CN108875400A - 一种病毒防护方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明实施例公开一种病毒防护方法、装置、电子设备及存储介质，能够及时识别出各种加密方法对文件的修改，从而有效提高了病毒防护能力。所述方法包括：当监测到目标文件以可写方式被打开时，对所述目标文件进行备份；当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件；在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。本发明可用于信息安全应用中。

Description

一种病毒防护方法、装置、电子设备及存储介质

技术领域

本发明涉及互联网技术领域，尤其涉及一种病毒防护方法、装置、电子设备及存储介质。

背景技术

随着勒索病毒WannaCry的爆发，人们再一次认识到勒索者病毒的危害性。由于该病毒制作成本低，回报利润高等特点，使其成为最被关注病毒之一。虽然各个防护厂商对该病毒均提出了相对的防护软件，但是随着该病毒不断升级，各个防护厂商对新出的病毒并不能进行很好的防护。

而且，最新的勒索者病毒已不在是对文件进行全部加密，而是随机选取某一个位置后进行加密，从而使各防护软件无法通过对文档进行格式解析来判断该文件是否被加密，进一步增大了防护软件对勒索行为的识别难度。

发明内容

有鉴于此，本发明实施例提供一种病毒防护方法、装置、电子设备及存储介质，能够及时识别出各种加密方法对文件的修改，从而有效提高了病毒防护能力。

第一方面，本发明实施例提供一种病毒防护方法，包括：当监测到目标文件以可写方式被打开时，对所述目标文件进行备份；当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件；在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

结合第一方面，在第一方面的第一种实施方式中，所述当监测到目标文件以可写方式被打开时，对所述目标文件进行备份包括：通过驱动层的文件过滤程序监测文件的操作状态；当监测到目标文件以可写方式被打开时，阻止对所述目标文件的写操作；对所述目标文件进行备份；放行对所述目标文件的写操作。

结合第一方面，在第一方面的第二种实施方式中，所述当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件包括：当所述目标文件被改写成对应的改写文件后，调用所述目标文件对应的内容解析工具对所述改写文件进行内容解析；所述在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序包括：在所述内容解析工具无法对所述改写文件进行内容解析的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

结合第一方面或第一方面的第一或第二种实施方式，在第一方面的第三种实施方式中，所述确定以可写方式打开所述目标文件的程序为病毒程序之后，所述方法还包括：将所述病毒程序添加至黑名单，以禁止所述病毒程序再次运行。

结合第一方面或第一方面的第一或第二种实施方式，在第一方面的第四种实施方式中，所述确定以可写方式打开所述目标文件的程序为病毒程序之后，所述方法还包括：利用所述备份文件将无法打开的所述改写文件恢复成所述目标文件。

第二方面，本发明的实施例还提供一种病毒防护装置，包括：备份单元，用于当监测到目标文件以可写方式被打开时，对所述目标文件进行备份；打开单元，用于当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件；确定单元，用于在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

结合第二方面，在第二方面的第一种实施方式中，所述备份单元包括：监测模块，用于通过驱动层的文件过滤程序监测文件的操作状态；阻止模块，用于当所述监测模块监测到目标文件以可写方式被打开时，阻止对所述目标文件的写操作；备份模块，用于对所述目标文件进行备份；放行模块，用于放行对所述目标文件的写操作。

结合第二方面，在第二方面的第二种实施方式中，所述打开单元，具体用于当所述目标文件被改写成对应的改写文件后，调用所述目标文件对应的内容解析工具对所述改写文件进行内容解析；所述确定单元，具体用于在所述内容解析工具无法对所述改写文件进行内容解析的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

结合第二方面或第二方面的第一或第二种实施方式，在第二方面的第三种实施方式中，所述装置还包括：添加单元，用于在确定以可写方式打开所述目标文件的程序为病毒程序之后，将所述病毒程序添加至黑名单，以禁止所述病毒程序再次运行。

结合第二方面或第二方面的第一或第二种实施方式，在第二方面的第四种实施方式中，所述装置还包括恢复单元，用于在确定以可写方式打开所述目标文件的程序为病毒程序之后，利用所述备份文件将无法打开的所述改写文件恢复成所述目标文件。

第三方面，本发明的实施例还提供一种电子设备，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行本发明任一实施例提供的病毒防护方法。

第四方面，本发明的实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现本发明任一实施例提供的病毒防护方法。

本发明的实施例提供的病毒防护方法、装置、电子设备及存储介质，能够监测文件的操作状态，当监测到目标文件以可写方式被打开时，能够对所述目标文件进行备份，当所述目标文件被改写成对应的改写文件后，能够通过尝试打开所述改写文件的方式确定该目标文件是否感染病毒，并将以可写方式打开目标文件的程序追溯为病毒程序。这样，无论病毒程序采取怎样的加密方法来改写目标文件都可以被监测出，有效解决了文件格式解析无法准确识别被攻击文件的问题，有效提高了病毒防护能力。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1为本发明的实施例提供的病毒防护方法的一种流程图；

图2为本发明的实施例提供的病毒防护方法的另一种流程图；

图3为本发明的实施例提供的病毒防护装置的一种结构示意图；

图4为本发明的实施例提供的电子设备的一种结构示意图。

具体实施方式

下面结合附图对本发明实施例进行详细描述。

应当明确，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

第一方面，本发明实施例提供一种病毒防护方法，能够及时识别出各种加密方法对文件的修改，从而有效提高了病毒防护能力。

图1为本发明的实施例提供的病毒防护方法的一种流程图，如图1所示，本发明地实施例提供的病毒防护方法，可包括：

S11，当监测到目标文件以可写方式被打开时，对所述目标文件进行备份；

其中，目标文件可以包括各种类型的被监测文件，例如，office文件、PDF文件、各种数据库文件或媒体文件等。本发明的实施例对此不做限定。在本发明的一个实施例中，目标文件可以包括本地所有的文件。

文件的打开方式是指文件以怎样的操作权限被打开，可选的，一般可以包括只读方式和可写方式。当文件以只读方式打开时，文件被保护起来，用户或其它程序无法对文件进行任何更改，因此，在这种情况下，文件不会被病毒感染产生改变。当文件以可写方式打开时，允许用户或其它程序对文件进行更改，在这种情况下，文件也可能被病毒感染，产生改变，例如文件可能被病毒恶意加密或删除等，从而使用户无法正常打开文件，以便对用户进行勒索。

S12，当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件；

由于目标文件是用可写方式打开的，因此，目标文件可以被用户或程序修改，本步骤中，目标文件被改写成改写文件后进行存盘，则可以对存盘后的改写文件进行尝试打开。可选的，不同类型的目标文件，对应的打开工具不同，在尝试打开文件时，只需要调用对应的工具即可。

S13，在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

本步骤中，如果无法打开改写文件，则说明该目标文件感染了病毒，目标文件修改后形成的改写文件已经被加密，用户无法正常打开，相应的，以可写方式打开目标文件的程序即被确定为病毒程序，从而结束该病毒程序的进程。以word文档为例，无论勒索者如何变种，使用何种加密算法对文档加密以及在任何位置对文档进行加密，被加密的word文档都表现为无法使用Office的Winword.exe打开。因此，利用这点可以准确区分出word文档是否被加密，而无需通过对文档进行格式解析来获知文档是否被加密。

本发明的实施例提供的病毒防护方法，能够监测文件的操作状态，当监测到目标文件以可写方式被打开时，能够对所述目标文件进行备份，当所述目标文件被改写成对应的改写文件后，能够通过尝试打开所述改写文件的方式确定该目标文件是否感染病毒，并将以可写方式打开目标文件的程序追溯为病毒程序。这样，无论病毒程序采取怎样的加密方法来改写目标文件都可以被监测出，有效解决了文件格式解析无法准确识别被攻击文件的问题，有效提高了病毒防护能力。

可选的，在步骤S11中，当监测到目标文件以可写方式被打开时，对所述目标文件进行备份可包括：

通过驱动层的文件过滤程序监测文件的操作状态；

当监测到目标文件以可写方式被打开时，阻止对所述目标文件的写操作，其中，所述写操作可以包括删除操作和/或加密操作；

对所述目标文件进行备份；

放行对所述目标文件的写操作。

具体而言，为了对文件的操作状态进行及时有效的监测，在本发明的一个实施例中，可以在应用层之下的驱动层设置文件过滤程序，该文件过滤程序可以及时感知被防护的文件每一个时刻的变化，例如创建、更改、重命名、删除等动作，从而能快速发现被保护的文档是否被加密。当然，在本发明的其它实施例中，还可以用应用层之下的其它层的程序实现文件操作监控，只要能及时监测到文件状态改变即可，本发明的实施例对此不做限定。

当文件过滤程序监测到被防护的目标文件以可写方式被打开时，为了防止病毒程序对目标文件进行改写从而给用户造成损失，在本发明的一个实施例中，可以通过驱动层的程序暂时阻止其他程序对目标文件进行写操作，而先对尚未被改写的目标文件进行备份，备份完毕后再放行对目标文件的各种写操作。

需要说明的是，本实施例中，驱动层程序虽然暂时阻止了其他程序对目标文件进行修改，但这仅仅是个非常短暂的过程，并且由于程序处于比应用层更底层的驱动层，用户对此不会有任何感知。

备份目标文件并放行对目标文件的写操作后，目标文件即允许被改写，形成改写文件。在步骤S12中当所述目标文件被改写成对应的改写文件后，可以尝试打开所述改写文件，具体可包括：当所述目标文件被改写成对应的改写文件后，调用所述目标文件对应的内容解析工具对所述改写文件进行内容解析；基于此，在步骤S13中在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序可以包括：在所述内容解析工具无法对所述改写文件进行内容解析的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

举例说明，在本发明的一个实施例中，监测到Word文档A被改写生成了新的Word文档A1，则可以调用Office提供的COM组件尝试对文档A1的内容进行解析，如果该COM组件无法解析文档A1的内容，则确定以可写方式打开文档A并对A进行改写的程序即为病毒程序，从而结束该病毒程序的进程。

为了防止该病毒对文件进一步破坏，在本发明的一个实施例中，确定以可写方式打开所述目标文件的程序为病毒程序之后，还可以将所述病毒程序添加至黑名单，以禁止所述病毒程序再次运行。

由于病毒已经改写了目标文档，原目标文档已经无法打开，为了避免用户损失，在本发明的一个实施例中，确定以可写方式打开所述目标文件的程序为病毒程序之后，可以利用之前对目标文件备份的备份文件将无法打开的所述改写文件恢复成目标文件。

下面通过具体实施例对本发明的实施例提供的病毒防护方法进行详细说明。

如图2所示，本实施例提供的病毒防护方法可以包括：

S201、加载文件过滤驱动程序，以便对被防护文件的变化进行实时监控；

这样就可以及时感知被防护的文件每一个时刻的变化，比如创建、更改、重命名、删除等动作，从而能最快速发现被保护的文档是否被加密。

S202、文件过滤驱动程序监测到被防护文件B被以写的方式打开；

S203、确定被防护文件B是否已经备份，如果没有备份，则执行步骤S204，如果已经备份，执行步骤S208；

S204、文件过滤驱动程序暂时阻止被防护文件B被改写；

S205、文件过滤驱动程序通知应用层程序将被防护文件B进行备份；

S206、应用层程序将被防护文件B进行备份后通知文件过滤驱动程序；

S207、文件过滤驱动程序放行对被防护文件B的写操作；

S208、被防护文件B被改写成文件B1，存储到磁盘中；

其中，B1的文件名可以与B相同也可以与B不同；

S209、调用文件B1的解析工具尝试对B1进行内容解析，例如，如果B1为Word文档则可以调用相应的COM组件进行内容解析；

S210、内容解析失败，确定文件B感染病毒，结束打开B的程序的进程并将该进程加入黑名单；

S211、利用备份的文件B对文件B1进行恢复。

本发明的实施例提供的病毒防护方法，利用驱动实时感知文件变化，从而能快速准确地发现文件是否被加密以及对文档进行加密的勒索者，并及时恢复被加密的文档，有效提高了病毒防护能力，保证了用户的零损失。

第二方面，本发明实施例提供一种病毒防护装置，能够及时识别出各种加密方法对文件的修改，从而有效提高了病毒防护能力。

如图3所示，本发明的实施例还提供一种病毒防护装置，包括：

备份单元31，用于当监测到目标文件以可写方式被打开时，对所述目标文件进行备份；

打开单元32，用于当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件；

确定单元33，用于在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

本发明的实施例提供的病毒防护装置，能够监测文件的操作状态，当监测到目标文件以可写方式被打开时，能够对所述目标文件进行备份，当所述目标文件被改写成对应的改写文件后，能够通过尝试打开所述改写文件的方式确定该目标文件是否感染病毒，并将以可写方式打开目标文件的程序追溯为病毒程序。这样，无论病毒程序采取怎样的加密方法来改写目标文件都可以被监测出，有效解决了文件格式解析无法准确识别被攻击文件的问题，有效提高了病毒防护能力。

可选的，备份单元31可包括：

监测模块，用于通过驱动层的文件过滤程序监测文件的操作状态；

阻止模块，用于当所述监测模块监测到目标文件以可写方式被打开时，阻止对所述目标文件的写操作；

备份模块，用于对所述目标文件进行备份；

放行模块，用于放行对所述目标文件的写操作。

可选的，打开单元32，具体可用于当所述目标文件被改写成对应的改写文件后，调用所述目标文件对应的内容解析工具对所述改写文件进行内容解析；

可选的，确定单元33，具体可用于在所述内容解析工具无法对所述改写文件进行内容解析的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

进一步的，本发明提供的病毒防护装置还可包括添加单元，用于在确定以可写方式打开所述目标文件的程序为病毒程序之后，将所述病毒程序添加至黑名单，以禁止所述病毒程序再次运行。

进一步的，本发明提供的病毒防护装置还可包括恢复单元，用于在确定以可写方式打开所述目标文件的程序为病毒程序之后，利用所述备份文件将无法打开的所述改写文件恢复成所述目标文件。

第三方面，本发明实施例提供一种电子设备，能够及时识别出各种加密方法对文件的修改，从而有效提高了病毒防护能力。

如图4所示，本发明的实施例提供的电子设备，可以包括：壳体41、处理器42、存储器43、电路板44和电源电路45，其中，电路板44安置在壳体41围成的空间内部，处理器42和存储器43设置在电路板44上；电源电路45，用于为上述电子设备的各个电路或器件供电；存储器43用于存储可执行程序代码；处理器42通过读取存储器43中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述任一实施例所述的病毒防护方法。

处理器42对上述步骤的具体执行过程以及处理器42通过运行可执行程序代码来进一步执行的步骤，可以参见前述实施例的描述，在此不再赘述。

该电子设备以多种形式存在，包括但不限于：

(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iPhone)、多媒体手机、功能性手机，以及低端手机等。

(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：PDA、MID和UMPC设备等，例如iPad。

(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如iPod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。

(4)服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。

(5)其他具有数据交互功能的电子设备。

第四方面，本发明的实施例还提供一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述实施例提供的任一种病毒防护方法，因此也能实现相应的技术效果，前文已经进行了详细说明，此处不再赘述。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。

尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

为了描述的方便，描述以上装置是以功能分为各种单元/模块分别描述。当然，在实施本发明时可以把各单元/模块的功能在同一个或多个软件和/或硬件中实现。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(RandomAccessMemory，RAM)等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (12)

1.一种病毒防护方法，其特征在于，包括：

当监测到目标文件以可写方式被打开时，对所述目标文件进行备份；

当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件；

在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

2.根据权利要求1所述的方法，其特征在于，所述当监测到目标文件以可写方式被打开时，对所述目标文件进行备份包括：

通过驱动层的文件过滤程序监测文件的操作状态；

当监测到目标文件以可写方式被打开时，阻止对所述目标文件的写操作；

对所述目标文件进行备份；

放行对所述目标文件的写操作。

3.根据权利要求1所述的方法，其特征在于，所述当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件包括：

当所述目标文件被改写成对应的改写文件后，调用所述目标文件对应的内容解析工具对所述改写文件进行内容解析；

所述在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序包括：

在所述内容解析工具无法对所述改写文件进行内容解析的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

4.根据权利要求1至3中任一项所述的方法，其特征在于，所述确定以可写方式打开所述目标文件的程序为病毒程序之后，所述方法还包括：

将所述病毒程序添加至黑名单，以禁止所述病毒程序再次运行。

5.根据权利要求1至3中任一项所述的方法，其特征在于，所述确定以可写方式打开所述目标文件的程序为病毒程序之后，所述方法还包括：

利用所述备份文件将无法打开的所述改写文件恢复成所述目标文件。

6.一种病毒防护装置，其特征在于，包括：

备份单元，用于当监测到目标文件以可写方式被打开时，对所述目标文件进行备份；

打开单元，用于当所述目标文件被改写成对应的改写文件后，尝试打开所述改写文件；

确定单元，用于在无法打开所述改写文件的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

7.根据权利要求6所述的装置，其特征在于，所述备份单元包括：

监测模块，用于通过驱动层的文件过滤程序监测文件的操作状态；

阻止模块，用于当所述监测模块监测到目标文件以可写方式被打开时，阻止对所述目标文件的写操作；

备份模块，用于对所述目标文件进行备份；

放行模块，用于放行对所述目标文件的写操作。

8.根据权利要求6所述的装置，其特征在于，所述打开单元，具体用于当所述目标文件被改写成对应的改写文件后，调用所述目标文件对应的内容解析工具对所述改写文件进行内容解析；

所述确定单元，具体用于在所述内容解析工具无法对所述改写文件进行内容解析的情况下，确定以可写方式打开所述目标文件的程序为病毒程序。

9.根据权利要求6至8中任一项所述的装置，其特征在于，还包括：

添加单元，用于在确定以可写方式打开所述目标文件的程序为病毒程序之后，将所述病毒程序添加至黑名单，以禁止所述病毒程序再次运行。

10.根据权利要求6至8中任一项所述的装置，其特征在于，还包括恢复单元，用于在确定以可写方式打开所述目标文件的程序为病毒程序之后，利用所述备份文件将无法打开的所述改写文件恢复成所述目标文件。

11.一种电子设备，其特征在于，所述电子设备包括：壳体、处理器、存储器、电路板和电源电路，其中，电路板安置在壳体围成的空间内部，处理器和存储器设置在电路板上；电源电路，用于为上述电子设备的各个电路或器件供电；存储器用于存储可执行程序代码；处理器通过读取存储器中存储的可执行程序代码来运行与可执行程序代码对应的程序，用于执行前述权利要求1至5任一项所述的病毒防护方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现前述权利要求1至5中任一项所述的病毒防护方法。