CN106611123A - 一种勒索者病毒的检测方法及系统 - Google Patents

一种勒索者病毒的检测方法及系统 Download PDF

Info

Publication number
CN106611123A
CN106611123A CN201611094328.XA CN201611094328A CN106611123A CN 106611123 A CN106611123 A CN 106611123A CN 201611094328 A CN201611094328 A CN 201611094328A CN 106611123 A CN106611123 A CN 106611123A
Authority
CN
China
Prior art keywords
file
virus
blackmailer
encrypted
backup
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN201611094328.XA
Other languages
English (en)
Inventor
张慧云
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Harbin Antiy Technology Co Ltd
Original Assignee
Harbin Antiy Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Harbin Antiy Technology Co Ltd filed Critical Harbin Antiy Technology Co Ltd
Priority to CN201611094328.XA priority Critical patent/CN106611123A/zh
Publication of CN106611123A publication Critical patent/CN106611123A/zh
Withdrawn legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本发明公开了一种勒索者病毒的检测方法及系统，包括：若存在修改文件的进程，则挂起进程并备份文件至可读区域，备份完成后放行该进程；对比修改后的文件与备份的文件的熵值，判定当前进程是否对文件进行了加密操作；若存在加密操作则判断该进程在预设时间内针对文件的操作次数是否超过设定阈值，若是则判定为疑似勒索者病毒。本发明所述技术方案不仅能够有效识别勒索者病毒，降低误报率而且不影响正常软件操作文件。

Description

一种勒索者病毒的检测方法及系统
技术领域
本发明涉及信息安全技术领域，尤其涉及一种勒索者病毒的检测方法及系统。
背景技术
勒索软件是近两年比较流行的病毒，尤其是在2016年我国勒索软件成爆发式增长。勒索软件一旦感染系统会加密电脑磁盘的文档文件、图片文件、文本文件等，加密成功后会通过网页文件、TXT文件、屏幕保护图片等方式来通知用户在一定时间内支付赎金后才会给予解密的方式。勒索软件作者会使用非常复杂的随机非对称加密手段加密用户数据，只有恶意代码作者能对其解密。在某种程度上就算用户支付赎金给恶意代码作者，也可能无法解密数据，这对于拥有重要资源的企业和部门是一个灾难性的事件，比如：医疗部门、银行、政府部门一旦遭受勒索软件攻击，就会使各业务系统瘫痪，损失不可估计。
目前主流杀毒软件都有文件防护功能，可以保证文件不被恶意篡改，但是这种做法可能同时影响正常软件对于文件的操作，即使通过白名单机制可以保证放行一部分软件的正常访问，但是不能保证所有安全程序对文件的操作。同时，白名单技术也不能保证文件不被恶意程序篡改，因此对于勒索者并不适用，因为目前很多勒索者病毒是通过注入白名单进程来释放攻击的，如explorer或svchost进程。
发明内容
针对上述技术问题，本发明所述的技术方案通过感知文件的变化范围和频率来判定是否存在疑似勒索者病毒，进而提升对勒索者病毒的检出率，并同时降低误报。
本发明采用如下方法来实现，包括：
若存在修改文件的进程，则挂起进程并备份文件至可读区域，备份完成后放行该进程；
对比修改后的文件与备份的文件的熵值，判定当前进程是否对文件进行了加密操作；
若存在加密操作则判断该进程在预设时间内针对文件的操作次数是否超过设定阈值，若是则判定为疑似勒索者病毒。
进一步地，在判定为疑似勒索者病毒之前，还包括：收集被加密的所有文件，并判断具备相同扩展名的文件所占比例是否超过预设值，若是则继续判断具备相同扩展名的文件的文件名是否长度一致并存在部分相同字符串，若是则判定为疑似勒索者病毒；
将相同扩展名、文件名中的相同字符串部分存入特征库，用于后续分析。
更进一步地，在判定为疑似勒索者病毒之后，还包括：
若被加密的文件所在文件夹内存在html文件或者txt文件，则进一步判断所述html文件或者txt文件内是否存在URL链接，若存在则提取所述URL链接并存入特征库；
若被加密的文件所在文件夹内不存在html文件或者txt文件，则遍历非加密文件中是否存在URL链接，若存在则提取所述URL链接并存入特征库。
上述方法中，在判定为疑似勒索者病毒之后，还包括：删除被加密的文件并将备份的文件恢复到原来位置。
上述方法中，所述文件包括但不限于：文档文件、文本文件或者图片文件。
本发明可以采用如下系统来实现，包括：
文档备份模块，用于若存在修改文件的进程，则挂起进程并备份文件至可读区域，备份完成后放行该进程；
加密判定模块，用于对比修改后的文件与备份的文件的熵值，判定当前进程是否对文件进行了加密操作；
初次判定模块，用于若存在加密操作则判断该进程在预设时间内针对文件的操作次数是否超过设定阈值，若是则判定为疑似勒索者病毒。
进一步地，在所述初次判定模块执行之后还包括二次判定模块，用于收集被加密的所有文件，并判断具备相同扩展名的文件所占比例是否超过预设值，若是则继续判断具备相同扩展名的文件的文件名是否长度一致并存在部分相同字符串，若是则判定为疑似勒索者病毒；
将相同扩展名、文件名中的相同字符串部分存入特征库，用于后续分析。
更进一步地，还包括：恶意域名记录模块，用于若被加密的文件所在文件夹内存在html文件或者txt文件，则进一步判断所述html文件或者txt文件内是否存在URL链接，若存在则提取所述URL链接并存入特征库；
若被加密的文件所在文件夹内不存在html文件或者txt文件，则遍历非加密文件中是否存在URL链接，若存在则提取所述URL链接并存入特征库。
上述系统中，还包括：文档恢复模块，用于删除被加密的文件并将备份的文件恢复到原来位置。
上述系统中，所述文件包括但不限于：文档文件、文本文件或者图片文件。
综上，本发明给出一种勒索者病毒的检测方法及系统，本发明若发现存在修改文件的进程，则首先判断是否是针对文件的加密操作；若是则继续判断该进程在预设时间内针对文件的操作总数是否超过设定阈值，若是，则认为存在可疑进程大批量的加密文件，因此初步判定为疑似勒索者病毒。
有益效果为：本发明所述技术方案通过监控文件被操作的范围及频率，进而准确判定是否是勒索者病毒。
附图说明
为了更清楚地说明本发明的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的一种勒索者病毒的检测方法实施例流程图；
图2为加密前的文件的字符情况；
图3为加密后的文件的字符情况；
图4为本发明提供的一种勒索者病毒的检测系统实施例结构图。
具体实施方式
本发明给出了一种勒索者病毒的检测方法及系统实施例，为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明：
本发明首先提供了一种勒索者病毒的检测方法实施例，如图1所示，包括：
S101：若存在修改文件的进程，则挂起进程并备份文件至可读区域，备份完成后放行该进程。目的是为后续文件的恢复操作做准备。
S102：对比修改后的文件与备份的文件的熵值，判定当前进程是否对文件进行了加密操作；
其中，经过观察加密数据中常见字符在加密前后的规律变化，发现熵值在加密前后将发生很大的变化，例如：未加密的文件中存在较多为0的字符串，如图2所示；但是加密之后的文件中则基本不存在为0的字符串，如图3所示；由此可知，通过将修改后的文件的熵值与备份的修改前的文件的熵值进行对比，若差距较大，则判定当前进程对文件进行了加密操作。
更优选地，由于压缩文件或者电影文件的字符密度很高，可能会出现高熵值的情况，并且如果文件整体参与熵值计算将拖慢检测速度，建议选择文件的头部预设数量的字节进行熵值的计算和对比，进而在保证准确率的前提下，进一步提升检测效率。
S103：若存在加密操作则判断该进程在预设时间内针对文件的操作次数是否超过设定阈值，若是则继续执行S104，否则停止监控；
其中，当判定存在进程对文件进行修改操作后，随时备份其操作的文件，并继续放行该进程，当操作停止后判定该进程对所有文件进行了多少次操作行为，包括：文件读操作、文件写操作或者文件删除操作等；当发现该进程在预设时间内针对文件的操作次数超过设定阈值（例如：该进程在一定时间内同时读了100次文件，写了100次文件，删了100个文件），则判定该进程对文件进行了高频率的修改操作，进而发出警报，或者进一步判定。
S104：收集被加密的所有文件，并判断具备相同扩展名的文件所占比例是否超过预设值，若是则继续执行S105，否则停止监控；
其中，勒索者病毒通常会批量修改文件，将其修改为系统无法识别的扩展名，因此，若被加密的文件中存在一定比例的相同的扩展名，则一定程度上说明这些文件是被勒索者恶意操作过的。
S105：判断具备相同扩展名的文件的文件名是否长度一致并存在部分相同字符串，若是则判定为疑似勒索者病毒；
上述S101、S102、S103即可对勒索者进行初次判定，但是为了降低误报，可以继续执行S104。勒索者病毒在感染用户文件后，会修改文件名并且修改扩展名，而正常软件并不会出现该情况。因此通过监控文件的文件名和扩展名的形态变化来判定是否是勒索者所为。
其中，之所以计算具备相同扩展名的文件与当前文件夹中所有文件的占比值，并判断其是否超过预设值，是因为勒索者会批量修改扩展名，但是也会在文件夹内添加其他扩展名的文件，例如：html文件或者txt文件。勒索者病毒作者会在文件夹内放置html、txt或者其他非加密形式的文件的目的是通知用户文档被加密，需要支付赎金来恢复文件，因此文件夹内通常会存在与其他文件扩展名不同的能够被打开的文件。
S106：将相同扩展名、文件名中的相同字符串部分存入特征库；目的用于后续进一步分析判定，并方便后续对该勒索者的检测。
更优选地，若被加密的文件所在文件夹内存在html文件或者txt文件，则进一步判断所述html文件或者txt文件内是否存在URL链接，若存在则提取所述URL链接并存入特征库；
若被加密的文件所在文件夹内不存在html文件或者txt文件，则遍历非加密文件中是否存在URL链接，若存在则提取所述URL链接并存入特征库。
将上述相同扩展名、文件名中的相同字符串和收集到的URL链接存入特征库，一旦其他人中了此类勒索者病毒，则可以通过入库的特征码即可检出，将损失降至最低，为产品库提供支撑。
S107：删除被加密的文件并将备份的文件恢复到原来位置。该步骤的目的是降低用户损失。
本发明其次提供了一种勒索者病毒的检测系统实施例，如图4所示，包括：
文档备份模块401，用于若存在修改文件的进程，则挂起进程并备份文件至可读区域，备份完成后放行该进程；其中，将文件换个区域备份的目的是方便后续读取，同时防止被勒索者继续加密。
加密判定模块402，用于对比修改后的文件与备份的文件的熵值，判定当前进程是否对文件进行了加密操作；其中，若判定存在加密操作，则发出加密警告，或者请求用户协助判定是否需要拦截该进程，否则停止监控。
初次判定模块403，用于若存在加密操作则判断该进程在预设时间内针对文件的操作次数是否超过设定阈值，若是则判定为疑似勒索者病毒。其中，若该进程在预设时间内针对文件的操作次数没有超过设定阈值，则停止监控。
优选地，在所述初次判定模块403执行之后还包括二次判定模块，用于收集被加密的所有文件，并判断具备相同扩展名的文件所占比例是否超过预设值，若是则继续判断具备相同扩展名的文件的文件名是否长度一致并存在部分相同字符串，若是则判定为疑似勒索者病毒；
将相同扩展名、文件名中的相同字符串部分存入特征库，用于后续分析。
更优选地，还包括：恶意域名记录模块，用于若被加密的文件所在文件夹内存在html文件或者txt文件，则进一步判断所述html文件或者txt文件内是否存在URL链接，若存在则提取所述URL链接并存入特征库；
若被加密的文件所在文件夹内不存在html文件或者txt文件，则遍历非加密文件中是否存在URL链接，若存在则提取所述URL链接并存入特征库。
上述系统实施例中，还包括：文档恢复模块，用于删除被加密的文件并将备份的文件恢复到原来位置。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同或相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
如上所述，本发明提供了多个实施例，通过监控系统进程，当发现存在进程修改文件，则需要先挂起进程并备份文件，备份完成后则放行该进程，并判断进程是否进行的是加密操作，若是则进一步统计进程针对文件的操作频率，若频率较高则告警，认为是疑似勒索者病毒，并进一步辅助文件的扩展名变化形态来最终判定是否是勒索者病毒。上述实施例较比现有技术能够更加准确的识别勒索者病毒，并且不会影响正常软件的操作行为，同时通过提取URL链接、扩展名等入库，用于后续的勒索者病毒检测。
以上实施例用以说明而非限制本发明的技术方案。不脱离本发明精神和范围的任何修改或局部替换，均应涵盖在本发明的权利要求范围当中。

Claims (8)

1.一种勒索者病毒的检测方法，其特征在于，包括：
若存在修改文件的进程，则挂起进程并备份文件至可读区域，备份完成后放行该进程；
对比修改后的文件与备份的文件的熵值，判定当前进程是否对文件进行了加密操作；
若存在加密操作则判断该进程在预设时间内针对文件的操作次数是否超过设定阈值，若是则判定为疑似勒索者病毒。
2.如权利要求1所述的方法，其特征在于，在判定为疑似勒索者病毒之前，还包括：收集被加密的所有文件，并判断具备相同扩展名的文件所占比例是否超过预设值，若是则继续判断具备相同扩展名的文件的文件名是否长度一致并存在部分相同字符串，若是则判定为疑似勒索者病毒；
将相同扩展名、文件名中的相同字符串部分存入特征库，用于后续分析。
3.如权利要求2所述的方法，其特征在于，在判定为疑似勒索者病毒之后，还包括：
若被加密的文件所在文件夹内存在html文件或者txt文件，则进一步判断所述html文件或者txt文件内是否存在URL链接，若存在则提取所述URL链接并存入特征库；
若被加密的文件所在文件夹内不存在html文件或者txt文件，则遍历非加密文件中是否存在URL链接，若存在则提取所述URL链接并存入特征库。
4.如权利要求3所述的方法，其特征在于，在判定为疑似勒索者病毒之后，还包括：删除被加密的文件并将备份的文件恢复到原来位置。
5.一种勒索者病毒的检测系统，其特征在于，包括：
文档备份模块，用于若存在修改文件的进程，则挂起进程并备份文件至可读区域，备份完成后放行该进程；
加密判定模块，用于对比修改后的文件与备份的文件的熵值，判定当前进程是否对文件进行了加密操作；
初次判定模块，用于若存在加密操作则判断该进程在预设时间内针对文件的操作次数是否超过设定阈值，若是则判定为疑似勒索者病毒。
6.如权利要求5所述的系统，其特征在于，还包括：二次判定模块，用于收集被加密的所有文件，并判断具备相同扩展名的文件所占比例是否超过预设值，若是则继续判断具备相同扩展名的文件的文件名是否长度一致并存在部分相同字符串，若是则判定为疑似勒索者病毒；
将相同扩展名、文件名中的相同字符串部分存入特征库，用于后续分析。
7.如权利要求6所述的系统，其特征在于，还包括：恶意域名记录模块，用于若被加密的文件所在文件夹内存在html文件或者txt文件，则进一步判断所述html文件或者txt文件内是否存在URL链接，若存在则提取所述URL链接并存入特征库；
若被加密的文件所在文件夹内不存在html文件或者txt文件，则遍历非加密文件中是否存在URL链接，若存在则提取所述URL链接并存入特征库。
8.如权利要求7所述的系统，其特征在于，还包括：文档恢复模块，用于删除被加密的文件并将备份的文件恢复到原来位置。
CN201611094328.XA 2016-12-02 2016-12-02 一种勒索者病毒的检测方法及系统 Withdrawn CN106611123A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201611094328.XA CN106611123A (zh) 2016-12-02 2016-12-02 一种勒索者病毒的检测方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201611094328.XA CN106611123A (zh) 2016-12-02 2016-12-02 一种勒索者病毒的检测方法及系统

Publications (1)

Publication Number Publication Date
CN106611123A true CN106611123A (zh) 2017-05-03

Family

ID=58636106

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201611094328.XA Withdrawn CN106611123A (zh) 2016-12-02 2016-12-02 一种勒索者病毒的检测方法及系统

Country Status (1)

Country Link
CN (1) CN106611123A (zh)

Cited By (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107330322A (zh) * 2017-06-06 2017-11-07 北京奇虎科技有限公司 文档安全防护方法、装置以及设备
CN107403096A (zh) * 2017-08-04 2017-11-28 郑州云海信息技术有限公司 一种基于文件状态分析的勒索软件检测方法
CN107506642A (zh) * 2017-08-10 2017-12-22 四川长虹电器股份有限公司 防止文件被恶意操作行为损坏的方法与系统
CN107563192A (zh) * 2017-08-10 2018-01-09 北京神州绿盟信息安全科技股份有限公司 一种勒索软件的防护方法、装置、电子设备及存储介质
CN107871079A (zh) * 2017-11-29 2018-04-03 深信服科技股份有限公司 一种可疑进程检测方法、装置、设备及存储介质
CN108121913A (zh) * 2017-09-26 2018-06-05 江苏神州信源系统工程有限公司 一种操作管理方法及装置
CN108363923A (zh) * 2017-10-19 2018-08-03 北京安天网络安全技术有限公司 一种勒索者病毒防御方法、系统及设备
CN108363921A (zh) * 2017-07-05 2018-08-03 北京安天网络安全技术有限公司 一种基于进程行为特征发现窃密木马的方法及系统
CN108932428A (zh) * 2017-05-25 2018-12-04 腾讯科技（深圳）有限公司 一种勒索软件的处理方法、装置、设备及可读存储介质
CN109284608A (zh) * 2017-07-19 2019-01-29 阿里巴巴集团控股有限公司 勒索软件的识别方法、装置和设备、安全处理方法
CN109359467A (zh) * 2018-10-10 2019-02-19 杭州安恒信息技术股份有限公司 针对未知勒索病毒的精准识别与全网联动防御方法和系统
CN109711158A (zh) * 2017-10-26 2019-05-03 西部数据技术公司 基于设备的反恶意软件
CN109960933A (zh) * 2017-12-26 2019-07-02 北京安天网络安全技术有限公司 文档的防护方法、系统及终端设备
CN111931171A (zh) * 2020-08-10 2020-11-13 深信服科技股份有限公司 一种共享文件安全防护方法、装置、设备及存储介质
CN112906001A (zh) * 2021-03-15 2021-06-04 上海交通大学 一种Linux勒索病毒防范方法及系统
CN113672925A (zh) * 2021-08-26 2021-11-19 安天科技集团股份有限公司 阻止勒索软件攻击的方法、装置、存储介质及电子设备
WO2023151238A1 (zh) * 2022-02-08 2023-08-17 华为云计算技术有限公司 一种勒索病毒检测方法及相关系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150058987A1 (en) * 2013-08-22 2015-02-26 F-Secure Corporation Detecting File Encrypting Malware
CN105760759A (zh) * 2015-12-08 2016-07-13 哈尔滨安天科技股份有限公司 一种基于进程监控的文档保护方法及系统
CN106096397A (zh) * 2016-05-26 2016-11-09 倪茂志 一种勒索软件的防范方法和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20150058987A1 (en) * 2013-08-22 2015-02-26 F-Secure Corporation Detecting File Encrypting Malware
CN105760759A (zh) * 2015-12-08 2016-07-13 哈尔滨安天科技股份有限公司 一种基于进程监控的文档保护方法及系统
CN106096397A (zh) * 2016-05-26 2016-11-09 倪茂志 一种勒索软件的防范方法和系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
杨楠: "浅谈中国计算机病毒与反计算机病毒技术发展与免杀技术", 《通讯世界》 *

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108932428B (zh) * 2017-05-25 2022-11-11 腾讯科技（深圳）有限公司 一种勒索软件的处理方法、装置、设备及可读存储介质
CN108932428A (zh) * 2017-05-25 2018-12-04 腾讯科技（深圳）有限公司 一种勒索软件的处理方法、装置、设备及可读存储介质
CN107330322A (zh) * 2017-06-06 2017-11-07 北京奇虎科技有限公司 文档安全防护方法、装置以及设备
CN108363921A (zh) * 2017-07-05 2018-08-03 北京安天网络安全技术有限公司 一种基于进程行为特征发现窃密木马的方法及系统
CN109284608B (zh) * 2017-07-19 2022-10-18 阿里巴巴集团控股有限公司 勒索软件的识别方法、装置和设备、安全处理方法
CN109284608A (zh) * 2017-07-19 2019-01-29 阿里巴巴集团控股有限公司 勒索软件的识别方法、装置和设备、安全处理方法
CN107403096A (zh) * 2017-08-04 2017-11-28 郑州云海信息技术有限公司 一种基于文件状态分析的勒索软件检测方法
CN107563192A (zh) * 2017-08-10 2018-01-09 北京神州绿盟信息安全科技股份有限公司 一种勒索软件的防护方法、装置、电子设备及存储介质
CN107506642A (zh) * 2017-08-10 2017-12-22 四川长虹电器股份有限公司 防止文件被恶意操作行为损坏的方法与系统
CN107563192B (zh) * 2017-08-10 2020-02-07 北京神州绿盟信息安全科技股份有限公司 一种勒索软件的防护方法、装置、电子设备及存储介质
CN108121913A (zh) * 2017-09-26 2018-06-05 江苏神州信源系统工程有限公司 一种操作管理方法及装置
CN108363923A (zh) * 2017-10-19 2018-08-03 北京安天网络安全技术有限公司 一种勒索者病毒防御方法、系统及设备
CN109711158B (zh) * 2017-10-26 2023-06-27 西部数据技术公司 基于设备的反恶意软件
CN109711158A (zh) * 2017-10-26 2019-05-03 西部数据技术公司 基于设备的反恶意软件
CN107871079A (zh) * 2017-11-29 2018-04-03 深信服科技股份有限公司 一种可疑进程检测方法、装置、设备及存储介质
CN109960933A (zh) * 2017-12-26 2019-07-02 北京安天网络安全技术有限公司 文档的防护方法、系统及终端设备
CN109359467A (zh) * 2018-10-10 2019-02-19 杭州安恒信息技术股份有限公司 针对未知勒索病毒的精准识别与全网联动防御方法和系统
CN109359467B (zh) * 2018-10-10 2020-11-20 杭州安恒信息技术股份有限公司 针对未知勒索病毒的精准识别与全网联动防御方法和系统
CN111931171A (zh) * 2020-08-10 2020-11-13 深信服科技股份有限公司 一种共享文件安全防护方法、装置、设备及存储介质
CN112906001A (zh) * 2021-03-15 2021-06-04 上海交通大学 一种Linux勒索病毒防范方法及系统
CN113672925A (zh) * 2021-08-26 2021-11-19 安天科技集团股份有限公司 阻止勒索软件攻击的方法、装置、存储介质及电子设备
CN113672925B (zh) * 2021-08-26 2024-01-26 安天科技集团股份有限公司 阻止勒索软件攻击的方法、装置、存储介质及电子设备
WO2023151238A1 (zh) * 2022-02-08 2023-08-17 华为云计算技术有限公司 一种勒索病毒检测方法及相关系统

Similar Documents

Publication Publication Date Title
CN106611123A (zh) 一种勒索者病毒的检测方法及系统
CN106845222A (zh) 一种勒索者病毒的检测方法及系统
US10229269B1 (en) Detecting ransomware based on file comparisons
EP3316166B1 (en) File-modifying malware detection
EP3616115B1 (en) Endpoint detection and response system event characterization data transfer
US11122061B2 (en) Method and server for determining malicious files in network traffic
US20190158512A1 (en) Lightweight anti-ransomware system
EP3502943A1 (en) Method and system for generating cognitive security intelligence for detecting and preventing malwares
US10079835B1 (en) Systems and methods for data loss prevention of unidentifiable and unsupported object types
Min et al. Amoeba: An autonomous backup and recovery SSD for ransomware attack defense
JP6690646B2 (ja) 情報処理装置、情報処理システム、情報処理方法、及び、プログラム
US8844059B1 (en) Method and apparatus for preventing data loss through screen capture
WO2018004891A1 (en) Ransomware protection for cloud file storage
JP2019532388A (ja) ファイル・システム上のマルウェアを検出し応答するシステム及び方法
CN105760759A (zh) 一种基于进程监控的文档保护方法及系统
EP3756121B1 (en) Anti-ransomware systems and methods using a sinkhole at an electronic device
US20070198420A1 (en) Method and a system for outbound content security in computer networks
AU2021251658B2 (en) Methods and systems for detecting ransomware attack in incremental backup
WO2021017318A1 (zh) 跨站攻击防护方法、装置、设备及存储介质
EP3531324B1 (en) Identification process for suspicious activity patterns based on ancestry relationship
CN108183901B (zh) 基于fpga的主机安全防护物理卡及其数据处理方法
CN106548070A (zh) 一种在待机时间防御勒索者病毒的方法及系统
CN111090857B (zh) 防御恶意软件攻击文件的方法、计算机系统以及记录介质
CN102184371A (zh) Sql语句的数据库操作权限检测方法与系统
KR101737794B1 (ko) 사용자파일을 암호화하는 악성코드의 모니터링 장치 및 방법

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WW01 Invention patent application withdrawn after publication
WW01 Invention patent application withdrawn after publication

Application publication date: 20170503