CN106446683A - 一种恶意程序的检测方法及终端 - Google Patents

Abstract

本发明实施例公开了一种恶意程序的检测方法及终端，其中，所述方法包括：检测当前是否存在运行的安装文件；若当前存在运行的安装文件，获取所述安装文件对应的特征信息；根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序；若所述安装文件对应的安装程序为恶意程序，提示用户。本发明实施例终端能够在检测到恶意程序时及时提醒用户，防止因安装恶意程序而导致的信息泄露，减少信息、财产安全隐患。

Description

一种恶意程序的检测方法及终端

技术领域

本发明涉及电子技术领域，尤其涉及一种恶意程序的检测方法及终端。

背景技术

随着软件技术的发展，越来越多的应用程序被开发和应用，终端用户可以从应用商店下载并安装各种各样的应用程序，以满足日常生活、娱乐的需求，极大地方便和丰富了人们的生活。

但是，人们在下载并安装合法应用时，很多与合法应用的安装包捆绑在一起的恶意应用的安装包也会被下载，并在用户不知情的情况下，以静默安装的手段或者以其他恶意安装手段非法安装。安装于终端内的恶意应用可能会窃取用户个人信息，严重时可能会造成用户财产安全。

发明内容

本发明实施例提供一种恶意程序的检测方法及终端，能够在检测到恶意程序时及时提醒用户，防止因安装恶意程序而导致的信息泄露，减少信息、财产安全隐患。

第一方面，本发明实施例提供了一种恶意程序的检测方法，该方法包括：

检测当前是否存在运行的安装文件；

若当前存在运行的安装文件，获取所述安装文件对应的特征信息；

根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序；

若所述安装文件对应的安装程序为恶意程序，提示用户。

另一方面，本发明实施例提供了一种终端，该终端包括：

检测单元，用于获取当前的网络状态信息；

获取单元，用于若当前存在运行的安装文件，获取所述安装文件对应的特征信息；

第一判断单元，用于根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序；

提醒单元，用于若所述安装文件对应的安装程序为恶意程序，提示用户。

本发明实施例通过检测当前是否存在运行的安装文件；若当前存在运行的安装文件，获取安装文件对应的特征信息；根据特征信息判断安装文件对应的安装程序是否为恶意程序；若安装文件对应的安装程序为恶意程序，提示用户，能够在检测到恶意程序时及时提醒用户，防止因安装恶意程序而导致的信息泄露，减少信息、财产安全隐患。

附图说明

为了更清楚地说明本发明实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种恶意程序的检测方法的示意流程图；

图2是本发明另一实施例提供的一种恶意程序的检测方法的示意流程图；

图3是本发明实施例提供的一种终端的示意性框图；

图4是本发明另一实施例提供的一种终端示意性框图；

图5是本发明再一实施例提供的一种终端示意性框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应当理解，当在本说明书和所附权利要求书中使用时，术语“包括”和“包含”指示所描述特征、整体、步骤、操作、元素和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元素、组件和/或其集合的存在或添加。

还应当理解，在此本发明说明书中所使用的术语仅仅是出于描述特定实施例的目的而并不意在限制本发明。如在本发明说明书和所附权利要求书中所使用的那样，除非上下文清楚地指明其它情况，否则单数形式的“一”、“一个”及“该”意在包括复数形式。

还应当进一步理解，在本发明说明书和所附权利要求书中使用的术语“和/或”是指相关联列出的项中的一个或多个的任何组合以及所有可能组合，并且包括这些组合。

如在本说明书和所附权利要求书中所使用的那样，术语“如果”可以依据上下文被解释为“当...时”或“一旦”或“响应于确定”或“响应于检测到”。类似地，短语“如果确定”或“如果检测到[所描述条件或事件]”可以依据上下文被解释为意指“一旦确定”或“响应于确定”或“一旦检测到[所描述条件或事件]”或“响应于检测到[所描述条件或事件]”。

具体实现中，本发明实施例中描述的终端包括但不限于诸如具有触摸敏感表面(例如，触摸屏显示器和/或触摸板)的移动电话、膝上型计算机或平板计算机之类的其它便携式设备。还应当理解的是，在某些实施例中，所述设备并非便携式通信设备，而是具有触摸敏感表面(例如，触摸屏显示器和/或触摸板)的台式计算机。

在接下来的讨论中，描述了包括显示器和触摸敏感表面的终端。然而，应当理解的是，终端可以包括诸如物理键盘、鼠标和/或控制杆的一个或多个其它物理用户接口设备。

终端支持各种应用程序，例如以下中的一个或多个：绘图应用程序、演示应用程序、文字处理应用程序、网站创建应用程序、盘刻录应用程序、电子表格应用程序、游戏应用程序、电话应用程序、视频会议应用程序、电子邮件应用程序、即时消息收发应用程序、锻炼支持应用程序、照片管理应用程序、数码相机应用程序、数字摄影机应用程序、web浏览应用程序、数字音乐播放器应用程序和/或数字视频播放器应用程序。

可以在终端上执行的各种应用程序可以使用诸如触摸敏感表面的至少一个公共物理用户接口设备。可以在应用程序之间和/或相应应用程序内调整和/或改变触摸敏感表面的一个或多个功能以及终端上显示的相应信息。这样，终端的公共物理架构(例如，触摸敏感表面)可以支持具有对用户而言直观且透明的用户界面的各种应用程序。

请参见图1，图1是本发明实施例提供的一种恶意程序的检测方法的示意流程图。本实施例中恶意程序的检测方法的执行主体为终端。终端可以为手机、平板电脑等移动终端，但并不限于此，还可以为其他终端。如图1所示的恶意程序的检测方法可包括以下步骤：

S101：检测当前是否存在运行的安装文件。

终端根据安装文件的标识(例如，安装文件的后缀名)从当前运行的进程中，检测当前是否存在运行中的安装文件。

安装文件的后缀名可以包括exe或apk等。安装文件可以为安装包/软件安装包(Install pack)中的执行程序，但并不限于此，也可以为.exe格式的文件，或其他安装文件。

S102：若当前存在运行的安装文件，获取所述安装文件对应的特征信息。

终端在检测到当前存在运行中的安装文件时，获取安装文件对应的特征信息。安装文件对应的特征信息用于识别安装文件，可以标识安装文件对应的程序信息，或标识安装文件对应的安装模式。安装模式包括用户触发的安装模式、非用户触发的静默模式。其中，静默模式是在后台运行安装文件，不显示在桌面，用户无法看到安装进程。

S103：根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序。

终端根据获取到的安装文件对应的特征信息，判断安装文件对应的安装程序是否为恶意程序。其中，终端可以根据安装文件对应的特征信息，从数据库中查找与该特征信息匹配的恶意安装程序的信息。

其中，数据库中预先存储有恶意安装程序的信息。数据库可以为本地数据库，也可以为网络数据库等，此处不做限制。

终端在确认当前运行中的安装文件对应的安装程序为非恶意程序时，允许继续安装。终端在确认当前运行中的安装文件对应的安装程序为恶意程序时，执行步骤S104。

S104：若所述安装文件对应的安装程序为恶意程序，提示用户。

终端在确认当前运行中的安装文件对应的安装程序为恶意程序时，提醒用户。例如，将恶意程序的信息提示给用户，提醒用户谨慎安装。

终端也可以在确认当前运行中的安装文件对应的安装程序为恶意程序时，将恶意程序信息提示给用户，并询问用户是否继续安装该恶意程序，在用户确认不安装该恶意程序时，结束安装进程。此时，用户可以手动确认是否继续安装终端识别出的恶意程序。

终端还可以在确认当前运行中的安装文件对应的安装程序为恶意程序时，直接终止运行的安装文件，取消本次安装流程。与此同时，终端还可以将恶意程序信息提示给用户。

上述方案，终端检测当前是否存在运行的安装文件；若当前存在运行的安装文件，获取安装文件对应的特征信息；根据特征信息判断安装文件对应的安装程序是否为恶意程序；若安装文件对应的安装程序为恶意程序，提示用户，能够在检测到恶意程序时及时提醒用户，防止因安装恶意程序而导致的信息泄露，减少信息、财产安全隐患。

请参见图2，图2是本发明另一实施例提供的一种恶意程序的检测方法的示意流程图。本实施例中恶意程序的检测方法的执行主体为终端。终端可以为手机、平板电脑等移动终端，但并不限于此，还可以为其他终端。如图2所示的恶意程序的检测方法可包括以下步骤：

S201：检测当前是否存在运行的安装文件。

终端根据安装文件的标识(例如，安装文件的后缀名)从当前运行的进程中，检测当前是否存在运行中的安装文件。

安装文件的后缀名可以包括exe或apk等。安装文件可以为安装包/软件安装包(Install pack)中的执行程序，但并不限于此，也可以为.exe格式的文件，或其他安装文件。

S202：若当前存在运行的安装文件，获取所述安装文件对应的特征信息。

终端在检测到当前存在运行中的安装文件时，获取安装文件对应的特征信息。安装文件对应的特征信息用于识别安装文件，可以标识安装文件对应的程序信息，或标识安装文件对应的安装模式。安装模式包括用户触发的安装模式、非用户触发的静默模式。其中，用户触发的安装模式，用户可在桌面上看到安装信息。静默模式是在后台运行安装文件，不显示在桌面，用户无法看到安装进程、安装信息。

可选地，步骤S202可以包括：若当前存在运行的安装文件，获取所述安装文件对应的应用信息，或获取所述安装文件对应的安装模式；其中，所述安装模式包括静默模式。

终端在检测到当前存在运行中的安装文件时，获取该安装文件对应的程序信息/应用程序信息；或获取当前运行安装文件对应的安装模式。其中，安装模式包括用户触发的安装模式、非用户触发的静默模式。

S203：根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序。

终端根据获取到的安装文件对应的特征信息，判断安装文件对应的安装程序是否为恶意程序。其中，终端可以根据安装文件对应的特征信息，从数据库中查找与该特征信息匹配的恶意安装程序的信息。

其中，数据库中预先存储有而已安装程序的信息。数据库可以为本地数据库，也可以为网络数据库等，此处不做限制。

可选地，当终端获取到安装文件对应的程序信息时，步骤S203可以包括：根据所述安装文件对应的程序信息判断所述安装文件对应的安装程序是否为恶意程序。

例如，终端在解析安装文件时，获取安装文件对应的程序信息/应用程序信息，根据安装文件对应的程序信息(比如，安装文件对应的程序的标识，标识可以为名称)从数据库中查找与该程序信息相同或匹配的信息，以判断安装文件对应的安装程序是否为恶意程序。终端在从数据库中查找到与该应用信息相同或匹配的应用信息时，识别为该安装文件对应的安装程序为恶意程序。

其中，数据库包括恶意程序对应的程序信息。数据库可以是本地数据库，也可以是网络数据库。当数据库为网络数据库时，终端可以采用大数据分析方法分析安装文件对应的安装程序是否为恶意程序。

可选地，当终端获取到安装文件对应的安装模式为静默模式，判断是否获取到用户触发的运行所述安装文件的操作；其中，若未获取到所述用户触发的运行所述安装文件的操作，识别为所述安装文件对应的安装程序为恶意程序。

由于静默模式是非用户触发的安装模式，终端在确认当前运行的安装文件对应的安装模式为静默模式时，判断是否获取到用户触发的运行安装文件的操作。终端在确认未获取到用户触发运行安装文件的操作时，识别为当前运行的安装文件对应的安装程序为恶意程序。终端在获取到用户触发运行安装文件的操作时，识别为当前运行的安装文件对应的安装程序为非恶意程序。

用户触发的运行安装文件的操作可以是用户点击安装界面中的“安装”选项，触发安装指令；也可以是用户点击安装文件，以运行该安装文件。

进一步地，若安装文件对应的安装模式为静默模式，判断是否获取到用户触发的运行所述安装文件的操作包括：通过预览图像判断是否获取到用户触发的运行所述安装文件的操作；或判断是否获取到用户通过触摸屏输入的触发的运行所述安装文件的操作。

终端在确认安装文件对应的安装模式为静默模式时，可以开启终端内置的前置摄像头，或与终端相连的外接摄像头，通过摄像头采集预览图像或拍摄的图像，并识别采集到的预览图像或拍摄的图像，判断预览图像或拍摄的图像中是否包含用户操控终端的操作，以判断是否能够从预览图像或拍摄的图像中获取到用户触发运行该安装文件的操作。终端在确认预览图像或拍摄的图像中不包含用户操控终端的操作时，识别为未获取到用户触发运行该安装文件的操作，当前运行的安装文件对应的安装程序为恶意程序。

可以理解的是，终端根据预览图像或拍摄的图片确认用户操控终端时，还可以进一步判断是否获取到用户通过触摸屏输入的触发的运行安装文件的操作。

或者，终端在确认安装文件对应的安装模式为静默模式时，检测用户通过触摸屏输入的触摸操作，以判断是否获取到用户通过触摸屏输入的触发的运行安装文件的操作。

终端在未检测到用户输入的触摸操作时，识别为未获取到用户触发的运行所述安装文件的操作。

终端在检测到用户通过触摸屏输入的触摸操作时，判断该触摸操作对应的位置是否为安装界面中包含的预设指令(例如，“安装”命令)对应的显示位置，该预设指令用于触发运行该安装文件的操作。

终端在确认用户输入的触摸操作对应的位置为安装界面中包含的预设指令对应的显示位置时，识别为获取到用户触发的运行安装文件的操作，将当前运行的安装文件对应的安装程序为非恶意程序。终端在确认用户输入的触摸操作对应的位置不是安装界面中包含的预设指令对应的显示位置时，识别为未获取到用户触发的运行安装文件的操作，将当前运行的安装文件对应的安装程序为恶意程序。

终端在确认当前运行中的安装文件对应的安装程序为非恶意程序时，允许继续安装。终端在确认当前运行中的安装文件对应的安装程序为恶意程序时，执行步骤S204。

S204：若所述安装文件对应的安装程序为恶意程序，提示用户。

终端在确认当前运行中的安装文件对应的安装程序为恶意程序时，提醒用户。例如，将恶意程序的信息提示给用户，提醒用户谨慎安装。提醒用户的方式可以为通过弹出对话框的形式提醒用户，也可以通过语音提醒用户，或采用其他方式提醒用户，此处不做限制。

终端也可以在确认当前运行中的安装文件对应的安装程序为恶意程序时，将恶意程序信息提示给用户，并询问用户是否继续安装该恶意程序，在用户确认不安装该恶意程序时，结束安装进程。此时，用户可以手动确认是否继续安装终端识别出的恶意程序。

终端还可以在确认当前运行中的安装文件对应的安装程序为恶意程序时，自动终止运行的安装文件，取消本次安装流程。与此同时，终端还可以将恶意程序信息提示给用户。

S205：获取已安装的程序的信息，根据所述已安装的程序的信息判断所述已安装的程序是否包含恶意程序。

终端获取已安装的程序的信息，根据已安装的程序的信息从数据库中获取与已安装的程序信息相同或匹配的信息，以判断已安装的程序是否包含恶意程序。终端在从数据库中获取到已安装的程序信息相同或匹配的信息时，识别为已安装的程序信息相同或匹配的信息。

可以理解的是，终端可以在执行步骤S204后执行步骤S205，也可以在执行步骤S201～S204的任一步骤时，是同时执行步骤S205。

S206：若所述已安装的程序包含恶意程序，将所述已安装的恶意程序信息提示给用户。

终端在确认已安装的程序中包含恶意程序时，将已安装的恶意程序信息提示给用户，以使用户根据提示决定是否卸载该恶意程序。终端也可以在确认已安装的程序包含恶意程序时，直接卸载已安装的恶意程序。

上述方案，终端检测当前是否存在运行的安装文件；若当前存在运行的安装文件，获取安装文件对应的特征信息；根据特征信息判断安装文件对应的安装程序是否为恶意程序；若安装文件对应的安装程序为恶意程序，提示用户，能够在检测到恶意程序时及时提醒用户，防止因安装恶意程序而导致的信息泄露，减少信息、财产安全隐患。

终端在检测到正在安装恶意程序时，可以取消/终止恶意程序安装进程，防止在用户不知情的情况下安装恶意程序的情况。

终端能够遍历已安装的程序的信息，判断已安装的程序是否包含恶意程序，并在确定已安装的程序包含恶意程序时，卸载检测到的恶意程序，能够进一步提高终端内信息的安全性。

参见图3，图3是本发明实施例提供的一种终端的示意性框图。终端可以为手机、平板电脑等移动终端，但并不限于此，还可以为其他终端，此处不做限制。本实施例的终端300包括的各单元用于执行图1对应的实施例中的各步骤，具体请参阅图1以及图1对应的实施例中的相关描述，此处不赘述。本实施例的终端包括：检测单元310、获取单元320、第一判断单元330以及提醒单元340。

检测单元310用于检测当前是否存在运行的安装文件。比如，检测单元310检测当前是否存在运行的安装文件。

检测单元310将检测结果向获取单元320发送。

获取单元320用于接收检测单元310发送的检测结果，若检测结果为当前存在运行的安装文件，获取安装文件对应的特征信息。比如，获取单元320接收检测单元310发送的检测结果，若当前存在运行的安装文件，获取安装文件对应的特征信息。

获取单元320将安装文件对应的特征信息向第一判断单元330发送。

第一判断单元330用于接收获取单元320发送的安装文件对应的特征信息，根据特征信息判断安装文件对应的安装程序是否为恶意程序。比如，第一判断单元330接收获取单元320发送的安装文件对应的特征信息，根据特征信息判断安装文件对应的安装程序是否为恶意程序。

第一判断单元330将判断结果向提醒单元340发送。

提醒单元340用于接收第一判断单元330发送的判断结果，若判断结果为安装文件对应的安装程序为恶意程序，提示用户。比如，提醒单元340接收第一判断单元330发送的判断结果，若判断结果为安装文件对应的安装程序为恶意程序，提示用户。

上述方案，终端检测当前是否存在运行的安装文件；若当前存在运行的安装文件，获取安装文件对应的特征信息；根据特征信息判断安装文件对应的安装程序是否为恶意程序；若安装文件对应的安装程序为恶意程序，提示用户，能够在检测到恶意程序时及时提醒用户，防止因安装恶意程序而导致的信息泄露，减少信息、财产安全隐患。

终端在检测到正在安装恶意程序时，可以取消/终止恶意程序安装进程，防止在用户不知情的情况下安装恶意程序的情况。

参见图4，图4是本发明另一实施例提供的一种终端的示意性框图。终端可以为手机、平板电脑等移动终端，但并不限于此，还可以为其他终端，此处不做限制。本实施例的终端400包括的各单元用于执行图2对应的实施例中的各步骤，具体请参阅图2以及图2对应的实施例中的相关描述，此处不赘述。本实施例的终端包括：检测单元410、获取单元420、第一判断单元430、第二判断单元440以及提醒单元450。其中，获取单元420可以包括程序信息获取单元421或安装模式获取单元422；第一判断单元430可以包括程序信息判断单元431或用户操作判断单元432。当获取单元420包括程序信息获取单元421时，第一判断单元430包括程序信息判断单元431；当获取单元420包括安装模式获取单元422时，第一判断单元430包括用户操作判断单元432。

检测单元410用于检测当前是否存在运行的安装文件。比如，检测单元410检测当前是否存在运行的安装文件。

检测单元410将检测结果向获取单元420发送。

获取单元420用于接收检测单元410发送的检测结果，若检测结果为当前存在运行的安装文件，获取安装文件对应的特征信息。比如，获取单元420接收检测单元410发送的检测结果，若当前存在运行的安装文件，获取安装文件对应的特征信息。

可选地，当获取单元420包括程序信息获取单元421或安装模式获取单元422时，程序信息获取单元421用于获取安装文件对应的程序信息；程序信息获取单元421将安装文件对应的程序信息向第一判断单元430的程序信息判断单元431发送。

安装模式获取单元422用于获取安装文件对应的安装模式；其中，安装模式包括静默模式。安装模式获取单元422将安装文件对应的安装模式信息向第一判断单元430的用户操作判断单元432发送。

获取单元420将安装文件对应的特征信息向第一判断单元430发送。

第一判断单元430用于接收获取单元420发送的安装文件对应的特征信息，根据特征信息判断安装文件对应的安装程序是否为恶意程序。比如，第一判断单元430接收获取单元420发送的安装文件对应的特征信息，根据特征信息判断安装文件对应的安装程序是否为恶意程序。

可选地，当获取单元420包括程序信息获取单元421时，第一判断单元430的程序信息判断单元431用于接收程序信息获取单元421发送的安装文件对应的程序信息，根据安装文件对应的程序信息判断安装文件对应的安装程序是否为恶意程序。

当获取单元420包括安装模式获取单元422时，第一判断单元430的用户操作判断单元432用于接收安装模式获取单元422发送的安装文件对应的安装模式信息，若安装文件对应的安装模式为静默模式，判断是否获取到用户触发的运行安装文件的操作；其中，若未获取到用户触发的运行安装文件的操作，识别为安装文件对应的安装程序为恶意程序。

第一判断单元430将判断结果向提醒单元450发送。

第二判断单元440用于获取已安装的程序的信息，根据已安装的程序的信息判断已安装的程序是否包含恶意程序。

比如，第二判断单元440获取已安装的程序的信息，根据已安装的程序的信息判断已安装的程序是否包含恶意程序。第二判断单元440将判断结果向提醒单元450发送。

提醒单元450用于接收第一判断单元430 0发送的判断结果，若第一判断单元430对应的判断结果为安装文件对应的安装程序为恶意程序，提示用户；以及接收第二判断单元440发送的判断结果，若第二判断单元440对应的判断结果为若已安装的程序包含恶意程序，将已安装的恶意程序信息提示给用户。

比如，提醒单元450接收第一判断单元430发送的判断结果，若判断结果为安装文件对应的安装程序为恶意程序，提示用户。提醒单元450接收第二判断单元440发送的判断结果，若第二判断单元440对应的判断结果为若已安装的程序包含恶意程序，将已安装的恶意程序信息提示给用户。

上述方案，终端检测当前是否存在运行的安装文件；若当前存在运行的安装文件，获取安装文件对应的特征信息；根据特征信息判断安装文件对应的安装程序是否为恶意程序；若安装文件对应的安装程序为恶意程序，提示用户，能够在检测到恶意程序时及时提醒用户，防止因安装恶意程序而导致的信息泄露，减少信息、财产安全隐患。

终端在检测到正在安装恶意程序时，可以取消/终止恶意程序安装进程，防止在用户不知情的情况下安装恶意程序的情况。

终端能够遍历已安装的程序的信息，判断已安装的程序是否包含恶意程序，并在确定已安装的程序包含恶意程序时，卸载检测到的恶意程序，能够进一步提高终端内信息的安全性。

参见图5，图5是本发明再一实施例提供的一种终端示意框图。如图所示的本实施例中的终端500可以包括：一个或多个处理器510；一个或多个输入设备520，一个或多个输出设备530和存储器540。上述处理器510、输入设备520、输出设备530和存储器540通过总线550连接。

存储器540用于存储程序指令。

处理器510用于根据存储器540存储的程序指令执行以下操作：

处理器510用于检测当前是否存在运行的安装文件。

处理器510还用于若当前存在运行的安装文件，获取所述安装文件对应的特征信息。

处理器510还用于根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序。

处理器510还用于若所述安装文件对应的安装程序为恶意程序，提示用户。

进一步地，处理器510具体用于获取所述安装文件对应的程序信息，或用于获取所述安装文件对应的安装模式；其中，所述安装模式包括静默模式。

进一步地，处理器510具体用于根据所述安装文件对应的程序信息判断所述安装文件对应的安装程序是否为恶意程序；以及用于若安装文件对应的安装模式为静默模式，判断是否获取到用户触发的运行所述安装文件的操作；其中，若未获取到所述用户触发的运行所述安装文件的操作，识别为所述安装文件对应的安装程序为恶意程序。

进一步地，处理器510具体用于通过预览图像判断是否获取到用户触发的运行所述安装文件的操作；或用于判断是否获取到用户通过触摸屏输入的触发的运行所述安装文件的操作。

进一步地，处理器510还用于获取已安装的程序的信息，根据所述已安装的程序的信息判断所述已安装的程序是否包含恶意程序；以及用于若所述已安装的程序包含恶意程序，将所述已安装的恶意程序信息提示给用户。

上述方案，终端检测当前是否存在运行的安装文件；若当前存在运行的安装文件，获取安装文件对应的特征信息；根据特征信息判断安装文件对应的安装程序是否为恶意程序；若安装文件对应的安装程序为恶意程序，提示用户，能够在检测到恶意程序时及时提醒用户，防止因安装恶意程序而导致的信息泄露，减少信息、财产安全隐患。

终端在检测到正在安装恶意程序时，可以取消/终止恶意程序安装进程，防止在用户不知情的情况下安装恶意程序的情况。

终端能够遍历已安装的程序的信息，判断已安装的程序是否包含恶意程序，并在确定已安装的程序包含恶意程序时，卸载检测到的恶意程序，能够进一步提高终端内信息的安全性。

应当理解，在本发明实施例中，所称处理器510可以是中央处理单元(CentralProcessing Unit，CPU)，该处理器还可以是其他通用处理器、数字信号处理器(DigitalSignal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现成可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

输入设备520可以包括触控板、指纹采传感器(用于采集用户的指纹信息和指纹的方向信息)、麦克风等，输出设备530可以包括显示器(LCD等)、扬声器等。

该存储器540可以包括只读存储器和随机存取存储器，并向处理器510提供指令和数据。存储器540的一部分还可以包括非易失性随机存取存储器。例如，存储器540还可以存储设备类型的信息。

具体实现中，本发明实施例中所描述的处理器510、输入设备520、输出设备530可执行本发明实施例提供的恶意程序的检测方法的第一实施例和第二实施例中所描述的实现方式，也可执行本发明实施例所描述的终端的实现方式，在此不再赘述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的终端和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的终端和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口、装置或单元的间接耦合或通信连接，也可以是电的，机械的或其它的形式连接。

本发明实施例方法中的步骤可以根据实际需要进行顺序调整、合并和删减。

本发明实施例终端中的单元可以根据实际需要进行合并、划分和删减。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本发明实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种恶意程序的检测方法，其特征在于，所述方法包括：

检测当前是否存在运行的安装文件；

若当前存在运行的安装文件，获取所述安装文件对应的特征信息；

根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序；

若所述安装文件对应的安装程序为恶意程序，提示用户。

2.根据权利要求1所述的方法，其特征在于，所述若当前存在运行的安装文件，获取所述安装文件对应的特征信息包括：

获取所述安装文件对应的程序信息，或获取所述安装文件对应的安装模式；其中，所述安装模式包括静默模式。

3.根据权利要求2所述的方法，其特征在于，所述根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序包括：

根据所述安装文件对应的程序信息判断所述安装文件对应的安装程序是否为恶意程序；或

若安装文件对应的安装模式为静默模式，判断是否获取到用户触发的运行所述安装文件的操作；其中，若未获取到所述用户触发的运行所述安装文件的操作，识别为所述安装文件对应的安装程序为恶意程序。

4.根据权利要求3所述的方法，其特征在于，所述若安装文件对应的安装模式为静默模式，判断是否获取到用户触发的运行所述安装文件的操作包括：

通过预览图像判断是否获取到用户触发的运行所述安装文件的操作；或

判断是否获取到用户通过触摸屏输入的触发的运行所述安装文件的操作。

5.根据权利要求1至4任一项所述的方法，其特征在于，所述方法还包括：

获取已安装的程序的信息，根据所述已安装的程序的信息判断所述已安装的程序是否包含恶意程序；

若所述已安装的程序包含恶意程序，将所述已安装的恶意程序信息提示给用户。

6.一种终端，其特征在于，所述终端包括：

检测单元，用于检测当前是否存在运行的安装文件；

获取单元，用于若当前存在运行的安装文件，获取所述安装文件对应的特征信息；

第一判断单元，用于根据所述特征信息判断所述安装文件对应的安装程序是否为恶意程序；

提醒单元，用于若所述安装文件对应的安装程序为恶意程序，提示用户。

7.根据权利要求6所述的终端，其特征在于，所述获取单元包括：

程序信息获取单元，用于获取所述安装文件对应的程序信息；

安装模式获取单元，用于获取所述安装文件对应的安装模式；其中，所述安装模式包括静默模式。

8.根据权利要求7所述的终端，其特征在于，所述第一判断单元包括：

程序信息判断单元，用于根据所述安装文件对应的程序信息判断所述安装文件对应的安装程序是否为恶意程序；

用户操作判断单元，用于若安装文件对应的安装模式为静默模式，判断是否获取到用户触发的运行所述安装文件的操作；其中，若未获取到所述用户触发的运行所述安装文件的操作，识别为所述安装文件对应的安装程序为恶意程序。

9.根据权利要求8所述的终端，其特征在于，所述用户操作判断单元具体用于通过预览图像判断是否获取到用户触发的运行所述安装文件的操作；或用于判断是否获取到用户通过触摸屏输入的触发的运行所述安装文件的操作。

10.根据权利要求6至9任一项所述的终端，其特征在于，所述终端还包括：

第二判断单元，用于获取已安装的程序的信息，根据所述已安装的程序的信息判断所述已安装的程序是否包含恶意程序；

所述提醒单元还用于若所述已安装的程序包含恶意程序，将所述已安装的恶意程序信息提示给用户。