Claims (12)
1. Способ создания сигнатуры для обнаружения вредоносных файлов определенного формата, при этом способ содержит этапы на которых:1. A method of creating a signature for detecting malicious files of a specific format, the method comprising the steps of:
а) обнаруживают подозрительный файл;a) detect a suspicious file;
б) распознают формат подозрительного файла;b) recognize the format of the suspicious file;
в) проверяют файл с помощью антивируса с учетом распознанного формата подозрительного файла;c) scan the file using antivirus software, taking into account the recognized format of the suspicious file;
г) проверяют подозрительный файл с помощью виртуальной машины в том случае, если подозрительный файл не является безопасным или вредоносным после его проверки антивирусом, при этом проверка с помощью виртуальной машины включает открытие подозрительного файла в рамках виртуальной машины с помощью программы, поддерживающий распознанный формат подозрительного файла;d) they scan a suspicious file using a virtual machine if the suspicious file is not safe or malicious after being scanned by antivirus software, while scanning with a virtual machine involves opening a suspicious file within the virtual machine using a program that supports the recognized format of the suspicious file ;
д) производят анализ результатов проверки подозрительного файла с помощью виртуальной машины;e) analyze the results of checking a suspicious file using a virtual machine;
е) создают сигнатуру для обнаружения подозрительного файла, если анализ результатов показал, что подозрительный файл является вредоносным, при этом сигнатура создается на основании данных о распознанном формате файла.f) create a signature for detecting a suspicious file, if the analysis of the results showed that the suspicious file is malicious, and the signature is created based on the data on the recognized file format.
2. Способ по п. 1, в котором файл является подозрительным, по меньшей мере, по одному из критериев: файл имеет определенный рейтинг опасности; файл был получен из недоверенного источника и помещен в карантин; файл содержит вложенные ссылки или сценарии; при открытии файла происходит запуск недоверенной программы.2. The method according to p. 1, in which the file is suspicious, at least one of the criteria: the file has a certain hazard rating; The file was obtained from an untrusted source and quarantined. file contains nested links or scripts; when you open the file, an untrusted program starts.
3. Способ по п. 1, в котором распознают формат подозрительного файла на основании, по меньшей мере, одного из: анализа заголовка файла, энтропии значения байт файла.3. The method of claim 1, wherein the format of the suspicious file is recognized based on at least one of: analysis of the file header, entropy of the byte value of the file.
4. Способ по п. 1, в котором конфигурация виртуальной машины может включать различные варианты операционной системы, установленной в виртуальной машине, и установленных программ.4. The method according to claim 1, in which the configuration of the virtual machine may include various versions of the operating system installed in the virtual machine and installed programs.
5. Способ по п. 1, в котором программой, поддерживающий распознанный формат подозрительного файла, является наиболее популярная программа для открытия файлов распознанного формата.5. The method of claim 1, wherein the program supporting the recognized format of the suspicious file is the most popular program for opening files of the recognized format.
6. Способ по п. 1, в котором анализ результатов проверки подозрительного файла включает, по меньшей мере, анализ одного из: всех системных вызовов, дампа памяти процесса.6. The method according to claim 1, in which the analysis of the results of checking a suspicious file includes at least one of: all system calls, a process memory dump.
7. Система обнаружения вредоносных файлов определенного формата, при этом система содержит следующие средства:7. The system for detecting malicious files of a certain format, while the system contains the following tools:
а) средство сбора данных, связанное со средством распознания формата, при этом средство сбора данных предназначено для обнаружения подозрительного файла;a) data collection tool associated with the format recognition tool, wherein the data collection tool is designed to detect a suspicious file;
б) средство распознания формата, связанное с антивирусом, при этом средство распознания формата предназначено для распознания формата подозрительного файла;b) format recognition tool associated with the antivirus, while the format recognition tool is designed to recognize the format of a suspicious file;
в) антивирус, связанный с виртуальной машиной, при этом антивирус предназначен для антивирусной проверки подозрительного файла с учетом его распознанного формата;c) the antivirus associated with the virtual machine, while the antivirus is designed to antivirus scan a suspicious file, taking into account its recognized format;
г) виртуальная машина, связанная с анализатором, при этом виртуальная машина предназначена для проверки подозрительного файла в том случае, если подозрительный файл не является безопасным или вредоносным после его проверки антивирусом, при этом проверка с помощью виртуальной машины включает открытие подозрительного файла в рамках виртуальной машины с помощью программы, поддерживающий распознанный формат подозрительного файла;d) a virtual machine associated with the analyzer, while the virtual machine is designed to scan a suspicious file if the suspicious file is not safe or malicious after being scanned by antivirus, while scanning with a virtual machine involves opening a suspicious file within the virtual machine using a program that supports the recognized format of a suspicious file;
д) анализатор, связанный со средством создания записей, при этом анализатор предназначен для анализа результатов проверки подозрительного файла с помощью виртуальной машины;d) the analyzer associated with the means of creating records, while the analyzer is designed to analyze the results of checking a suspicious file using a virtual machine;
е) средство создания записей, предназначенное для создания сигнатуры для обнаружения подозрительного файла, если анализ результатов показал, что подозрительный файл является вредоносным, при этом сигнатура создается на основании данных о распознанном формате подозрительного файла.f) a record creation tool designed to create a signature for detecting a suspicious file, if the analysis of the results showed that the suspicious file is malicious, and the signature is created based on the data on the recognized format of the suspicious file.
8. Система по п. 7, в которой котором файл является подозрительным, по меньшей мере, по одному из критериев: файл имеет определенный рейтинг опасности; файл был получен из недоверенного источника и помещен в карантин; файл содержит вложенные ссылки или сценарии; при открытии файла происходит запуск недоверенной программы.8. The system according to claim 7, in which the file is suspicious, according to at least one of the criteria: the file has a certain hazard rating; The file was obtained from an untrusted source and quarantined. file contains nested links or scripts; when you open the file, an untrusted program starts.
9. Система по п. 7, в которой распознание формата подозрительного файла основано, по меньшей мере, на одном из: анализа заголовка файла, энтропии значения байт файла.9. The system of claim 7, wherein the recognition of the format of the suspicious file is based on at least one of: analysis of the file header, entropy of the value of the bytes of the file.
10. Система по п. 7, в которой конфигурация виртуальной машины может включать различные варианты операционной системы, установленной в виртуальной машине, и установленных программ.10. The system of claim 7, wherein the configuration of the virtual machine may include various versions of the operating system installed in the virtual machine and installed programs.
11. Система по п. 7, в которой программой, поддерживающий распознанный формат подозрительного файла, является наиболее популярная программа для открытия файлов распознанного формата.11. The system of claim 7, wherein the program supporting the recognized format of the suspicious file is the most popular program for opening files of the recognized format.
12. Система по п. 7, в которой анализ результатов проверки подозрительного файла включает, по меньшей мере, анализ одного из: всех системных вызовов, дампа памяти процесса.
12. The system of claim 7, wherein the analysis of the results of checking a suspicious file includes at least one of: all system calls, a process memory dump.