CN113360913A

CN113360913A - 一种恶意程序检测方法、装置、电子设备及存储介质

Info

Publication number: CN113360913A
Application number: CN202110910931.5A
Authority: CN
Inventors: 王建安; 范渊; 黄进
Original assignee: Hangzhou Dbappsecurity Technology Co Ltd
Current assignee: DBAPPSecurity Co Ltd; Hangzhou Dbappsecurity Technology Co Ltd
Priority date: 2021-08-10
Filing date: 2021-08-10
Publication date: 2021-09-07

Abstract

本发明提供一种恶意程序检测方法、装置、电子设备及存储介质，方法包括：当监听到进程创建事件时，获取进程创建事件对应的进程标识符；查找进程标识符对应的应用程序，并提取应用程序的特征信息；特征信息包括程序文件的加密值或绝对路径；利用预设特征库对特征信息进行验证，并在验证成功时确定应用程序为恶意程序。本发明可利用操作系统所提供的进程监听服务获取进程创建事件，并利用该事件确定正在运行的应用程序，进而利用应用程序的文件特征确定该程序是否为恶意程序，无需使用拦截驱动，可有效避免由拦截驱动所带来的适配工作，并可使用高效简便的方式检测恶意程序，提升了物联网设备检测恶意程序的灵活性及可靠性。

Description

一种恶意程序检测方法、装置、电子设备及存储介质

技术领域

本发明涉及物联网设备领域，特别涉及一种恶意程序检测方法、装置、电子设备及存储介质。

背景技术

随着物联网的不断发展及普及，物联网设备的数量逐渐增加，这也为物联网设备的安全防护能力提出新的要求。相关技术中，Linux物联网设备通常系统调用表（sys_call_table）或者LMD（Linux Module Debugger）内核模块拦截恶意程序，然而上述拦截方式需要配置拦截驱动，由于物联网设备种类众多，同时不同种类的物联网设备会采用不同的内核版本，这导致拦截驱动需要根据内核版本的不同而进行相应调整，为开发人员带来大量额外的适配工作。

发明内容

本发明的目的是提供一种恶意程序检测方法、装置、电子设备及存储介质，可利用操作系统所提供的进程监听服务确定运行中的应用程序，并利用该程序的特征信息确定其是否为恶意程序，无需使用拦截驱动，可采用高效简便的方式检测恶意程序，提升了物联网设备检测恶意程序的灵活性及可靠性。

为解决上述技术问题，本发明提供一种恶意程序检测方法，包括：

当监听到进程创建事件时，获取所述进程创建事件对应的进程标识符；

查找所述进程标识符对应的应用程序，并提取所述应用程序的特征信息；所述特征信息包括程序文件的加密值或绝对路径；

利用预设特征库对所述特征信息进行验证，并在验证通过时确定所述应用程序为恶意程序。

可选地，所述特征信息为所述加密值，所述提取所述应用程序的特征信息，包括：

确定所述应用程序所存放的路径，并利用预设加密算法对所述路径中的所有文件进行加密，得到所述加密值。

可选地，所述利用预设特征库对所述特征信息进行验证，包括：

判断所述加密值是否存于预设病毒库；所述预设病毒库中设置有多个所述恶意程序的加密值；

若是，则判定验证通过；

若否，则判定验证未通过。

可选地，所述特征信息为所述绝对路径，所述利用预设特征库对所述特征信息进行验证，包括：

判断所述绝对路径是否存于预设路径库；所述预设路径库中设置有多个正常程序的绝对路径；

若是，则判定验证未通过；

若否，则判定验证通过。

可选地，所述当监听到进程创建事件时，获取所述进程创建事件对应的进程标识符，包括：

利用Linux内核进程监听模块监听所述进程创建事件，并利用连接器接收Linux内核进程监听模块在监听到时返回的所述进程创建事件；

从所述进程创建事件中提取所述进程标识符。

可选地，所述Linux内核进程监听模块通过监听动态链接库、审计通知或Linux系统调用表的方式监听所述进程创建事件。

可选地，在利用Linux内核进程监听模块监听所述进程创建事件之前，还包括：

接收管理平台下发的所述预设特征库，并利用所述连接器向所述Linux内核进程监听模块发送通知信息，以使所述Linux内核进程监听模块开始监听所述进程创建事件。

本发明还提供一种恶意程序检测装置，包括：

监听模块，用于当监听到进程创建事件时，获取所述进程创建事件对应的进程标识符；

特征信息查找模块，用于查找所述进程标识符对应的应用程序，并提取所述应用程序的特征信息；所述特征信息包括程序文件的加密值或绝对路径；

验证模块，用于利用预设特征库对所述特征信息进行验证，并在验证通过时确定所述应用程序为恶意程序。

本发明还提供一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如上述所述的恶意程序检测方法的步骤。

本发明还提供一种存储介质，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如上述所述的恶意程序检测方法的步骤。

本发明提供一种恶意程序检测方法，包括：当监听到进程创建事件时，获取所述进程创建事件对应的进程标识符；查找所述进程标识符对应的应用程序，并提取所述应用程序的特征信息；所述特征信息包括程序文件的加密值或绝对路径；利用预设特征库对所述特征信息进行验证，并在验证成功时确定所述应用程序为恶意程序。

可见，本发明首先对进程创建事件进行了监听，并在确定该事件出现时，利用该事件对应的进程标识符确定对应的应用程序，这是由于应用程序若需要运行则需要生成对应的进程来维护服务及获取资源，同时进程监听为操作系统的基本服务，因此本发明可利用操作系统的基本服务确定正在运行的应用程序，无需使用拦截驱动，可有效避免由拦截驱动所带来的适配工作；同时，本发明提取了应用程序文件的特征信息，其中特征信息包括文件的加密值或绝对路径，可利用文件自身的特征准确判断应用程序是否为恶意程序，进而能够使用高效简便的方式检测恶意程序，提升了物联网设备检测恶意程序的灵活性及可靠性。本发明还提供一种恶意程序检测装置、电子设备及存储介质，具有上述有益效果。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例所提供的一种恶意程序检测方法的流程图；

图2为本发明实施例所提供的另一种恶意程序检测方法的流程图；

图3为本发明实施例所提供的一种恶意程序检测装置的结构框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

相关技术中，Linux物联网设备通常利用系统调用表（sys_call_table）或者LMD（Linux Module Debugger）内核模块拦截恶意程序，然而上述拦截方式需要配置拦截驱动，由于物联网设备种类众多，同时不同种类的物联网设备会采用不同的内核版本，这导致拦截驱动需要根据内核版本的不同而进行相应调整，为开发人员带来大量额外的适配工作。有鉴于此，本发明提供一种恶意程序检测方法，可利用操作系统所提供的进程监听服务确定运行中的应用程序，并利用该程序的特征信息确定其是否为恶意程序，无需使用拦截驱动，可采用高效简便的方式检测恶意程序，提升了物联网设备检测恶意程序的灵活性及可靠性。请参考图1，图1为本发明实施例所提供的一种恶意程序检测方法的流程图，该方法可以包括：

S101、当监听到进程创建事件时，获取进程创建事件对应的进程标识符。

进程是程序的基本执行实体，程序的运行依赖于进程。进程标识有进程标识符（PID，Process Identifier），进程标识符用于唯一标识进程，且与程序具有对应关系，因此可利用进程标识符查询到对应的程序。在本发明实施例中，为避免恶意程序的运行对物联网设备造成破坏，可对进程创建事件进行监听，并利用进程创建事件对应的进程标识符查询到对应的应用程序，能够有效拦截刚刚启动的程序，并在程序启动之初便对其进行检测，能够有效避免恶意程序的运行及其对物联网设备的破坏。

需要说明的是，本发明实施例并不限定进程创建事件的具体形式及监听方法，也不限定进程标识符的具体形式，上述内容与物联网设备所运行的操作系统有关，可参考操作系统的相关技术。由于物联网设备通常运行Linux操作系统，因此可参考Linux操作系统的相关技术。进一步，本发明实施例并不限定监听该事件的执行主体，例如可利用Linux操作系统所提供的各项服务自行开发监听模块，也可以利用Linux系统原生提供的模块进行监听。考虑到Linux操作系统已在内核中设置了专门用于监听进程的Linux内核进程监听模块，因此在本发明实施例中，可利用该模块对进程创建事件进行监听。进一步，由于对恶意程序的处理需要在Linux操作系统的用户空间中进行，因此需要Linux内核进程监听模块将监听到的进程创建事件传输至用户空间中。在本发明实施例中，采用连接器进行事件信息的传输，其中连接器（Netlink Connector）是Linux用户空间与内核之间的一种通信方式。需要说明的是，本发明实施例并不限定连接器的通信过程，可参考连接器的相关技术。

在一种可能的情况中，当监听到进程创建事件时，获取进程创建事件对应的进程标识符，可以包括：

步骤11：利用Linux内核进程监听模块监听进程创建事件，并利用连接器接收Linux内核进程监听模块在监听到时返回的进程创建事件；

步骤12：从进程创建事件中提取进程标识符。

进一步，本发明实施例并不限定Linux内核进程监听模块监听进程创建事件的方式，例如可以通过监听动态链接库、审计通知及Linux系统调用表的方式监听进程创建事件，其中，动态链接库（Shared Library，又可称为共享链接库）为程序动态加载的函数库，在Linux操作系统中，有关进程执行的函数，如execve函数，均在libc.so这一动态链接库中实现；审计（Linux Audit）是Linux内核中用于审计的组件，可监控系统调用和文件访问；Linux系统调用表（sys_call_table）一张由指向实现各种系统调用的内核函数的函数指针组成的表，该表可以基于系统调用编号进行索引，来定位函数地址，完成系统调用。由于动态连接库、审计及Linux系统调用表均与程序进程的加载有关，因此可对上述对象进行监听来发现进程创建事件。需要说明的是，本发明实施例并不限定对动态链接库进行监听的方式，可参考Linux动态链接库及So Preload的相关技术，例如对进程加载有关函数进行自定义，得到同名的自定义函数，并通过外部接口LD_PRELOAD将动态链接库中的相关函数替换为自定义函数；本发明实施例也不限定对审计通知进行监听的具体方式，可参考审计软件auditd的相关技术；本发明实施例也不限定对Linux系统调用表进行监听的具体方式，例如可为与进程加载有关函数编写钩子函数（hook），并将Linux系统调用表对应函数的地址修改为钩子函数的地址，便可利用钩子函数对Linux系统调用表进行监听。

在一种可能的情况中，Linux内核进程监听模块通过监听动态链接库、审计通知或Linux系统调用表的方式监听进程创建事件。

S102、查找进程标识符对应的应用程序，并提取应用程序的特征信息；特征信息包括程序文件的加密值或绝对路径。

需要说明的是，本发明实施例并不限定利用进程标识符查找对应应用程序的具体方式，可参考Linux操作系统的相关技术。为了对应用程序进行有效检测，本发明实施例还提取了应用程序的特征信息，这些特征信息包括程序文件的加密值或绝对路径，加密值为对应用程序所有程序文件进行加密后得到的消息摘要信息，绝对路径为存放程序文件的绝对位置。可以理解的是，加密值在利用预设加密算法对应用程序进行加密后得到，因此若特征信息为加密值，则首先需要查找程序文件所在的路径，进而才可对文件进行加密得到加密值。本发明实施例并不限定查找程序文件路径的具体方式，可参考Linux操作系统的相关技术。本发明实施例也不限定具体的预设加密算法，例如可以为MD5（Message-DigestAlgorithm），也可以为SHA（Secure Hash Algorithm），也可以为其他消息摘要算法，可根据实际应用需求进行选择。考虑到MD5在病毒查杀领域使用较为广泛，因此在本发明实施例中，预设加密算法可以为MD5，加密值可以为MD5值。

在一种可能的情况中，特征信息为加密值，提取应用程序的特征信息，可以包括：

步骤21：确定应用程序所存放的路径，并利用预设加密算法对所述路径中的所有文件进行加密，得到所述加密值。

S103、利用预设特征库对特征信息进行验证，并在验证通过时确定应用程序为恶意程序。

可以理解的是，预设特征库中所存放的数据与特征信息相对应。需要说明的是，本发明实施例并不限定利用预设特征库对特征信息进行验证的具体过程，例如可判断特征信息是否存于预设特征库，若是，则判定应用程序为恶意程序；也可以在判定特征信息未存于预设特征库时，判定应用程序为恶意程序；当然，也可以利用加密值与绝对路径的组合进行验证，可根据实际应用需求进行选择。在本发明实施例中，考虑到恶意程序为病毒程序，病毒查杀工具或软件通常利用存有病毒程序加密值的病毒库查杀病毒程序，因此利用加密值对恶意程序进行检测，能够有效提升恶意程序的检测效率及准确率；而正常软件通常不具与病毒库类似的、存放有加密值的数据库，且正常软件通常会默认安装于一个固定位置，因此利用加密值对正常软件进行检测效率较低，而利用绝对路径能够有效提升正常软件的检测效率。

在一种可能的情况中，特征信息为加密值，利用预设特征库对特征信息进行验证，包括：

步骤31：判断加密值是否存于预设病毒库；预设病毒库中设置有多个恶意程序的加密值；若是，则进入步骤32；若否，则进入步骤33；

步骤32：判定验证通过；

步骤33：判定验证未通过。

在另一种可能的情况中，特征信息为绝对路径，利用预设特征库对特征信息进行验证，包括：

步骤41：判断绝对路径是否存于预设路径库；预设路径库中设置有多个正常程序的绝对路径；若是，则进入步骤42；若否，则进入步骤43；

步骤42：判定验证未通过；

步骤43：判定验证通过。

进一步，需要说明的是，本发明实施例并不限定预设特征库中可包含的特征数量，可根据实际应用需求进行设置；本发明实施例也不限定预设特征库的设置方式，例如可直接预设于物联网设备的内存，当然也可以利用同一的管理平台进行下发，其中该管理平台用于同一管理恶意程序的加密值及正常软件的绝对路径。考虑到恶意程序的种类较多，且在不断更新换代，采用同一的管理平台能够可确保预设病毒库及预设路径库保持更新，进而可有效保障物联网设备的安全，因此在本发明实施例中，可利用管理平台同一下发预设病毒库及预设路径库。进一步，为了减少Linux内核进程监听模块对进程进行监听所导致的资源浪费，可在物联网设备接收到管理平台下发的预设特征库后，在向该模块发送通知信息，以使该模块开始监听。

在一种可能的情况中，在利用Linux内核进程监听模块监听进程创建事件之前，还可以包括：

步骤51：接收管理平台下发的预设特征库，并利用连接器向Linux内核进程监听模块发送通知信息，以使Linux内核进程监听模块开始监听进程创建事件。

需要说明的是，本发明实施例并不限定具体的通知信息，该通知信息用于启动Linux内核进程监听模块的监听活动，只要能够达到该效果即可，可参考Linux操作系统的相关技术。

基于上述实施例，本发明首先对进程创建事件进行了监听，并在确定该事件出现时，利用该事件对应的进程标识符确定对应的应用程序，这是由于应用程序若需要运行则需要生成对应的进程来维护服务及获取资源，同时进程监听为操作系统的基本服务，因此本发明可利用操作系统的基本服务确定正在运行的应用程序，无需使用拦截驱动，可有效避免由拦截驱动所带来的适配工作；同时，本发明提取了应用程序文件的特征信息，其中特征信息包括文件的加密值或绝对路径，可利用文件自身的特征准确判断应用程序是否为恶意程序，进而能够使用高效简便的方式检测恶意程序，提升了物联网设备检测恶意程序的灵活性及可靠性。

下面基于具体的流程图介绍上述恶意程序检测方法，请参考图2，图2为本发明实施例所提供的另一种恶意程序检测方法的流程图。该方法可以包括：

1. 管理平台进行病毒扫毒，从病毒库中提取病毒特征，如病毒程序文件的MD5值。

2. 管理平台进行策略配置，可以配置黑名单模式、白名单模式。若选择黑名单模式，则将恶意进程的MD5值列表下发至设备；若选择白名单模式，则将指定程序的绝对路径表下发至设备。为了避免同一路径下的程序多次添加，也支持目录列表作为进程白名单。

3. 设备终端收到管理平台配置后，通过连接器(Netlink Connector)通知Linux内核进程监听模块开始监听进程创建事件。

4. Linux内核进程监听模块持续对进程进行监控。当有新的进程创建时，通过连接器(Netlink Connector)通知Linux应用层（即Linux用户空间）进程创建事件。

5. Linux应用层收到进行创建事件后，根据携带的进程PID号（进程标识符）获取相应的进程信息。在黑名单模式下，获取此PID进程程序路径，并利用MD5算法及该路径下的所有文件计算MD5值；在白名单模块下，则获取此PID进程的路径。

6. 进程处理模块根据相应的模式对进程进行处置。在黑名单模式下，如果新创建进程的MD5值与黑名单列表匹配，则判定为恶意程序，停止此程序运行并告警；如果不在黑名单列表中，则认定为安全程序，允许其运行。在白名单模式下，如果新创建进程的路径与白名单列表匹配，则判定为安全程序，允许其运行，否则，则判定为风险程序，停止此程序运行。

下面对本发明实施例提供的恶意程序检测装置、电子设备及存储介质进行介绍，下文描述的恶意程序检测装置、电子设备及存储介质与上文描述的恶意程序检测方法可相互对应参照。

请参考图3，图3为本发明实施例所提供的一种恶意程序检测装置的结构框图，该装置可以包括：

监听模块301，用于当监听到进程创建事件时，获取进程创建事件对应的进程标识符；

特征信息查找模块302，用于查找进程标识符对应的应用程序，并提取应用程序的特征信息；特征信息包括程序文件的加密值或绝对路径；

验证模块303，用于利用预设特征库对特征信息进行验证，并在验证通过时确定应用程序为恶意程序。

可选地，特征信息查找模块302，可以包括：

加密子模块，用于确定应用程序所存放的路径，并利用预设加密算法对所述路径中的所有文件进行加密，得到所述加密值。

可选地，验证模块303，可以包括：

第一判断子模块，用于判断加密值是否存于预设病毒库；预设病毒库中设置有多个恶意程序的加密值；

第一处理子模块，用于若是，则判定验证通过；

第二处理子模块，用于若否，则判定验证未通过。

可选地，验证模块303，可以包括：

第二判断子模块，用于判断绝对路径是否存于预设路径库；预设路径库中设置有多个正常程序的绝对路径；

第三处理子模块，用于若是，则判定验证未通过；

第四处理子模块，用于若否，则判定验证通过。

可选地，监听模块301，可以包括：

监听子模块，用于利用Linux内核进程监听模块监听进程创建事件，并利用连接器接收Linux内核进程监听模块在监听到时返回的进程创建事件；

进程标识符提取子模块，用于从进程创建事件中提取进程标识符。

可选地，监听子模块中的Linux内核进程监听模块通过监听动态链接库、审计通知或Linux系统调用表的方式监听进程创建事件。

可选地，该装置还可以包括：

预设特征库接收模块，用于接收管理平台下发的预设特征库，并利用连接器向Linux内核进程监听模块发送通知信息，以使Linux内核进程监听模块开始监听进程创建事件。

本发明实施例还提供一种电子设备，包括：

存储器，用于存储计算机程序；

处理器，用于执行计算机程序时实现如上述的恶意程序检测方法的步骤。

由于电子设备部分的实施例与恶意程序检测方法部分的实施例相互对应，因此电子设备部分的实施例请参见恶意程序检测方法部分的实施例的描述，这里暂不赘述。

本发明实施例还提供一种存储介质，存储介质上存储有计算机程序，计算机程序被处理器执行时实现上述任意实施例的恶意程序检测方法的步骤。

由于存储介质部分的实施例与恶意程序检测方法部分的实施例相互对应，因此存储介质部分的实施例请参见恶意程序检测方法部分的实施例的描述，这里暂不赘述。

说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器（RAM）、内存、只读存储器（ROM）、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

以上对本发明所提供的一种恶意程序检测方法、装置、电子设备及存储介质进行了详细介绍。本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims

1.一种恶意程序检测方法，其特征在于，包括：

2.根据权利要求1所述的恶意程序检测方法，其特征在于，所述特征信息为所述加密值，所述提取所述应用程序的特征信息，包括：

3.根据权利要求2所述的恶意程序检测方法，其特征在于，所述利用预设特征库对所述特征信息进行验证，包括：

若是，则判定验证通过；

若否，则判定验证未通过。

4.根据权利要求1所述的恶意程序检测方法，其特征在于，所述特征信息为所述绝对路径，所述利用预设特征库对所述特征信息进行验证，包括：

若是，则判定验证未通过；

若否，则判定验证通过。

5.根据权利要求1所述的恶意程序检测方法，其特征在于，所述当监听到进程创建事件时，获取所述进程创建事件对应的进程标识符，包括：

从所述进程创建事件中提取所述进程标识符。

6.根据权利要求5所述的恶意程序检测方法，其特征在于，所述Linux内核进程监听模块通过监听动态链接库、审计通知或Linux系统调用表的方式监听所述进程创建事件。

7.根据权利要求5所述的恶意程序检测方法，其特征在于，在利用Linux内核进程监听模块监听所述进程创建事件之前，还包括：

8.一种恶意程序检测装置，其特征在于，包括：

9.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至7任一项所述的恶意程序检测方法的步骤。

10.一种存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的恶意程序检测方法的步骤。