CN109472140A - 基于窗体标题校验阻止勒索软件加密的方法及系统 - Google Patents

基于窗体标题校验阻止勒索软件加密的方法及系统 Download PDF

Info

Publication number
CN109472140A
CN109472140A CN201711468574.1A CN201711468574A CN109472140A CN 109472140 A CN109472140 A CN 109472140A CN 201711468574 A CN201711468574 A CN 201711468574A CN 109472140 A CN109472140 A CN 109472140A
Authority
CN
China
Prior art keywords
file
software
forms
executable file
extorting
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201711468574.1A
Other languages
English (en)
Other versions
CN109472140B (zh
Inventor
高喜宝
李柏松
王小丰
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Ahtech Network Safe Technology Ltd
Original Assignee
Beijing Ahtech Network Safe Technology Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Ahtech Network Safe Technology Ltd filed Critical Beijing Ahtech Network Safe Technology Ltd
Priority to CN201711468574.1A priority Critical patent/CN109472140B/zh
Publication of CN109472140A publication Critical patent/CN109472140A/zh
Application granted granted Critical
Publication of CN109472140B publication Critical patent/CN109472140B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Computer Hardware Design (AREA)
  • Health & Medical Sciences (AREA)
  • General Engineering & Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Virology (AREA)
  • Bioethics (AREA)
  • Storage Device Security (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本发明公开了基于窗体标题校验阻止勒索软件加密的方法及系统，其中，所述方法包括：若存在打开非可执行文件的操作，则获取当前所有窗体标题；利用非可执行文件的文件名作为关键字匹配所有窗体标题；若匹配成功，则判定为人为操作并放行，否则判定为勒索软件的非法操作并阻止相应写入操作。本发明可以及时发现并阻止新型勒索软件加密用户的磁盘文件。

Description

基于窗体标题校验阻止勒索软件加密的方法及系统
技术领域
本发明涉及网络安全技术领域，尤其涉及基于窗体标题校验阻止勒索软件加密的方法及系统。
背景技术
勒索软件是一种流行的木马，通过骚扰、恐吓甚至采用绑架用户文件等方式，使用户数据资产或计算资源无法正常使用，并以此为条件向用户勒索钱财。这类用户数据资产包括文档、邮件、数据库、源代码、图片、压缩文件等多种文件。赎金形式包括真实货币、比特币或其它虚拟货币。
现有技术多使用诱饵文件、文件格式识别等技术进行发现与判别，目前新的勒索软件已可以针对这两种方法进行“对抗”，无法及时识别勒索软件，并阻止勒索软件对相关用户数据的加密操作。
发明内容
针对上述技术问题，本发明通过监控进线程对文件的读取写入操作，并及时利用文件名对窗体标题进行校验，进而识别是否为人为操作，若判定为勒索软件的非法操作，则及时定位并结束与勒索软件相关的进线程。
本发明采用如下方法来实现：基于窗体标题校验阻止勒索软件加密的方法，包括：
若存在打开非可执行文件的操作，则获取当前所有窗体标题；
利用非可执行文件的文件名作为关键字匹配所有窗体标题；
若匹配成功，则判定为人为操作并放行，否则判定为勒索软件的非法操作并阻止相应写入操作。
进一步地，还包括：若存在打开非可执行文件的操作时，对所述非可执行文件进行备份；当判定为勒索软件的非法操作后，则利用备份文件进行恢复操作，并删除勒索软件相关文件。
进一步地，还包括：若所述非可执行文件为需要利用专用程序打开的文件，则利用相关进程名进行校验。
本发明可以采用如下系统来实现：基于窗体标题校验阻止勒索软件加密的系统，包括：
窗体标题获取模块，用于若存在打开非可执行文件的操作，则获取当前所有窗体标题；
文件名匹配模块，用于利用非可执行文件的文件名作为关键字匹配所有窗体标题；
判定执行模块，用于若匹配成功，则判定为人为操作并放行，否则判定为勒索软件的非法操作并阻止相应写入操作。
进一步地，还包括：备份恢复模块，用于若存在打开非可执行文件的操作时，对所述非可执行文件进行备份；当判定为勒索软件的非法操作后，则利用备份文件进行恢复操作，并删除勒索软件相关文件。
进一步地，还包括：特殊文件判定模块，用于若所述非可执行文件为需要利用专用程序打开的文件，则利用相关进程名进行校验。
本发明同时提出一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上任一所述的基于窗体标题校验阻止勒索软件加密的方法。
综上，本发明给出一种基于窗体标题校验阻止勒索软件加密的方法及系统。其中，方法基于安全软件的监控程序，在进线程读取、写入非可执行文件时对窗体标题进行校验，可以识别是否人为操作读取或写入文件，并发现勒索软件的加密行为，定位并结束勒索软件进线程。本发明若识别出人为正常操作即选择放行，识别为非人为正常操作即选择拒绝文件写入操作，同时结束对应的进线程，并报警对应文件为勒索软件。本发明所述的技术方案不使用特征值作为检出规则，不仅可以及时识别出已知勒索软件的加密行为，而且能够有效识别出未知勒索软件。
附图说明
为了更清楚地说明本发明的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的一种基于窗体标题校验阻止勒索软件加密的方法实施例1流程图；
图2为本发明提供的一种基于窗体标题校验阻止勒索软件加密的方法实施例2流程图；
图3为本发明提供的一种基于窗体标题校验阻止勒索软件加密的系统实施例结构图。
具体实施方式
本发明给出了基于窗体标题校验阻止勒索软件加密的方法及系统实施例，为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明：
本发明首先提供了一种基于窗体标题校验阻止勒索软件加密的方法实施例1，如图1所示，包括：
S101：若存在打开非可执行文件的操作，则获取当前所有窗体标题；
S102：利用非可执行文件的文件名作为关键字匹配所有窗体标题，若匹配成功，则执行判定为人为操作并放行，否则判定为勒索软件的非法操作并阻止相应写入操作。
优选地，还包括：若存在打开非可执行文件的操作时，对所述非可执行文件进行备份；当判定为勒索软件的非法操作后，则利用备份文件进行恢复操作，并删除勒索软件相关文件。
优选地，还包括：若所述非可执行文件为需要利用专用程序打开的文件，则利用相关进程名进行校验。
本发明同时提供了一种基于窗体标题校验阻止勒索软件加密的方法实施例2，如图2所示，包括：
S201：若存在打开文件的操作，则判定是否为非可执行文件，若是，则执行S202，否则结束。
S202：获取当前所有窗体标题，并对所述非可执行文件进行备份。
其中，所述获取当前所有窗体标题的方法包括但不限于：调用API的EnumWindows来枚举窗口，获取前台窗口句柄，设置当前窗口句柄，将其中的Title提取。
S203：判断所述非可执行文件是否为需要专用程序打开的文件，若是，则利用相关进程名进行校验，否则执行S204。例如，.chm格式的文件，其对应的专用程序为hh.exe，因此若发现存在打开.chm格式的文件的操作，则判定相关进程名是否为hh.exe，若是则结束，否则报警。
S204：利用非可执行文件的文件名作为关键字匹配所有窗体标题，若匹配成功，则判定为人为操作并放行，否则判定为勒索软件的非法操作并阻止相应写入操作，并继续执行S205。
其中，若匹配成功，则判定为人为操作并放行，因为如果是人为的打开操作，一定有相应的窗体被打开，就存在包含该文件名的窗体标题存在，例如：
文件名 窗体标题
1.docx 1.docx [兼容模式] – Word
1.pptx 1.pptx – PowerPoint
1.xls 1.xls [兼容模式] - Excel
1.txt 1.txt - 记事本
1.html 1.html ｛浏览器名｝
1.jpg 1.jpg - Windows 照片查看器
1.rar 1.rar - WinRAR
1.mp3 1.mp3 - ｛播放器名｝
S205：利用备份文件进行恢复操作，并删除勒索软件相关文件。
例如：人为打开word文档时，会弹出word的界面，其窗体标题的格式是文件名+后缀名+[兼容模式]+Word，即打开文件名为1.docx的文件后，其窗体标题为：1.docx [兼容模式] – Word；此时将文件名1.docx作为关键字匹配所有窗体标题，如果发现了以1.docx开头的窗体标题，即判定为人为打开了该word文档；如果未发现则判定是非法操作，则可判定存在勒索软件进行加密文档操作，并实行阻止进而防止用户文档被加密。
本发明其次提供了一种基于窗体标题校验阻止勒索软件加密的系统实施例，如图3所示，包括：
窗体标题获取模块301，用于若存在打开非可执行文件的操作，则获取当前所有窗体标题；
文件名匹配模块302，用于利用非可执行文件的文件名作为关键字匹配所有窗体标题；
判定执行模块303，用于若匹配成功，则判定为人为操作并放行，否则判定为勒索软件的非法操作并阻止相应写入操作。
优选地，还包括：备份恢复模块，用于若存在打开非可执行文件的操作时，对所述非可执行文件进行备份；当判定为勒索软件的非法操作后，则利用备份文件进行恢复操作，并删除勒索软件相关文件。
优选地，还包括：特殊文件判定模块，用于若所述非可执行文件为需要利用专用程序打开的文件，则利用相关进程名进行校验。
本发明同时公开了一种非临时性计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上任一所述的基于窗体标题校验阻止勒索软件加密的方法。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同或相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
如上所述，上述实施例给出了基于窗体标题校验阻止勒索软件加密的方法及系统实施例，上述实施例通过判断现有所有窗体标题中，是否存在某一窗体标题中包含有被操作文件的文件名，若存在则认为是人为操作可以放行，否则判定为勒索软件的加密行为，则阻止相应写入操作。上述实施例与传统勒索软件的检测方法不同，不依赖于特征码，因此不仅可以识别已知勒索软件，还可以有效识别未知勒索软件，并及时阻止其非法加密行为。
以上实施例用以说明而非限制本发明的技术方案。不脱离本发明精神和范围的任何修改或局部替换，均应涵盖在本发明的权利要求范围当中。

Claims (7)

1.基于窗体标题校验阻止勒索软件加密的方法，其特征在于，包括：
若存在打开非可执行文件的操作，则获取当前所有窗体标题；
利用非可执行文件的文件名作为关键字匹配所有窗体标题；
若匹配成功，则判定为人为操作并放行，否则判定为勒索软件的非法操作并阻止相应写入操作。
2.如权利要求1所述的方法，其特征在于，还包括：若存在打开非可执行文件的操作时，对所述非可执行文件进行备份；当判定为勒索软件的非法操作后，则利用备份文件进行恢复操作，并删除勒索软件相关文件。
3.如权利要求1所述的方法，其特征在于，还包括：若所述非可执行文件为需要利用专用程序打开的文件，则利用相关进程名进行校验。
4.基于窗体标题校验阻止勒索软件加密的系统，其特征在于，包括：
窗体标题获取模块，用于若存在打开非可执行文件的操作，则获取当前所有窗体标题；
文件名匹配模块，用于利用非可执行文件的文件名作为关键字匹配所有窗体标题；
判定执行模块，用于若匹配成功，则判定为人为操作并放行，否则判定为勒索软件的非法操作并阻止相应写入操作。
5.如权利要求4所述的系统，其特征在于，还包括：备份恢复模块，用于若存在打开非可执行文件的操作时，对所述非可执行文件进行备份；当判定为勒索软件的非法操作后，则利用备份文件进行恢复操作，并删除勒索软件相关文件。
6.如权利要求4所述的系统，其特征在于，还包括：特殊文件判定模块，用于若所述非可执行文件为需要利用专用程序打开的文件，则利用相关进程名进行校验。
7.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-3中任一所述的基于窗体标题校验阻止勒索软件加密的方法。
CN201711468574.1A 2017-12-29 2017-12-29 基于窗体标题校验阻止勒索软件加密的方法及系统 Active CN109472140B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201711468574.1A CN109472140B (zh) 2017-12-29 2017-12-29 基于窗体标题校验阻止勒索软件加密的方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201711468574.1A CN109472140B (zh) 2017-12-29 2017-12-29 基于窗体标题校验阻止勒索软件加密的方法及系统

Publications (2)

Publication Number Publication Date
CN109472140A true CN109472140A (zh) 2019-03-15
CN109472140B CN109472140B (zh) 2021-11-12

Family

ID=65658513

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201711468574.1A Active CN109472140B (zh) 2017-12-29 2017-12-29 基于窗体标题校验阻止勒索软件加密的方法及系统

Country Status (1)

Country Link
CN (1) CN109472140B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111062035A (zh) * 2019-11-18 2020-04-24 哈尔滨安天科技集团股份有限公司 一种勒索软件检测方法、装置、电子设备及存储介质

Citations (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101840471A (zh) * 2010-03-12 2010-09-22 成都市华为赛门铁克科技有限公司 文档权限控制方法和装置
CN102394859A (zh) * 2011-07-27 2012-03-28 哈尔滨安天科技股份有限公司 基于线程行为的木马窃取文件检测方法和系统
CN103020526A (zh) * 2012-12-21 2013-04-03 北京奇虎科技有限公司 恶意程序主动拦截方法和装置及客户端设备
CN104200161A (zh) * 2014-08-05 2014-12-10 杭州安恒信息技术有限公司 一种实现沙箱智能检测文件的方法及其沙箱智能检测系统
CN104680079A (zh) * 2015-02-04 2015-06-03 上海信息安全工程技术研究中心 一种电子文档安全管理系统及方法
CN105760759A (zh) * 2015-12-08 2016-07-13 哈尔滨安天科技股份有限公司 一种基于进程监控的文档保护方法及系统
CN106022122A (zh) * 2016-05-31 2016-10-12 北京金山安全软件有限公司 一种信息处理方法及装置
US20160378988A1 (en) * 2015-06-26 2016-12-29 Quick Heal Technologies Private Limited Anti-ransomware
CN106845222A (zh) * 2016-12-02 2017-06-13 哈尔滨安天科技股份有限公司 一种勒索者病毒的检测方法及系统
KR20170127630A (ko) * 2016-05-12 2017-11-22 마이크론웨어(주) 화이트리스트 기반 랜섬웨어 차단 장치 및 방법
CN107403096A (zh) * 2017-08-04 2017-11-28 郑州云海信息技术有限公司 一种基于文件状态分析的勒索软件检测方法
CN107480527A (zh) * 2017-08-03 2017-12-15 深圳市联软科技股份有限公司 勒索软件的防范方法及系统
US20170364681A1 (en) * 2016-06-21 2017-12-21 Acronis International Gmbh Methods of preserving and protecting user data from modification or loss due to malware

Patent Citations (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101840471A (zh) * 2010-03-12 2010-09-22 成都市华为赛门铁克科技有限公司 文档权限控制方法和装置
CN102394859A (zh) * 2011-07-27 2012-03-28 哈尔滨安天科技股份有限公司 基于线程行为的木马窃取文件检测方法和系统
CN103020526A (zh) * 2012-12-21 2013-04-03 北京奇虎科技有限公司 恶意程序主动拦截方法和装置及客户端设备
CN104200161A (zh) * 2014-08-05 2014-12-10 杭州安恒信息技术有限公司 一种实现沙箱智能检测文件的方法及其沙箱智能检测系统
CN104680079A (zh) * 2015-02-04 2015-06-03 上海信息安全工程技术研究中心 一种电子文档安全管理系统及方法
US20160378988A1 (en) * 2015-06-26 2016-12-29 Quick Heal Technologies Private Limited Anti-ransomware
CN105760759A (zh) * 2015-12-08 2016-07-13 哈尔滨安天科技股份有限公司 一种基于进程监控的文档保护方法及系统
KR20170127630A (ko) * 2016-05-12 2017-11-22 마이크론웨어(주) 화이트리스트 기반 랜섬웨어 차단 장치 및 방법
CN106022122A (zh) * 2016-05-31 2016-10-12 北京金山安全软件有限公司 一种信息处理方法及装置
US20170364681A1 (en) * 2016-06-21 2017-12-21 Acronis International Gmbh Methods of preserving and protecting user data from modification or loss due to malware
CN106845222A (zh) * 2016-12-02 2017-06-13 哈尔滨安天科技股份有限公司 一种勒索者病毒的检测方法及系统
CN107480527A (zh) * 2017-08-03 2017-12-15 深圳市联软科技股份有限公司 勒索软件的防范方法及系统
CN107403096A (zh) * 2017-08-04 2017-11-28 郑州云海信息技术有限公司 一种基于文件状态分析的勒索软件检测方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
曾光中 等: "图书馆电子阅览室防范 U 盘病毒方法探讨", 《河南图书馆学刊》 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111062035A (zh) * 2019-11-18 2020-04-24 哈尔滨安天科技集团股份有限公司 一种勒索软件检测方法、装置、电子设备及存储介质
CN111062035B (zh) * 2019-11-18 2024-02-20 安天科技集团股份有限公司 一种勒索软件检测方法、装置、电子设备及存储介质

Also Published As

Publication number Publication date
CN109472140B (zh) 2021-11-12

Similar Documents

Publication Publication Date Title
US8621223B2 (en) Data security method and system
JP5961183B2 (ja) 文脈上の確からしさ、ジェネリックシグネチャ、および機械学習法を用いて悪意のあるソフトウェアを検出する方法
US9203854B2 (en) Method and apparatus for detecting malicious software using machine learning techniques
US8479296B2 (en) System and method for detecting unknown malware
US8839446B2 (en) Protecting archive structure with directory verifiers
WO2015188788A1 (zh) 保护移动终端支付安全的方法、装置以及移动终端
CN107871089B (zh) 文件防护方法及装置
US20170270293A1 (en) Systems and methods for generating tripwire files
KR20080005571A (ko) 파일들을 복구하기 위한 장치, 방법, 및 시스템
US20140053266A1 (en) Method and server for discriminating malicious attribute of program
US20230023584A1 (en) Systems and methods for ransomware detection
CN109828780A (zh) 一种开源软件的识别方法及装置
CN111090857B (zh) 防御恶意软件攻击文件的方法、计算机系统以及记录介质
Bell et al. A method for automatic identification of signatures of steganography software
CN109472140A (zh) 基于窗体标题校验阻止勒索软件加密的方法及系统
CN105550573B (zh) 拦截捆绑软件的方法和装置
CN110995679B (zh) 一种文件数据流控制方法、装置、设备及存储介质
Flaglien et al. Storage and exchange formats for digital evidence
US20120140919A1 (en) Digital content management system, digital watermark embedding device, digital watermark detection device, program, and digital content management method
US20120089849A1 (en) Cookie management system and method
CN114297645B (zh) 在云备份系统中识别勒索家族的方法、装置和系统
Gregoriadis et al. Analysis of arbitrary content on blockchain-based systems using BigQuery
CN114238974A (zh) 恶意Office文档的检测方法、装置、电子设备及存储介质
WO2017206251A1 (zh) 一种冻结应用方法以及装置
Singh et al. Recovery of forensic artifacts from deleted jump lists

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant