些实施例仅仅是使用所公开原则的一些可能的方法，旨在涵盖所有相似及相同的说明。下面将结合附图对其它优点和特点进行详细描述。

下面将进行具体详细描述以便全面理解本发明。然而显而易见的是没有具体详细描述，也可以实施一些新颖的具体实施例。此外，为了方便描述，将通过流程图阐述常规的步骤、结构和装置。

用于激活恶意软件清除程序的防病毒激活设备(图1)可以通过个人计算机中的标准通信总线，如通用串行总线(USB)、COM端口、LPT端口、(s)ATA端口及火线等，连接到计算机上。因此，反病毒激活设备由连接到特定控制总线的连接器1、通过控制总线提供设备运行硬软件的逻辑电路和通信的控制器2以及激活装置3组成，激活装置可以配置成按钮、感应器或开关。值得注意的是在本说明书中只对具体实施例中的一个进行描述，因此其余具体实施例的技术效果可能会显著不同。

以勒索软件为例，进一步阐述清除恶意软件的基本步骤(图2)。

1.运行计算机(21)时输入数据及创建新的文件(26)会使用户的计算机感染(22)勒索软件，要求用户支付一定钱款或执行任何其他操作以获得电脑恢复运行的方法。恶意软件禁止或限制键盘和鼠标的操作，从而使用户不能使用现有电脑设施删除该款恶意软件，也不能继续运行电脑或甚至保存已输入数据。

2.用户把防病毒激活设备(10)连接(23)到个人计算机。通过标准通信总线连接器连接到计算机后会发生以下的情况：

a.电脑硬件(总线控制器和低级输入输出系统)及内存地址空间中当前加载和计算机处理器运行的操作系统28识别防病毒激活设备10；

b.电脑硬件运行的当前操作系统28发送相应信号，使防病毒激活设备10可以加载管理应用程序(设备驱动程序)。

c.管理应用程序(驱动程序)为当前操作系统28设置防病毒激活设备10，尤其使其能使用硬件资源。

3.用户按下防病毒激活设备10上的按钮(启动开关)，激活解除限制和恶意软件清除程序，此操作按照以下事件顺序在处理器和地址空间中进行：

a.防病毒激活设备10的控制器接收到来自开关(按钮)的信号，然后与通信总线生成一系列指令；

b.这些指令被计算机硬件接受，其中计算机总线与防病毒激活设备10相连(总线控制器和输入输出系统参与操作)，并且发送到计算机处理器中运行的、使用随机存取内存的当前操作系统28中；

c.接收到处理操作系统28的数据后发送到先前在步骤2.b加载的相应防病毒激活设备10驱动程序。

d.驱动程序接收操作系统28激活开关上的数据，并报告给在当前操作系统28上运行的防病毒软件。

e.防病毒软件接收到激活信号并启动电脑解除限制和恶意软件清除程序24。因此，通过外部设备可以在没有被恶意软件阻止的常规输入设备的情况下进行激活。

用户被告知解除限制和恶意软件清除程序完成后，就可以卸载防病毒激活设备10了。因此，没有数据丢失29，勒索软件也没有造成损失，计算机可以继续运行25。

下面将具体描述个人计算机解除限制和恶意软件清除程序(图3)的流程。

通过防病毒软件进行解除限制和恶意软件清除可以帮助用户电脑恢复高效运行，以下为实施过程：

a.操作系统启动恶意软件清除程序时，追踪所有当前图形用户界面31窗口的子系统可以检查德州仪器图形架构32操作系统的状态，找到所有创建的窗口和用户观看过的桌面33，以及窗口中输入输出操作，获取34用户当前的输入输出数据35，包括隐藏的文件。这些窗口分为常规软件窗口和恶意软件窗口36。这些数据列入列表37并发送作进一步处理。

b.整合到防病毒软件用于检测38操作系统进程的浏览器39的子系统，其中系统进程由当前处理器和随机存取内存运行，在计算机中毒时分析计算机所有的流程，同时创建流程相互关系模式。恶意软件流程310是这些流程中的一个。在所收集的数据基础上对前一步骤中的每个窗口和特定流程和/或流程层次结构311进行绑定。

c.分析加载模块312的系统对流程中所接收到的数据进行分析，并识别每个流程中加载到参与运行的地址空间313的模块。通过每个模块文件控制系统浏览器314，判断文件中存储的内容。在这些模块中，检测正在运行的恶意软件315模块。与模块相关的数据存入模块列表中，并绑定到相应流程和文件316中。

d.作为防病毒复合体中的一部分，分析在操作系统启动317时自动运行的软件的程序可以搜索操作系统启动时自动运行的软件318。因此如果有与恶意软件319相关的链接，就会检测到，并且有编译的列表，其中列表中包含相关链接类型及其在操作系统配置文件320中的位置的说明。

e.使用步骤a、b、c和d中收集的数据，分析所收集信息321的程序在整合流程的基础上对当前状态进行分析，并创建关于可疑软件和可能恶意软件的列表。列表发送到感染严重程度评估系统322后，在可疑软件和已识别软件323辅助数据库的基础上形成最终被认为是恶意软件的列表。

f.最终恶意软件列表发送到软件隔离和删除子系统325以便正确地隔离并从操作系统配置文件中删除其链接，并终止软件的恶意行为。用户被告知解除限制和恶意软件清除程序完成后，就可以卸载防病毒激活设备了。因此，没有数据丢失，勒索软件也没有造成损失，计算机可以继续运行。

由于只是在启动恶意软件的时候使用系统状态上的复合体信息，所以恶意软件清除程序的特点就是检测仍然不熟悉的恶意软件。因此用户起到的一个重要作用就是反映活动性感染(在这种情况下作为一个专业人士)，例如用户可以在紧急情况下起到程序启动触发器的作用。接收到用户关于感染的信号后，所述分析系统可以检测感染先例而不用被初步审查和进入病毒数据库。

这里使用的术语“组件”和“模块”指的是代表硬件或硬软件组合或者代表软件或当前运行软件的计算机实体。比如，模块可以是，但不局限于，运行在处理器上的程序、处理器、硬盘驱动器、多个驱动器(光学和/或磁介质)、软件、可执行模块、执行流程、程序、和/或计算机。举例来说，模块既可以是服务器上运行的应用，也可以是一个服务器。一个或多个模块可以放置在流程和/或执行流中，也可以设在计算机中和/或分布在两个或以上的计算机之间。

虽然上述说明是关于与一个或多个计算机运行的指令，本领域技术人员了解到具体实施例也可以和其它程序模块共同实施和/或作为软硬件组合进行实施。

一般来说，程序模块包括可执行特定任务或实施特定抽象数据类型的过程、程序、软件、组件以及数据结构等。

此外，本领域技术人员了解到本发明提供的方法可以使用其他计算机系统配置，包括单处理器或多处理器计算机系统、小型计算机、大型计算机以及个人计算机、手持计算设备、微处理器或可编程的消费电子设备等，其中每个配置可以在运行过程中连接到一个或多个设备上，进行实施。

计算机通常包括各种计算机可读介质。计算机可读介质可以是任何允许计算机访问的介质，包括易失性和非易失性介质，以及可移动和非可移动介质。举例来说，计算机可读介质包括，但不局限于，计算机存储介质和通信介质。计算机存储介质包括易失性和非易失性、可移动和非可移动介质，可用于存储信息如计算机可读指令、数据结构、程序模块或其它数据的任何方法或技术中。计算机存储介质包括，但不局限于，随机存取存储器(RAM)、只读存储器(ROM)、电可擦可编程只读存储器(EEPROM)、闪存或其它存储器技术、只读光盘(CD-ROM)、数字通用盘(DVD)或其它光盘、磁带盒、磁带、磁盘或其他磁存储设备、或可以用来存储所需信息并且可以允许计算机访问的任何其它介质。

用于实现各方面操作的示例性计算机系统包括计算机，其中所述计算机包括处理器、系统内存和系统总线。系统总线为系统组件提供接口，其中系统组件包括，但不局限于，处理器系统内存。处理器可以是任何商业上使用的处理器。处理器也可以使用两个微处理器和其它多处理器架构。

系统总线可以是任何总线结构，并且进一步地可以连接到内存总线(带有或没有内存控制器)、外围总线以及使用任何商业总线架构的本地总线。系统内存由只读存储器(ROM)和随机存取存储器组成(RAM)组成。基本输入/输出系统(BIOS)存储于非易失性内存中，如ROM、电可编程只读存储器(EPROM)以及EEPROM，其中BIOS包含能在计算机元件之间，如在启动过程中，传递信息的主要程序。RAM也可以包括高速RAM，如静态RAM，用于缓存数据。

计算机进一步包括内部硬盘驱动器(HDD)(如EIDE和SATA)，其中内部硬盘驱动器也可外用于合适的机壳(未示出)、磁软盘驱动器(FDD)(如用于读取或写入到可移动磁盘)以及光盘驱动器(如读取CD-ROM，或用于读取或写入到其他高容量光学介质的驱动器如DVD)中。硬盘驱动器、磁盘驱动器和光盘驱动器可以通过硬盘驱动器接口、磁盘驱动器接口以及光盘驱动器接口相应地连接到系统总线。用于执行外部驱动的接口包含至少一个或两个通用串行总线(USB)技术和IEEE1394接口。

这些驱动器以及相关的计算机存储介质可提供非易失性存储数据、数据结构以及计算机指令等功能。对于计算机，驱动器和介质能够以适当的数字格式存储任何数据。尽管上述计算机可读介质说明中指的是硬盘驱动器(HDD)、可移动磁盘和可移动光介质，如CD或DVD，但本领域技术人员了解到其他类型的计算机存储介质，如压缩磁盘、磁带、闪存卡及盒式磁带等，也可以用于典型操作环境中，并且进一步地任何这些介质可包含用于实施本发明所公开架构新方法的计算机指令。

大量的软件模块，包括操作系统、一个或多个应用程序、其他程序模块和程序数据，可以存储于驱动器和RAM中。操作系统、应用程序、模块和/或数据也可以完全或部分缓存在RAM中。同样显而易见的是本发明所公开的架构也可以用各种商业操作系统或操作系统组合进行实施。

用户可以通过一个或多个有线/无线输入设备，比如键盘和定点设备如鼠标，在计算机中输入指令和信息。输入/输出设备包括麦克风/扬声器或其它设备，例如IR遥控器、控制杆、手柄、光笔及触摸屏等。这些以及其他输入设备通常通过与系统总线相连的输入接口连接到处理器，但它们也可以通过其他接口，如并行端口、IEEE1394串行端口、游戏端口、USB和IR接口等，进行同样连接。

另一种类型的显示器或显示设备也可经由接口，如视频适配器，连接到系统总线。除了显示器，计算机通常也包括其他外围输出设备，如扬声器和打印机等。

上述说明代表的是本发明公开架构的实施例。当然，尽管不可能描述组件或方法所有可能的组合，但本领域技术人员了解到许多进一步的组合和排列也是有可能。相应地，本发明新架构旨在涵盖本发明权利要求精神和范围内所有此类更改、修改以及变化。进一步地，就用于详细说明或权利要求中而言，术语“包括”是包含性的，类似于术语“由…组成”，因为“由…组成”在权利要求中作为过渡词使用。

Claims (6)

1.一种用于清除阻止计算机运行的恶意软件的方法，通过使用针对计算机用户激活的反恶意软件程序而开发的独立防病毒激活设备进行操作，防病毒激活设备由连接到控制总线的连接器、通过控制总线提供设备运行软硬件的逻辑电路和通信的控制器以及激活装置组成，其特征在于，该方法包括：

连接防病毒激活设备和计算机；

从激活装置发送激活信号；和

通过激活设备启动解除限制和恶意软件清除程序；

其中所述解除限制和恶意软件清除程序包括：

检查操作系统的图形子系统状态，搜索所有创建的窗口及用户看过的桌面；

分析感染时计算机执行的所有流程；

在所收集的数据基础上创建从每一个所述窗口和桌面到特定流程和/或流程层次结构的绑定；

分析流程中的数据并识别运行流程中涉及的每个流程的加载模块；

搜索操作系统启动过程中自动运行的软件；

编译认为恶意的软件列表；

隔离每个恶意软件，且从操作系统配置文件中删除其链接，然后终止该软件生成的恶意程序。

2.根据权利要求1所述的方法，其特征在于，防病毒激活设备通过个人计算机中的标准通信总线，如通用串行总线(USB)、COM端口、LPT端口、(s)ATA端口及火线等，连接到计算机上。

3.根据权利要求1所述的方法，其特征在于，激活装置可以配置成按钮、感应器或开关。

4.根据权利要求1所述的方法，其特征在于，进一步包括以下步骤：

电脑硬件及当前加载运行的操作系统识别防病毒激活设备；

发送相应信号使防病毒激活设备可以加载管理应用程序。

5.根据权利要求1所述的方法，其特征在于，防病毒激活设备驱动程序接收已启动激活装置上的数据，其中防病毒激活设备驱动程序向计算机当前操作系统上运行的反病毒软件报告所述激活操作。

6.根据权利要求1所述的方法，其特征在于，所述认为恶意软件的列表是在可疑软件内容的基础上进行编译的。