CN104766006A - 一种确定危险文件所对应的行为信息的方法和装置 - Google Patents

一种确定危险文件所对应的行为信息的方法和装置 Download PDF

Info

Publication number
CN104766006A
CN104766006A CN201510119820.7A CN201510119820A CN104766006A CN 104766006 A CN104766006 A CN 104766006A CN 201510119820 A CN201510119820 A CN 201510119820A CN 104766006 A CN104766006 A CN 104766006A
Authority
CN
China
Prior art keywords
file
dangerous file
information
virtual environment
computer equipment
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201510119820.7A
Other languages
English (en)
Other versions
CN104766006B (zh
Inventor
钱科明
郭明强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Baidu Online Network Technology Beijing Co Ltd
Beijing Baidu Netcom Science and Technology Co Ltd
Original Assignee
Beijing Baidu Netcom Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Baidu Netcom Science and Technology Co Ltd filed Critical Beijing Baidu Netcom Science and Technology Co Ltd
Priority to CN201510119820.7A priority Critical patent/CN104766006B/zh
Priority to JP2016564985A priority patent/JP2017520820A/ja
Priority to KR1020167030047A priority patent/KR101974989B1/ko
Priority to EP15885132.9A priority patent/EP3113060B1/en
Priority to US15/300,770 priority patent/US10915624B2/en
Priority to PCT/CN2015/082409 priority patent/WO2016145749A1/zh
Publication of CN104766006A publication Critical patent/CN104766006A/zh
Application granted granted Critical
Publication of CN104766006B publication Critical patent/CN104766006B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/52—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow
    • G06F21/53—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems during program execution, e.g. stack integrity ; Preventing unwanted data erasure; Buffer overflow by executing in a restricted environment, e.g. sandbox or secure virtual machine
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • General Health & Medical Sciences (AREA)
  • Stored Programmes (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本发明提供了一种在计算机设备中确定危险文件所对应的行为信息的方法，其中，该方法包括：当检测到存在危险文件时，在所述计算机设备的虚拟环境中运行所述危险文件，其中，所述虚拟环境中包括与该计算机设备的真实环境中的至少一个真实API相同的至少一个虚拟API；在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息。根据本发明的方案，不需要人工分析危险文件的破坏行为，能够快速地在虚拟环境中获得危险文件的行为信息，来对计算机设备的真实系统进行快速且全面的修复。

Description

一种确定危险文件所对应的行为信息的方法和装置
技术领域
本发明涉及计算机技术领域，尤其涉及一种用于在计算机设备中确定危险文件所对应的行为信息的方法和装置。
背景技术
现有技术中，计算机设备中检测到危险文件时，往往仅对危险文件执行简单的删除操作。然而，危险文件在计算机设备中运行时，往往会对计算机设备的系统环境执行破坏行为(如对注册表项、计划任务、可执行文件等执行的破坏行为)，故简单地删除危险文件，并不能使得计算机设备还原到原先正常的系统环境。
此外，该等破坏行为仅能通过人工分析危险文件以及危险文件的运行过程来获得，这需要用户投入大量的时间和精力，处理周期较长，效率极低，且容易由于人工分析的不全面或者危险文件的部分逻辑未被触发，而使得危险文件的所有破坏行为不能被完全获得。
发明内容
本发明的目的是提供一种用于在计算机设备中确定危险文件所对应的行为信息的方法和装置。
根据本发明的一个方面，提供一种在计算机设备中确定危险文件所对应的行为信息的方法，其中，该方法包括：
当检测到存在危险文件时，在所述计算机设备的虚拟环境中运行所述危险文件，其中，所述虚拟环境中包括与该计算机设备的真实环境中的至少一个真实API相同的至少一个虚拟API；
在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息。
根据本发明的另一个方面，还提供了一种在计算机设备中确定危险文件所对应的行为信息的装置，其中，该装置包括：
用于当检测到存在危险文件时，在所述计算机设备的虚拟环境中运行所述危险文件的装置，其中，所述虚拟环境中包括与该计算机设备的真实环境中的至少一个真实API相同的至少一个虚拟API；
用于在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息的装置。
与现有技术相比，本发明具有以下优点：1)能够通过在计算机设备的虚拟环境中运行危险文件，来获得危险文件的行为信息，该过程不需要进行人工分析，大大节省了获得行为信息所需的时间；2)由于可通过虚拟API来的虚拟执行来记录危险文件的所有操作行为，使得计算机设备所获得的行为信息是全面的，从而避免由于行为信息不全面而使得计算机设备的真实环境不能被全面修复；3)在虚拟环境中运行危险文件不会影响到计算机设备的真实环境，且虚拟环境在计算机设备中的占用空间极小，并且，虚拟环境中可无需真正执行虚拟API的功能，而仅需能够返回与在真实环境中调用该虚拟API所对应的真实API相同的反馈结果，这使得危险文件能够更快速地在虚拟环境运行，进而快速地获得危险文件的行为信息；4)计算机设备可根据在虚拟环境中所获得的、危险文件的行为信息，来对计算机设备的真实环境进行修复，以快速且全面地修复危险文件以及危险文件所释放的其他危险文件对真实环境的破坏。
附图说明
通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：
图1为本发明一个实施例的用于在计算机设备中确定危险文件所对应的行为信息的方法的流程示意图；
图2为本发明另一个实施例的用于在计算机设备中确定危险文件所对应的行为信息的方法的流程示意图；
图3为本发明一个实施例的用于在计算机设备中确定危险文件所对应的行为信息的装置的结构示意图；
图4为本发明另一个实施例的用于在计算机设备中确定危险文件所对应的行为信息的装置的结构示意图。
附图中相同或相似的附图标记代表相同或相似的部件。
具体实施方式
下面结合附图对本发明作进一步详细描述。
图1为本发明一个实施例的用于在计算机设备中确定危险文件所对应的行为信息的方法的流程示意图。
其中，本实施例的方法主要通过计算机设备来实现；所述计算机设备包括网络设备和用户设备。其中，所述网络设备包括但不限于单个网络服务器、多个网络服务器组成的服务器组或基于云计算(CloudComputing)的由大量计算机或网络服务器构成的云，其中，云计算是分布式计算的一种，由一群松散耦合的计算机集组成的一个超级虚拟计算机；所述网络设备所处的网络包括但不限于互联网、广域网、城域网、局域网、VPN(Virtual Private Network，虚拟专用网络)网络等。所述用户设备包括但不限于PC(Personal Computer，个人电脑)机、平板电脑、智能手机、PDA(Personal Digital Assistant，掌上电脑)、IPTV(Internet Protocol Television，网络协议电视)等。
需要说明的是，所述计算机设备仅为举例，其他现有的或今后可能出现的计算机设备如可适用于本发明，也应包含在本发明保护范围以内，并以引用方式包含于此。
根据本实施例的方法包括步骤S1和步骤S2。
在步骤S1中，当检测到存在危险文件时，计算机设备在该计算机设备的虚拟环境中运行该危险文件。
其中，所述危险文件包括任何具有危险性的文件，如病毒文件、木马文件等。
其中，所述虚拟环境用于虚拟计算机设备的真实环境，所述虚拟环境中包括与真实环境中的至少一个真实API(Application ProgramInterface，应用程序编程接口)相同的至少一个虚拟API。其中，所述虚拟API能够在虚拟环境中被调用，且能够返回与在真实环境中调用该虚拟API所对应的真实API相同的反馈结果。其中，所述真实环境用于表示计算机设备中真实运行的系统环境；例如，计算机设备中真实运行的Windows操作系统所对应的系统环境。其中，所述真实API用于表示真实环境中的API；例如，计算机设备中真实运行的Windows操作系统中的系统API。
例如，计算机设备的真实环境中存在以下真实API：DeleteFile，该真实API用于在该真实环境中删除指定文件，且返回用于指示成功执行删除操作的反馈结果；该计算机设备的虚拟环境中具有与该真实API对应的虚拟API，在虚拟环境中调用该虚拟API，同样返回用于指示成功执行删除操作的反馈结果。
需要说明的是，优选地，在虚拟环境中调用虚拟API时，该虚拟API的功能并未真正的被执行，而仅需虚拟出调用与虚拟API相对应的真实API的效果。例如，在上述举例中，在虚拟环境中调用与DeleteFile相对应的虚拟API，该虚拟API并未在虚拟环境中执行删除指定文件的操作，而是在被调用时直接返回用于指示成功执行删除操作的反馈结果，以虚拟出调用DeleteFile的效果。
优选地，所述虚拟环境不需要对计算机设备中的注册表和环境变量等进行配置，故不需要执行相应的安装操作，即可直接被启动并运行。需要说明的是，所述虚拟环境可在多种场景下被启动，如，在计算机设备开机时自动启动、当计算机设备中执行扫描操作时自动启动、当检测到存在危险文件时自动启动、根据用户操作来被启动等。需要说明的是，优选地，所述虚拟环境每次被启动后均被还原为其初始环境；更优选地，虚拟环境启动之后，在每个危险文件运行完成之后，虚拟环境可自动执行初始化操作，或者可根据用户操作来执行初始化操作，以将该虚拟环境还原为初始环境。
进一步需要说明的是，所述虚拟环境在计算机设备中的占用空间可以极小(如占用空间约为10M)，且其运行不会影响计算机设备的真实系统的运行。优选地，所述占用空间的大小可根据危险文件在虚拟环境中的行为(如危险文件释放其他文件的行为)而发生变化。
具体地，当检测到存在危险文件时，计算机设备将该危险文件提供给该计算机设备的虚拟环境，并在该虚拟环境中运行该危险文件。
例如，当检测到计算机设备中存在病毒文件时，计算机设备将该病毒文件提供给该计算机设备的虚拟环境，并在该虚拟环境中运行该病毒文件。
优选地，虚拟环境中的至少一个虚拟API包括能够读取当前活动应用的应用读取虚拟API，所述步骤S1进一步包括：当危险文件调用应用读取虚拟API时，计算机设备向危险文件提供当前活动的应用信息。
其中，所述应用读取虚拟API包括任何用于读取当前活动应用的虚拟API，如与真实系统中的CreateToolhelp32Snapshot相对应的虚拟API，该CreateToolhelp32Snapshot在真实系统中用于获取所有当前活动进程的信息。
其中，所述应用信息包括任何用于指示当前活动应用的信息，如当前活动应用的应用名称、当前活动应用的进程ID等。
具体地，在虚拟环境中运行危险文件的过程中，当该危险文件调用应用读取虚拟API，计算机设备通过该读取虚拟API向危险文件返回当前活动的应用信息。
例如，在虚拟环境中运行病毒文件file1，当file1调用应用读取虚拟API，计算机设备通过该应用读取虚拟API向file1返回当前活动的应用信息，该应用信息用于指示当前活动应用包括APP1和APP2。
需要说明的是，应用读取虚拟API可采用多种方式获得当前活动的应用信息。
作为一个示例，应用读取虚拟API通过用户对虚拟环境的进程配置，来获取当前活动的应用信息。例如，用户对虚拟环境中的进程列表进行配置，在该进程列表中添加应用APP1和APP2，则应用读取虚拟API根据该进程列表可读取到当前活动的应用包括APP1和APP2。
作为另一个示例，应用读取虚拟API触发从计算机设备的真实环境中获得当前活动的应用信息。例如，应用读取虚拟API触发在计算机设备的真实环境中调用与该应用读取虚拟API对应的真实API，并根据该真实API的返回结果获得当前活动的应用信息。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何当检测到存在危险文件时，在所述计算机设备的虚拟环境中运行所述危险文件的实现方式，均应包含在本发明的范围内。
在步骤S2中，计算机设备在虚拟环境中对危险文件的行为进行监测，获得危险文件所对应的行为信息。
具体地，计算机设备可通过监测并记录危险文件在虚拟环境中执行的行为，来获得危险文件所对应的行为信息。
优选地，计算机设备在虚拟环境中，基于危险文件在运行过程中所调用的虚拟API，来对该危险文件的行为进行监测，获得该危险文件所对应的行为信息。
例如，计算机设备在虚拟环境中，通过危险文件在运行过程中所调用的虚拟API，记录危险文件的所有使得虚拟环境发送变化的行为，并获得该等行为所对应的行为信息。
其中，所述行为信息包括任何与危险文件在虚拟环境中的操作行为相关的信息。优选地，所述行为信息包括但不限于：
1)与文件操作行为相关的信息。
其中，所述文件操作行为包括任何能够对文件执行的操作行为，如创建、更新、删除文件等。优选地，所述与文件操作行为相关的信息包括但不限于：用于指示文件的操作行为类型(如创建、更新、删除操作行为)的信息、被操作的文件名称、被操作的文件的路径信息等。
2)与注册表操作行为相关的信息。
其中，所述注册表操作行为包括任何能够对注册表执行的操作行为，如创建、设置、删除注册表项等。优选地，所述与注册表操作行为相关的信息包括但不限于：用于指示注册表的操作行为类型(如创建、设置、删除操作行为)的信息、被操作的注册表项、注册表项对应的值等。
3)与进程操作行为相关的信息。
其中，所述进程操作行为包括任何能够对进程执行的操作行为，如创建和关闭进程、跨进程写入等。优选地，所述与进程操作行为相关的信息包括但不限于用于指示线程的操作行为类型(如创建和关闭进程、跨进程写入)的信息、被操作的进程的标识ID、被操作的进程对应的路径信息等。
4)与线程操作行为相关的信息。
其中，所述线程操作行为包括任何能够对线程执行的操作行为，如线程注入等。优选地，所述与线程操作行为相关的信息包括但不限于：用于指示线程的操作行为类型的信息、被操作的线程的标识ID、被操作的线程所对应的特征值等；其中，所述特征值用于指示线程的特征，优选地，所述特征值为线程的代码长度所对应的校验值；例如，线程的代码长度为0x100，特征值为该代码长度所对应的CRC(CyclicRedundancy Check，循环冗余校验码)32值。
需要说明的是，上述行为信息仅为举例，而非对本发明的限制，本领域技术人员应能理解，任何与危险文件在虚拟环境中的行为相关的信息均应包含在本发明所述的行为信息的范围内。
作为一种优选方案，本实施例的方法还包括步骤S4，所述步骤S2进一步包括步骤S21。
在步骤S4中，计算机设备在虚拟环境中获得危险文件所释放的至少一个文件。
例如，计算机设备在虚拟环境中，获得危险文件file2在运行过程中所释放的以下文件：ser2vet.exe、autorun.inf。
在步骤S21中，计算机设备在虚拟环境中，对危险文件以及危险文件所释放的至少一个文件的行为进行监测，获得所述危险文件所对应的行为信息。
例如，在步骤S4中，计算机设备获得危险文件file2所释放的以下危险文件：ser2vet.exe、autorun.inf；在步骤S21中，计算机设备在虚拟环境中，分别对file2、ser2vet.exe、autorun.inf的行为进行监测，来获得该3个危险的行为信息，并将所获得的行为信息作为危险文件file2所对应的行为信息。
需要说明的是，计算机设备对危险文件所释放的每个文件的行为进行监测的方式，与前述步骤S2中对危险文件的行为进行监测的方式相同或相似，在此不再赘述。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息的实现方式，均应包含在本发明的范围内。
作为一种优选方案，本实施例的方法还包括步骤S5。
在步骤S5中，当满足预定关闭条件时，计算机设备关闭虚拟环境。
其中，所述预定关闭条件包括任何预定的用于指示关闭虚拟环境的条件。优选地，所述预定关闭条件包括但不限于：
1)所述危险文件在虚拟环境中执行进程退出操作。
其中，所述进程退出操作包括任何用于指示退出危险文件的进程的操作；优选地，所述进程退出操作包括但不限于危险文件的自删除操作、用户在虚拟环境中执行的删除危险文件的操作等。
2)所述危险文件在虚拟环境中的运行时间超过预定时间。
例如，预定时间为5s，则当危险文件在虚拟环境中的运行时间超过5s时，满足预定关闭条件。
需要说明的是，上述预定关闭条件仅为举例，而非对本发明的限制，本领域技术人员应能理解，任何预定的用于指示关闭虚拟环境的条件均应包含在本发明所述的预定关闭条件的范围内。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何当满足预定关闭条件时，关闭虚拟环境的实现方式，均应包含在本发明的范围内。
根据本实施例的方案，能够通过在计算机设备的虚拟环境中运行危险文件，来获得危险文件的行为信息，该过程不需要进行人工分析，大大节省了获得行为信息所需的时间；并且，由于可通过虚拟API来的虚拟执行来记录危险文件的所有操作行为，使得计算机设备所获得的行为信息是全面的，从而避免由于行为信息不全面而使得计算机设备的真实环境不能被全面修复。
此外，在虚拟环境中运行危险文件不会影响到计算机设备的真实环境，且虚拟环境在计算机设备中的占用空间极小，并且，虚拟环境中可无需真正执行虚拟API的功能，而仅需能够返回与在真实环境中调用该虚拟API所对应的真实API相同的反馈结果，这使得危险文件能够更快速地在虚拟环境运行，进而快速地获得危险文件的行为信息。
图2为本发明一个实施例的用于在计算机设备中确定危险文件所对应的行为信息的方法的流程示意图。其中，本实施例的方法主要通过计算机设备来实现；其中，参照图1所示实施例中对计算机设备所作的任何说明，均已引用的方式包含于此。
根据本实施例的方法包括步骤S1、步骤S2和步骤S3。其中，所述步骤S1和所述步骤S2已在参照图1中予以详述，在此不再赘述。
在步骤S3中，计算机设备根据危险文件所对应的行为信息，对该计算机设备的真实环境进行修复。
具体地，计算机设备可在多种场景下根据危险文件所对应的行为信息，对该计算机设备的真实环境进行修复。
例如，计算机设备在步骤S2之后，直接执行步骤S3对计算机设备的真实环境进行修复。
又例如，计算机设备在步骤S2之后，当根据用户的操作确定清除危险文件时，直接执行步骤S3来在清除危险文件的同时对计算机设备的真实环境进行修复。
再例如，计算机设备在清除危险文件之后，当根据用户的操作确定需要对真实环境进行修复时，执行步骤S3对计算机设备的真实环境进行修复。
优选地，在步骤S3中，计算机设备根据危险文件所对应的行为信息，直接执行与该行为信息所指示的操作行为相反的操作，来对该计算机设备的真实环境进行还原修复。
例如，危险文件的行为信息包括用于指示创建文件的信息、被创建的文件的路径信息。则在步骤S3中，计算机设备根据该行为信息，在该路径信息所指示的文件路径下删除所创建的文件，以将真实环境还原为危险文件运行前的状态。
又例如，危险文件的行为信息包括用于指示删除注册表项的信息、被删除的注册表项。则在步骤S3中，计算机设备根据该行为信息还原被删除的注册表项，以将真实环境还原为危险文件运行前的状态。
作为步骤S3的一种优选方案，所述步骤S3进一步包括步骤S31和步骤S32。
在步骤S31中，计算机设备根据危险文件所对应的行为信息，确定相应的修复操作信息。
其中，所述修复操作信息包括任何与修复操作相关的信息。优选地，所述修复操作信息包括但不限于：
a)与文件修复操作相关的信息。
其中，所述文件修复操作包括任何用于修复文件的操作，如还原文件参数、删除文件等。优选地，所述与文件修复操作相关的信息包括但不限于：用于指示文件的修复操作类型的信息、被操作的文件名称、被还原的文件参数以及该文件参数的值等。
优选地，计算机设备在其真实系统中对危险文件以及该危险文件所释放的至少一个文件进行扫描，并根据扫描结果以及危险文件的行为信息，来确定该与文件修复操作相关的信息。
b)与注册表修复操作相关的信息。
其中，所述注册表修复操作包括任何用于修复注册表的操作，如还原、删除注册表项等。优选地，所述与注册表修复操作相关的信息包括但不限于：用于指示注册表的修复操作类型的信息、被操作的注册表项、注册表项对应的值等。
优选地，当注册表修复操作为设置注册表项时，计算机设备可通过查询本地知识库来获取该注册表项所对应的默认值，并将该默认值作为该注册表项对应的值。
c)与进程修复操作相关的信息。
其中，所述进程修复操作包括任何用于修复进程的操作，如进程的关闭、重启等。优选地，所述与进程修复操作相关的信息包括但不限于：用于指示进程的修复操作类型的信息、被操作的进程对应的路径信息等。
需要说明的是，当被操作的进程为系统文件时，可直接通过重启该计算机设备，来完成进程修复操作，而无需获得该进程的修复操作信息。
d)与线程修复操作相关的信息。
其中，所述线程修复操作包括任何用于修复线程的操作，如停止线程等。优选地，所述与线程修复操作相关的信息包括但不限于：用于指示线程的修复操作类型的信息、被操作的线程所对应的特征值。
需要说明的是，上述修复操作信息仅为举例，而非对本发明的限制，本领域技术人员应能理解，任何与修复操作相关的信息均应包含在本发明所述的修复操作信息的范围内。
具体地，在步骤S31中，计算机设备根据危险文件所对应的行为信息所指示的操作行为，确定修复操作信息所指示的修复操作，并进一步根据该修复操作和行为信息，确定修复操作信息。
例如，行为信息包括用于指示跨进程写入的信息以及被操作的进程的路径信息；在步骤S31中，计算机设备根据用于指示跨进程写入操作的信息确定修复操作为重启进程，且根据该修复操作和行为信息，确定修复操作信息包括：用于指示重启进程的信息以及被重启的进程的路径信息。
又例如，行为信息包括用于指示线程注入的信息以及被操作的线程所对应的特征值；在步骤S31中，计算机设备根据用于指示线程注入的信息确定修复操作为停止线程，且根据该修复操作和行为信息，确定修复操作信息包括：用于指示停止线程的信息以及被停止的线程所对应的特征值。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何根据危险文件所对应的行为信息，确定相应的修复操作信息的实现方式，均应包含在本发明的范围内。
在步骤S32中，计算机设备根据修复操作信息，对计算机设备的真实环境进行修复。
例如，步骤S31中所确定修复操作信息包括用于指示重启进程的信息以及被操作的进程对应的路径信息。在步骤S32中，计算机设备根据该路径信息查找相应的进程，并重启所查找到的进程。
又例如，步骤S31中所确定修复操作信息包括用于指示停止线程的信息以及被操作的线程所对应的特征值。在步骤S32中，计算机设备根据该特征值确定相匹配的线程，并停止该线程。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何根据修复操作信息，对计算机设备的真实环境进行修复的实现方式，均应包含在本发明的范围内。
优选地，在步骤S3之后，当判断需要重启该计算机设备时，计算机设备向用户呈现用于提示重启该计算机设备的提示信息。
根据本实施例的方案，计算机设备可根据在虚拟环境中所获得的、危险文件的行为信息，来对计算机设备的真实环境进行修复，以快速且全面地修复危险文件以及危险文件所释放的其他危险文件对真实环境的破坏。
图3为本发明一个实施例的用于在计算机设备中确定危险文件所对应的行为信息的装置的结构示意图。根据本实施例的用于确定危险文件所对应的行为信息的装置(以下简称为“行为确定装置”)包括用于当检测到存在危险文件时，在计算机设备的虚拟环境中运行该危险文件的装置(以下简称为“运行装置1”)、以及用于在虚拟环境中对危险文件的行为进行监测，获得危险文件所对应的行为信息的装置(以下简称为“监测装置2”)。
当检测到存在危险文件时，运行装置1在计算机设备的虚拟环境中运行该危险文件。
其中，所述危险文件包括任何具有危险性的文件，如病毒文件、木马文件等。
其中，所述虚拟环境用于虚拟计算机设备的真实环境，所述虚拟环境中包括与真实环境中的至少一个真实API相同的至少一个虚拟API。其中，所述虚拟API能够在虚拟环境中被调用，且能够返回与在真实环境中调用该虚拟API所对应的真实API相同的反馈结果。其中，所述真实环境用于表示计算机设备中真实运行的系统环境；例如，计算机设备中真实运行的Windows操作系统所对应的系统环境。其中，所述真实API用于表示真实环境中的API；例如，计算机设备中真实运行的Windows操作系统中的系统API。
例如，计算机设备的真实环境中存在以下真实API：DeleteFile，该真实API用于在该真实环境中删除指定文件，且返回用于指示成功执行删除操作的反馈结果；该计算机设备的虚拟环境中具有与该真实API对应的虚拟API，在虚拟环境中调用该虚拟API，同样返回用于指示成功执行删除操作的反馈结果。
需要说明的是，优选地，在虚拟环境中调用虚拟API时，该虚拟API的功能并未真正的被执行，而仅需虚拟出调用与虚拟API相对应的真实API的效果。例如，在上述举例中，在虚拟环境中调用与DeleteFile相对应的虚拟API，该虚拟API并未在虚拟环境中执行删除指定文件的操作，而是在被调用时直接返回用于指示成功执行删除操作的反馈结果，以虚拟出调用DeleteFile的效果。
优选地，所述虚拟环境不需要对计算机设备中的注册表和环境变量等进行配置，故不需要执行相应的安装操作，即可直接被启动并运行。需要说明的是，所述虚拟环境可在多种场景下被启动，如，在计算机设备开机时自动启动、当计算机设备中执行扫描操作时自动启动、当检测到存在危险文件时自动启动、根据用户操作来被启动等。需要说明的是，优选地，所述虚拟环境每次被启动后均被还原为其初始环境；更优选地，虚拟环境启动之后，在每个危险文件运行完成之后，虚拟环境可自动执行初始化操作，或者可根据用户操作来执行初始化操作，以将该虚拟环境还原为初始环境。
进一步需要说明的是，所述虚拟环境在计算机设备中的占用空间可以极小(如占用空间约为10M)，且其运行不会影响计算机设备的真实系统的运行。优选地，所述占用空间的大小可根据危险文件在虚拟环境中的行为(如危险文件释放其他文件的行为)而发生变化。
具体地，当检测到存在危险文件时，运行装置1将该危险文件提供给该计算机设备的虚拟环境，并在该虚拟环境中运行该危险文件。
例如，当检测到计算机设备中存在病毒文件时，运行装置1将该病毒文件提供给该计算机设备的虚拟环境，并在该虚拟环境中运行该病毒文件。
优选地，虚拟环境中的至少一个虚拟API包括能够读取当前活动应用的应用读取虚拟API，运行装置1进一步包括用于当危险文件调用应用读取虚拟API时，向危险文件提供当前活动的应用信息的装置(以下简称为“提供装置”，图未示)。
其中，所述应用读取虚拟API包括任何用于读取当前活动应用的虚拟API，如与真实系统中的CreateToolhelp32Snapshot相对应的虚拟API，该CreateToolhelp32Snapshot在真实系统中用于获取所有当前活动进程的信息。
其中，所述应用信息包括任何用于指示当前活动应用的信息，如当前活动应用的应用名称、当前活动应用的进程ID等。
具体地，在虚拟环境中运行危险文件的过程中，当该危险文件调用应用读取虚拟API，提供装置通过该读取虚拟API向危险文件返回当前活动的应用信息。
例如，在虚拟环境中运行病毒文件file1，当file1调用应用读取虚拟API，提供装置通过该应用读取虚拟API向file1返回当前活动的应用信息，该应用信息用于指示当前活动应用包括APP1和APP2。
需要说明的是，应用读取虚拟API可采用多种方式获得当前活动的应用信息。
作为一个示例，应用读取虚拟API通过用户对虚拟环境的进程配置，来获取当前活动的应用信息。例如，用户对虚拟环境中的进程列表进行配置，在该进程列表中添加应用APP1和APP2，则应用读取虚拟API根据该进程列表可读取到当前活动的应用包括APP1和APP2。
作为另一个示例，应用读取虚拟API触发从计算机设备的真实环境中获得当前活动的应用信息。例如，应用读取虚拟API触发在计算机设备的真实环境中调用与该应用读取虚拟API对应的真实API，并根据该真实API的返回结果获得当前活动的应用信息。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何当检测到存在危险文件时，在所述计算机设备的虚拟环境中运行所述危险文件的实现方式，均应包含在本发明的范围内。
监测装置2在虚拟环境中对危险文件的行为进行监测，获得危险文件所对应的行为信息。
具体地，监测装置2可通过监测并记录危险文件在虚拟环境中执行的行为，来获得危险文件所对应的行为信息。
优选地，监测装置2在虚拟环境中，基于危险文件在运行过程中所调用的虚拟API，来对该危险文件的行为进行监测，获得该危险文件所对应的行为信息。
例如，监测装置2在虚拟环境中，通过危险文件在运行过程中所调用的虚拟API，记录危险文件的所有使得虚拟环境发送变化的行为，并获得该等行为所对应的行为信息。
其中，所述行为信息包括任何与危险文件在虚拟环境中的操作行为相关的信息。优选地，所述行为信息包括但不限于：
1)与文件操作行为相关的信息。
其中，所述文件操作行为包括任何能够对文件执行的操作行为，如创建、更新、删除文件等。优选地，所述与文件操作行为相关的信息包括但不限于：用于指示文件的操作行为类型(如创建、更新、删除操作行为)的信息、被操作的文件名称、被操作的文件的路径信息等。
2)与注册表操作行为相关的信息。
其中，所述注册表操作行为包括任何能够对注册表执行的操作行为，如创建、设置、删除注册表项等。优选地，所述与注册表操作行为相关的信息包括但不限于：用于指示注册表的操作行为类型(如创建、设置、删除操作行为)的信息、被操作的注册表项、注册表项对应的值等。
3)与进程操作行为相关的信息。
其中，所述进程操作行为包括任何能够对进程执行的操作行为，如创建和关闭进程、跨进程写入等。优选地，所述与进程操作行为相关的信息包括但不限于用于指示线程的操作行为类型(如创建和关闭进程、跨进程写入)的信息、被操作的进程的标识ID、被操作的进程对应的路径信息等。
4)与线程操作行为相关的信息。
其中，所述线程操作行为包括任何能够对线程执行的操作行为，如线程注入等。优选地，所述与线程操作行为相关的信息包括但不限于：用于指示线程的操作行为类型的信息、被操作的线程的标识ID、被操作的线程所对应的特征值等；其中，所述特征值用于指示线程的特征，优选地，所述特征值为线程的代码长度所对应的校验值；例如，线程的代码长度为0x100，特征值为该代码长度所对应的CRC(CyclicRedundancy Check，循环冗余校验码)32值。
需要说明的是，上述行为信息仅为举例，而非对本发明的限制，本领域技术人员应能理解，任何与危险文件在虚拟环境中的行为相关的信息均应包含在本发明所述的行为信息的范围内。
作为一种优选方案，本实施例的行为确定装置还包括用于在虚拟环境中获得危险文件所释放的至少一个文件的装置(以下简称为“获得装置”，图未示)，所述监测装置2进一步包括用于在虚拟环境中，对危险文件以及危险文件所释放的至少一个文件的行为进行监测，获得所述危险文件所对应的行为信息的装置(以下简称为“子监测装置”，图未示)。
获得装置在虚拟环境中获得危险文件所释放的至少一个文件。
例如，获得装置在虚拟环境中，获得危险文件file2在运行过程中所释放的以下文件：ser2vet.exe、autorun.inf。
子监测装置在虚拟环境中，对危险文件以及危险文件所释放的至少一个文件的行为进行监测，获得所述危险文件所对应的行为信息。
例如，获得装置获得危险文件file2所释放的以下危险文件：ser2vet.exe、autorun.inf；子监测装置在虚拟环境中，分别对file2、ser2vet.exe、autorun.inf的行为进行监测，来获得该3个危险的行为信息，并将所获得的行为信息作为危险文件file2所对应的行为信息。
需要说明的是，子监测装置对危险文件所释放的每个文件的行为进行监测的方式，与前述监测装置2中对危险文件的行为进行监测的方式相同或相似，在此不再赘述。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息的实现方式，均应包含在本发明的范围内。
作为一种优选方案，本实施例的行为确定装置还包括用于当满足预定关闭条件时，关闭虚拟环境的装置(以下简称为“关闭装置”，图未示)。
当满足预定关闭条件时，关闭装置关闭虚拟环境。
其中，所述预定关闭条件包括任何预定的用于指示关闭虚拟环境的条件。优选地，所述预定关闭条件包括但不限于：
1)所述危险文件在虚拟环境中执行进程退出操作。
其中，所述进程退出操作包括任何用于指示退出危险文件的进程的操作；优选地，所述进程退出操作包括但不限于危险文件的自删除操作、用户在虚拟环境中执行的删除危险文件的操作等。
2)所述危险文件在虚拟环境中的运行时间超过预定时间。
例如，预定时间为5s，则当危险文件在虚拟环境中的运行时间超过5s时，满足预定关闭条件。
需要说明的是，上述预定关闭条件仅为举例，而非对本发明的限制，本领域技术人员应能理解，任何预定的用于指示关闭虚拟环境的条件均应包含在本发明所述的预定关闭条件的范围内。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何当满足预定关闭条件时，关闭虚拟环境的实现方式，均应包含在本发明的范围内。
根据本实施例的方案，能够通过在计算机设备的虚拟环境中运行危险文件，来获得危险文件的行为信息，该过程不需要进行人工分析，大大节省了获得行为信息所需的时间；并且，由于可通过虚拟API来的虚拟执行来记录危险文件的所有操作行为，使得计算机设备所获得的行为信息是全面的，从而避免由于行为信息不全面而使得计算机设备的真实环境不能被全面修复。
此外，在虚拟环境中运行危险文件不会影响到计算机设备的真实环境，且虚拟环境在计算机设备中的占用空间极小，并且，虚拟环境中可无需真正执行虚拟API的功能，而仅需能够返回与在真实环境中调用该虚拟API所对应的真实API相同的反馈结果，这使得危险文件能够更快速地在虚拟环境运行，进而快速地获得危险文件的行为信息。
图4为本发明一个实施例的用于在计算机设备中确定危险文件所对应的行为信息的装置的结构示意图。根据本实施例的行为确定装置包括运行装置1、监测装置2、以及用于根据危险文件所对应的行为信息，对该计算机设备的真实环境进行修复的装置(以下简称为“修复装置3”)。其中，所述运行装置1和监测装置2已在参照图3中予以详述，在此不再赘述。
修复装置3根据危险文件所对应的行为信息，对该计算机设备的真实环境进行修复。
具体地，修复装置3可在多种场景下根据危险文件所对应的行为信息，对计算机设备的真实环境进行修复。
例如，在监测装置2执行操作之后，直修复装置3接执行操作对计算机设备的真实环境进行修复。
又例如，在监测装置2执行操作之后，当根据用户的操作确定清除危险文件时，修复装置3直接执行操作来在清除危险文件的同时对计算机设备的真实环境进行修复。
再例如，在清除危险文件之后，当根据用户的操作确定需要对真实环境进行修复时，修复装置3执行操作对计算机设备的真实环境进行修复。
优选地，修复装置3根据危险文件所对应的行为信息，直接执行与该行为信息所指示的操作行为相反的操作，来对计算机设备的真实环境进行还原修复。
例如，危险文件的行为信息包括用于指示创建文件的信息、被创建的文件的路径信息。则修复装置3根据该行为信息，在该路径信息所指示的文件路径下删除所创建的文件，以将真实环境还原为危险文件运行前的状态。
又例如，危险文件的行为信息包括用于指示删除注册表项的信息、被删除的注册表项。则修复装置3根据该行为信息还原被删除的注册表项，以将真实环境还原为危险文件运行前的状态。
作为修复装置3的一种优选方案，所述修复装置3进一步包括用于根据危险文件所对应的行为信息，确定相应的修复操作信息的装置(以下简称为“确定装置”，图未示)、以及用于根据修复操作信息，对计算机设备的真实环境进行修复的装置(以下简称为“子修复装置”，图未示)。
确定装置根据危险文件所对应的行为信息，确定相应的修复操作信息。
其中，所述修复操作信息包括任何与修复操作相关的信息。优选地，所述修复操作信息包括但不限于：
a)与文件修复操作相关的信息。
其中，所述文件修复操作包括任何用于修复文件的操作，如还原文件参数、删除文件等。优选地，所述与文件修复操作相关的信息包括但不限于：用于指示文件的修复操作类型的信息、被操作的文件名称、被还原的文件参数以及该文件参数的值等。
优选地，确定装置在计算机设备的真实系统中对危险文件以及该危险文件所释放的至少一个文件进行扫描，并根据扫描结果以及危险文件的行为信息，来确定该与文件修复操作相关的信息。
b)与注册表修复操作相关的信息。
其中，所述注册表修复操作包括任何用于修复注册表的操作，如还原、删除注册表项等。优选地，所述与注册表修复操作相关的信息包括但不限于：用于指示注册表的修复操作类型的信息、被操作的注册表项、注册表项对应的值等。
优选地，当注册表修复操作为设置注册表项时，确定装置可通过查询本地知识库来获取该注册表项所对应的默认值，并将该默认值作为该注册表项对应的值。
c)与进程修复操作相关的信息。
其中，所述进程修复操作包括任何用于修复进程的操作，如进程的关闭、重启等。优选地，所述与进程修复操作相关的信息包括但不限于：用于指示进程的修复操作类型的信息、被操作的进程对应的路径信息等。
需要说明的是，当被操作的进程为系统文件时，可直接通过重启该计算机设备，来完成进程修复操作，而无需获得该进程的修复操作信息。
d)与线程修复操作相关的信息。
其中，所述线程修复操作包括任何用于修复线程的操作，如停止线程等。优选地，所述与线程修复操作相关的信息包括但不限于：用于指示线程的修复操作类型的信息、被操作的线程所对应的特征值。
需要说明的是，上述修复操作信息仅为举例，而非对本发明的限制，本领域技术人员应能理解，任何与修复操作相关的信息均应包含在本发明所述的修复操作信息的范围内。
具体地，确定装置根据危险文件所对应的行为信息所指示的操作行为，确定修复操作信息所指示的修复操作，并进一步根据该修复操作和行为信息，确定修复操作信息。
例如，行为信息包括用于指示跨进程写入的信息以及被操作的进程的路径信息；确定装置根据用于指示跨进程写入操作的信息确定修复操作为重启进程，且根据该修复操作和行为信息，确定修复操作信息包括：用于指示重启进程的信息以及被重启的进程的路径信息。
又例如，行为信息包括用于指示线程注入的信息以及被操作的线程所对应的特征值；确定装置根据用于指示线程注入的信息确定修复操作为停止线程，且根据该修复操作和行为信息，确定修复操作信息包括：用于指示停止线程的信息以及被停止的线程所对应的特征值。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何根据危险文件所对应的行为信息，确定相应的修复操作信息的实现方式，均应包含在本发明的范围内。
子修复装置根据修复操作信息，对计算机设备的真实环境进行修复。
例如，确定装置所确定修复操作信息包括用于指示重启进程的信息以及被操作的进程对应的路径信息。子修复装置根据该路径信息查找相应的进程，并重启所查找到的进程。
又例如，确定装置所确定修复操作信息包括用于指示停止线程的信息以及被操作的线程所对应的特征值。子修复装置根据该特征值确定相匹配的线程，并停止该线程。
需要说明的是，上述举例仅为更好地说明本发明的技术方案，而非对本发明的限制，本领域技术人员应该理解，任何根据修复操作信息，对计算机设备的真实环境进行修复的实现方式，均应包含在本发明的范围内。
优选地，修复装置3执行操作之后，当判断需要重启该计算机设备时，计算机设备向用户呈现用于提示重启该计算机设备的提示信息。
根据本实施例的方案，计算机设备可根据在虚拟环境中所获得的、危险文件的行为信息，来对计算机设备的真实环境进行修复，以快速且全面地修复危险文件以及危险文件所释放的其他危险文件对真实环境的破坏。
需要注意的是，本发明可在软件和/或软件与硬件的组合体中被实施，例如，本发明的各个装置可采用专用集成电路(ASIC，ApplicationSpecific Integrated Circuit)或任何其他类似硬件设备来实现。在一个实施例中，本发明的软件程序可以通过处理器执行以实现上文所述步骤或功能。同样地，本发明的软件程序(包括相关的数据结构)可以被存储到计算机可读记录介质中，例如，RAM(random access memory，随机存储器)存储器，磁或光驱动器或软磁盘及类似设备。另外，本发明的一些步骤或功能可采用硬件来实现，例如，作为与处理器配合从而执行各个步骤或功能的电路。
对于本领域技术人员而言，显然本发明不限于上述示范性实施例的细节，而且在不背离本发明的精神或基本特征的情况下，能够以其他的具体形式实现本发明。因此，无论从哪一点来看，均应将实施例看作是示范性的，而且是非限制性的，本发明的范围由所附权利要求而不是上述说明限定，因此旨在将落在权利要求的等同要件的含义和范围内的所有变化涵括在本发明内。不应将权利要求中的任何附图标记视为限制所涉及的权利要求。此外，显然“包括”一词不排除其他单元或步骤，单数不排除复数。系统权利要求中陈述的多个单元或装置也可以由一个单元或装置通过软件或者硬件来实现。第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

Claims (18)

1.一种在计算机设备中确定危险文件所对应的行为信息的方法，其中，该方法包括：
当检测到存在危险文件时，在所述计算机设备的虚拟环境中运行所述危险文件，其中，所述虚拟环境中包括与该计算机设备的真实环境中的至少一个真实API相同的至少一个虚拟API；
在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息。
2.根据权利要求1所述的方法，其中，所述至少一个虚拟API包括能够读取当前活动应用的应用读取虚拟API，在所述虚拟环境中运行所述危险文件的步骤包括：
当所述危险文件调用所述应用读取虚拟API时，向所述危险文件提供当前活动的应用信息。
3.根据权利要求1或2所述的方法，其中，该方法还包括：
在所述虚拟环境中获得运行的危险文件所释放的至少一个文件；
其中，在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息的步骤包括：
在虚拟环境中，对所述危险文件以及所述至少一个文件的行为进行监测，获得所述危险文件所对应的行为信息。
4.根据权利要求1至3中任一项所述的方法，其中，所述行为信息包括以下至少一项：
-与文件操作行为相关的信息；
-与注册表操作行为相关的信息；
-与进程操作行为相关的信息；
-与线程操作行为相关的信息。
5.根据权利要求1至4中任一项所述的方法，其中，该方法还包括：
根据所述危险文件所对应的行为信息，对所述计算机设备的真实环境进行修复。
6.根据权利要求5所述的方法，其中，根据所述危险文件所对应的行为信息，对所述计算机设备的系统环境进行修复的步骤包括：
根据所述危险文件所对应的行为信息，确定相应的修复操作信息；
根据所述修复操作信息，对所述计算机设备的真实环境进行修复。
7.根据权利要求6所述的方法，其中，所述修复操作信息包括以下至少一项：
-与文件修复操作相关的信息；
-与注册表修复操作相关的信息；
-与进程修复操作相关的信息；
-与线程修复操作相关的信息。
8.根据权利要求1至7所述的方法，其中，该方法还包括：
当满足预定关闭条件时，关闭所述虚拟环境。
9.根据权利要求8所述的方法，其中，所述预定关闭条件包括以下至少一项：
-所述危险文件在虚拟环境中执行进程退出操作；
-所述危险文件在虚拟环境中的运行时间超过预定时间。
10.一种在计算机设备中确定危险文件所对应的行为信息的装置，其中，该装置包括：
用于当检测到存在危险文件时，在所述计算机设备的虚拟环境中运行所述危险文件的装置，其中，所述虚拟环境中包括与该计算机设备的真实环境中的至少一个真实API相同的至少一个虚拟API；
用于在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息的装置。
11.根据权利要求10所述的装置，其中，所述至少一个虚拟API包括能够读取当前活动应用的应用读取虚拟API，用于在所述虚拟环境中运行所述危险文件的装置包括：
用于当所述危险文件调用所述应用读取虚拟API时，向所述危险文件提供当前活动的应用信息的装置。
12.根据权利要求10或11所述的装置，其中，该装置还包括：
用于在所述虚拟环境中获得运行的危险文件所释放的至少一个文件的装置；
其中，用于在虚拟环境中对所述危险文件的行为进行监测，获得所述危险文件所对应的行为信息的装置包括：
用于在虚拟环境中，对所述危险文件以及所述至少一个文件的行为进行监测，获得所述危险文件所对应的行为信息的装置。
13.根据权利要求10至12中任一项所述的装置，其中，所述行为信息包括以下至少一项：
-与文件操作行为相关的信息；
-与注册表操作行为相关的信息；
-与进程操作行为相关的信息；
-与线程操作行为相关的信息。
14.根据权利要求10至13中任一项所述的装置，其中，该装置还包括：
用于根据所述危险文件所对应的行为信息，对所述计算机设备的真实环境进行修复的装置。
15.根据权利要求14所述的装置，其中，用于根据所述危险文件所对应的行为信息，对所述计算机设备的系统环境进行修复的装置包括：
用于根据所述危险文件所对应的行为信息，确定相应的修复操作信息的装置；
用于根据所述修复操作信息，对所述计算机设备的真实环境进行修复的装置。
16.根据权利要求15所述的装置，其中，所述修复操作信息包括以下至少一项：
-与文件修复操作相关的信息；
-与注册表修复操作相关的信息；
-与进程修复操作相关的信息；
-与线程修复操作相关的信息。
17.根据权利要求10至16所述的装置，其中，该装置还包括：
用于当满足预定关闭条件时，关闭所述虚拟环境的装置。
18.根据权利要求17所述的方法，其中，所述预定关闭条件包括以下至少一项：
-所述危险文件在虚拟环境中执行进程退出操作；
-所述危险文件在虚拟环境中的运行时间超过预定时间。
CN201510119820.7A 2015-03-18 2015-03-18 一种确定危险文件所对应的行为信息的方法和装置 Active CN104766006B (zh)

Priority Applications (6)

Application Number Priority Date Filing Date Title
CN201510119820.7A CN104766006B (zh) 2015-03-18 2015-03-18 一种确定危险文件所对应的行为信息的方法和装置
JP2016564985A JP2017520820A (ja) 2015-03-18 2015-06-25 危険ファイルに対応する挙動情報特定方法及び危険ファイルに対応する挙動情報特定装置
KR1020167030047A KR101974989B1 (ko) 2015-03-18 2015-06-25 위험 파일에 대응하는 행위 정보를 결정하는 방법 및 장치
EP15885132.9A EP3113060B1 (en) 2015-03-18 2015-06-25 Method and apparatus for determining behaviour information corresponding to dangerous file
US15/300,770 US10915624B2 (en) 2015-03-18 2015-06-25 Method and apparatus for determining behavior information corresponding to a dangerous file
PCT/CN2015/082409 WO2016145749A1 (zh) 2015-03-18 2015-06-25 一种确定危险文件所对应的行为信息的方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510119820.7A CN104766006B (zh) 2015-03-18 2015-03-18 一种确定危险文件所对应的行为信息的方法和装置

Publications (2)

Publication Number Publication Date
CN104766006A true CN104766006A (zh) 2015-07-08
CN104766006B CN104766006B (zh) 2019-03-12

Family

ID=53647828

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510119820.7A Active CN104766006B (zh) 2015-03-18 2015-03-18 一种确定危险文件所对应的行为信息的方法和装置

Country Status (6)

Country Link
US (1) US10915624B2 (zh)
EP (1) EP3113060B1 (zh)
JP (1) JP2017520820A (zh)
KR (1) KR101974989B1 (zh)
CN (1) CN104766006B (zh)
WO (1) WO2016145749A1 (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110891048B (zh) * 2015-12-24 2021-09-03 华为技术有限公司 一种检测终端安全状况方法、装置及系统
WO2019009601A1 (ko) * 2017-07-04 2019-01-10 주식회사 수산아이앤티 웹 소스를 보호하기 위한 장치 및 방법
CN110020933B (zh) * 2019-04-10 2020-06-23 南方电网数字电网研究院有限公司 应用于财务业务系统的自动退出方法、装置和计算机设备
US11336690B1 (en) * 2019-11-15 2022-05-17 National Technology & Engineering Solutions Of Sandia, Llc Threat emulation framework
JP7489197B2 (ja) 2020-01-31 2024-05-23 株式会社Ｎｔｔデータ クラウド監視・修復方法、クラウド監視・修復システム及びプログラム

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1314638A (zh) * 2001-04-29 2001-09-26 北京瑞星科技股份有限公司 检测和清除已知及未知计算机病毒的方法、系统和介质
CN1356631A (zh) * 2001-12-03 2002-07-03 上海市计算机病毒防范服务中心 分布式病毒监测体系结构
CN101231683A (zh) * 2006-12-12 2008-07-30 Secunet安全网络股份公司 用于计算机系统的安全数据处理方法
CN101350049A (zh) * 2007-07-16 2009-01-21 珠海金山软件股份有限公司 鉴定病毒文件的方法、装置及网络设备

Family Cites Families (31)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5974549A (en) * 1997-03-27 1999-10-26 Soliton Ltd. Security monitor
US6192512B1 (en) * 1998-09-24 2001-02-20 International Business Machines Corporation Interpreter with virtualized interface
US7146305B2 (en) * 2000-10-24 2006-12-05 Vcis, Inc. Analytical virtual machine
US8171553B2 (en) * 2004-04-01 2012-05-01 Fireeye, Inc. Heuristic based capture with replay to virtual machine
US7779472B1 (en) * 2005-10-11 2010-08-17 Trend Micro, Inc. Application behavior based malware detection
JP2007334536A (ja) * 2006-06-14 2007-12-27 Securebrain Corp マルウェアの挙動解析システム
US8307443B2 (en) * 2007-09-28 2012-11-06 Microsoft Corporation Securing anti-virus software with virtualization
US7797748B2 (en) * 2007-12-12 2010-09-14 Vmware, Inc. On-access anti-virus mechanism for virtual machine architecture
KR20090067569A (ko) * 2007-12-21 2009-06-25 (주) 세인트 시큐리티 가상화 기법을 이용한 윈도우 커널 보호 시스템
JP4705961B2 (ja) * 2008-01-25 2011-06-22 Ｓｋｙ株式会社 ウィルス被害範囲予測システム
JP4755658B2 (ja) * 2008-01-30 2011-08-24 日本電信電話株式会社 解析システム、解析方法および解析プログラム
US8312547B1 (en) * 2008-03-31 2012-11-13 Symantec Corporation Anti-malware scanning in a portable application virtualized environment
JP2009037651A (ja) * 2008-11-17 2009-02-19 Fujitsu Ltd セキュリティ管理システム
US8528075B2 (en) * 2008-11-30 2013-09-03 Red Hat Israel, Ltd. Accelerating the execution of anti-virus programs in a virtual machine environment
JP5274227B2 (ja) * 2008-12-10 2013-08-28 株式会社ラック ウェブページ検査装置、コンピュータシステム、ウェブページ検査方法、及びプログラム
US8407787B1 (en) * 2009-01-22 2013-03-26 Trend Micro Incorporated Computer apparatus and method for non-intrusive inspection of program behavior
JP5440973B2 (ja) * 2009-02-23 2014-03-12 独立行政法人情報通信研究機構 コンピュータ検査システム、コンピュータ検査方法
JP5225942B2 (ja) * 2009-07-01 2013-07-03 日本電信電話株式会社 解析システム、解析方法、及び解析プログラム
US8479286B2 (en) * 2009-12-15 2013-07-02 Mcafee, Inc. Systems and methods for behavioral sandboxing
KR20110087826A (ko) * 2010-01-27 2011-08-03 한남대학교 산학협력단 가상머신을 이용한 악성소프트웨어 탐지 방법
TWI407328B (zh) * 2010-09-15 2013-09-01 Chunghwa Telecom Co Ltd 網路病毒防護方法及系統
US8555385B1 (en) 2011-03-14 2013-10-08 Symantec Corporation Techniques for behavior based malware analysis
US20120254993A1 (en) * 2011-03-28 2012-10-04 Mcafee, Inc. System and method for virtual machine monitor based anti-malware security
US9298910B2 (en) * 2011-06-08 2016-03-29 Mcafee, Inc. System and method for virtual partition monitoring
RU2514141C1 (ru) * 2012-09-28 2014-04-27 Закрытое акционерное общество "Лаборатория Касперского" Способ эмуляции вызовов системных функций для обхода средств противодействия эмуляции
KR101429131B1 (ko) 2013-06-12 2014-08-11 소프트캠프(주) 시스템 보호를 위한 파일 보안용 관리장치와 관리방법
US9591003B2 (en) 2013-08-28 2017-03-07 Amazon Technologies, Inc. Dynamic application security verification
RU2580030C2 (ru) * 2014-04-18 2016-04-10 Закрытое акционерное общество "Лаборатория Касперского" Система и способ распределения задач антивирусной проверки между виртуальными машинами в виртуальной сети
US9973531B1 (en) * 2014-06-06 2018-05-15 Fireeye, Inc. Shellcode detection
US9471283B2 (en) * 2014-06-11 2016-10-18 Ca, Inc. Generating virtualized application programming interface (API) implementation from narrative API documentation
US9917855B1 (en) * 2016-03-03 2018-03-13 Trend Micro Incorporated Mixed analysys-based virtual machine sandbox

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1314638A (zh) * 2001-04-29 2001-09-26 北京瑞星科技股份有限公司 检测和清除已知及未知计算机病毒的方法、系统和介质
CN1356631A (zh) * 2001-12-03 2002-07-03 上海市计算机病毒防范服务中心 分布式病毒监测体系结构
CN101231683A (zh) * 2006-12-12 2008-07-30 Secunet安全网络股份公司 用于计算机系统的安全数据处理方法
CN101350049A (zh) * 2007-07-16 2009-01-21 珠海金山软件股份有限公司 鉴定病毒文件的方法、装置及网络设备

Also Published As

Publication number Publication date
EP3113060A1 (en) 2017-01-04
US10915624B2 (en) 2021-02-09
KR20160138523A (ko) 2016-12-05
EP3113060B1 (en) 2021-01-13
US20170124321A1 (en) 2017-05-04
EP3113060A4 (en) 2017-11-08
CN104766006B (zh) 2019-03-12
WO2016145749A1 (zh) 2016-09-22
KR101974989B1 (ko) 2019-05-07
JP2017520820A (ja) 2017-07-27

Similar Documents

Publication Publication Date Title
CN104766006A (zh) 一种确定危险文件所对应的行为信息的方法和装置
US10192053B2 (en) Method, apparatus, system, device and computer storage medium for treating virus
US8839199B2 (en) Programmable controller system and development system
CN108121543B (zh) 一种软件代码编译处理方法及装置
CN106371875B (zh) 一种基于html5的手机应用更新方法
CN103646087A (zh) 一种垃圾文件数据清理的方法和装置
CN104598128A (zh) 一种基于用户操作行为来推荐解决方案的方法及装置
KR102018445B1 (ko) 캐스캐이딩 스타일 시트 파일들의 압축
WO2014000616A1 (zh) 扫描方法、装置和客户端设备
CN112422581B (zh) JVM中的Webshell网页检测方法、装置及设备
CN104899049A (zh) 一种文件删除方法及其装置
CN103473350B (zh) 文件处理方法及设备
CN108664255B (zh) 一种软件升级方法及装置
CN105404537A (zh) 一种应用程序的卸载方法及装置
US20150143523A1 (en) Virus processing method and apparatus
CN108304699B (zh) 一种对安全软件进行保护的方法及装置
CN106802860B (zh) 无用类检测方法及装置
CN104572943A (zh) 免安装程序清理方法及装置
CN111090458B (zh) 灰度发布系统和基于灰度发布系统的应用发布方法
CN103902663A (zh) 文件同步方法和装置
CN110991983B (zh) 一种任务处理方法、装置、介质和设备
CN110618886A (zh) 一种版本回退的方法、移动终端及计算机存储介质
CN112486511A (zh) 一种通过web生成操作系统安装镜像的方法
CN111045787A (zh) 一种快速继续实验方法及系统
JP2006039877A (ja) 世代別ガベージコレクション方法及び世代別ガベージコレクションプログラム

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
EXSB Decision made by sipo to initiate substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant