RU2622630C2 - System and method of modified data recovery - Google Patents
System and method of modified data recovery Download PDFInfo
- Publication number
- RU2622630C2 RU2622630C2 RU2015121371A RU2015121371A RU2622630C2 RU 2622630 C2 RU2622630 C2 RU 2622630C2 RU 2015121371 A RU2015121371 A RU 2015121371A RU 2015121371 A RU2015121371 A RU 2015121371A RU 2622630 C2 RU2622630 C2 RU 2622630C2
- Authority
- RU
- Russia
- Prior art keywords
- data
- request
- parameters
- tool
- backup
- Prior art date
Links
Images
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/30—Monitoring
- G06F11/3065—Monitoring arrangements determined by the means or processing involved in reporting the monitored data
- G06F11/3072—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting
- G06F11/3079—Monitoring arrangements determined by the means or processing involved in reporting the monitored data where the reporting involves data filtering, e.g. pattern matching, time or event triggered, adaptive or policy-based reporting the data filtering being achieved by reporting only the changes of the monitored data
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F12/00—Accessing, addressing or allocating within memory systems or architectures
- G06F12/16—Protection against loss of memory contents
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/554—Detecting local intrusion or implementing counter-measures involving event detection and direct action
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
- G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/60—Protecting data
- G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- General Engineering & Computer Science (AREA)
- Software Systems (AREA)
- Physics & Mathematics (AREA)
- Computer Hardware Design (AREA)
- General Physics & Mathematics (AREA)
- Health & Medical Sciences (AREA)
- General Health & Medical Sciences (AREA)
- Virology (AREA)
- Bioethics (AREA)
- Computer Vision & Pattern Recognition (AREA)
- Quality & Reliability (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
- Storage Device Security (AREA)
Abstract
Description
Область техникиTechnical field
Изобретение относится к антивирусным технологиям, а более конкретно к системам и способам восстановления данных, модифицированных вредоносными программами.The invention relates to antivirus technologies, and more particularly to systems and methods for recovering data modified by malware.
Уровень техникиState of the art
Бурное развитие компьютерных технологий в последние годы, а также широкое распространение разнообразных вычислительных устройств (персональных компьютеров, ноутбуков, планшетов, смартфонов и т.д.) стали мощным стимулом для использования этих устройств в разнообразных сферах деятельности и для огромного количества задач (от обработки и хранения личных фотографий до банковских переводов и ведения электронного документооборота). Параллельно с ростом количества вычислительных устройств и программного обеспечения (ПО), работающего на этих устройствах, быстрыми темпами росло и количество вредоносных программ.The rapid development of computer technology in recent years, as well as the widespread dissemination of various computing devices (personal computers, laptops, tablets, smartphones, etc.) have become a powerful incentive for using these devices in various fields of activity and for a huge number of tasks (from processing and storage of personal photos before bank transfers and electronic document management). In parallel with the increase in the number of computing devices and software (software) running on these devices, the number of malicious programs has grown rapidly.
В настоящий момент существует огромное количество разновидностей вредоносных приложений, и подавляющее их большинство предназначено для принесения прибыли своим создателям. Одни крадут с устройств пользователей их персональные и конфиденциальные данные (например, логины и пароли, банковские реквизиты, электронные документы и т.д.). Другие формируют из устройств пользователей так называемые бот-сети (англ. botnet) для атак (таких как DDOS или brute-force) на другие компьютеры или компьютерные сети. Третьи предлагают пользователям платный контент через навязчивую рекламу, платные подписки, отправку CMC на платные номера и т.д.Currently, there are a huge number of varieties of malicious applications, and the vast majority of them are intended to bring profit to their creators. Some of them steal personal and confidential data from users' devices (for example, logins and passwords, bank details, electronic documents, etc.). Others form so-called botnets from user devices for attacks (such as DDOS or brute-force) against other computers or computer networks. Still others offer paid content to users through intrusive ads, paid subscriptions, sending CMC to paid numbers, etc.
Еще одной разновидностью вредоносных программ являются программы-вымогатели (англ. ransoms). После проникновения на устройства пользователей они нарушают их работоспособность (например, блокируя устройства ввода, повреждая данные, ограничивая доступ к элементам интерфейса и т.д.), после чего требуют оплаты за возможность устранения негативных последствий своей работы. Наиболее опасными из программ-вымогателей являются программы-шифровальщики (англ. cryptors). Их вредоносная деятельность заключается в повреждении данных, представляющих ценность для пользователей (например, баз данных, документов Microsoft Office, фотографий, видеороликов и т.п.). Повреждение данных происходит посредством их шифрования, переименования или сокрытия файлов.Another type of malware is ransomware. After penetrating users' devices, they disrupt their performance (for example, by blocking input devices, damaging data, restricting access to interface elements, etc.), after which they require payment for the ability to eliminate the negative consequences of their work. The most dangerous ransomware programs are cryptors. Their malicious activity is to damage data of value to users (for example, databases, Microsoft Office documents, photos, videos, etc.). Data corruption occurs by encrypting, renaming, or hiding files.
Поскольку не только конфиденциальность данных, но и их целостность зачастую представляют большую ценность, защита данных является важной задачей. В качестве способов борьбы с описанной выше угрозой можно выделить своевременное выявление вредоносного приложения на устройстве пользователя с его последующей деактивацией, что позволяет защитить данные от несанкционированной модификации, а также регулярное создание резервных копий данных, что позволяет даже в случае несанкционированной модификации данных произвести их восстановление.Since not only data confidentiality, but also their integrity are often of great value, data protection is an important task. As ways to combat the threat described above, it is possible to identify the timely detection of a malicious application on the user's device with its subsequent deactivation, which allows you to protect data from unauthorized modifications, as well as regular creation of data backups, which allows even in case of unauthorized data modification to be restored.
Например, в публикации US 20050267916 A1 описано резервное копирование и восстановление данных при достижении заранее установленных состояний операционной системы или данных, хранящихся в ней. Т.е. описана технология слежения за состоянием операционной системы, вынесения решения о необходимости резервного копирования или восстановления данных и способы осуществления восстановления зарезервированных ранее данных. Недостаток данной технологии заключается в том, что осуществляется резервирование всех данных, без их сортировки на модифицируемые и нет, а также без какой-либо оценки угрозы для модифицированных данных, что в свою очередь приводит к большому расходованию ресурсов компьютерной системы, таких как свободное место на жестких дисках, компьютерное время, требуемое для резервного копирования всего набора данных или загрузка процессора при выполнении операций резервного копирования и восстановления, что может привести к тому, что некоторые данные не смогут быть вовремя сохранены и будут модифицированы и потеряны (например, в случае когда для резервного копирования не осталось места из-за его чрезмерного расходования).For example, US20050267916 A1 describes backing up and restoring data when predetermined operating system states or data stored in it are reached. Those. describes the technology for monitoring the state of the operating system, making decisions on the need for backup or data recovery, and methods for recovering previously backed up data. The disadvantage of this technology is that all data is backed up, without sorting them into modifiable and not, as well as without any threat assessment for the modified data, which in turn leads to a large expenditure of computer system resources, such as free space on hard drives, the computer time required to back up the entire data set, or load the processor during backup and recovery operations, which may lead to some problems nnye can not be saved on time and will be modified and be lost (for example, in the case where there is no room for his excessive spending for backup).
В другой публикации US 7716743 B2 описана работа антивирусного приложения с вредоносными файлами, а именно отслеживание, блокировка и перемещение вредоносных файлов в карантин, в случае, когда невозможно принять решение об их корректном удалении из системы. В данном случае идет обработка именно вредоносных файлов, а не файлов, которые вредоносными файлами были модифицированы, таким образом происходит защита компьютерной системы, но не данных, которые в этой компьютерной системе находятся и могли быть модифицированы заблокированным вредоносным приложением.Another publication, US 7716743 B2, describes how an anti-virus application works with malicious files, namely, tracking, blocking and moving malicious files to quarantine, in the event that it is impossible to decide on their correct removal from the system. In this case, it is processing of malicious files, and not files that have been modified by malicious files, thus protecting the computer system, but not the data that is in this computer system and could be modified by a blocked malicious application.
Хотя описанные выше способы работы хорошо справляются с задачами отслеживания файловой активности, резервного хранения данных пользователя и блокировки работы вредоносного ПО, они не помогают защитить легальные данные пользователя от модификации вредоносным ПО, поскольку не способны эффективно (т.е. вовремя, до того, как началась модификация данных) принять решение об их резервном копировании, или же, в случае успешного резервного копирования модифицируемых данных, не способны оценить уровень угрозы этим данным от модифицирующего их процесса, что в свою очередь ведет к значительной нагрузке на компьютерные ресурсы, такие как свободное место на жестком диске, процессорное время и т.д.Although the methods described above do a good job of tracking file activity, backing up user data, and blocking malware, they do not help protect legitimate user data from being modified by malware because they are not able to (effectively, on time, before data modification has begun) make a decision on their backup, or, in the case of a successful backup of the modified data, they are not able to assess the level of threat to this data from the data otsessa, which in turn leads to a significant load on the computer resources, such as free space on the hard disk, CPU, etc.
Настоящее изобретение позволяет решать задачу восстановления модифицированных вредоносными программами данных.The present invention allows to solve the problem of recovering data modified by malware.
Раскрытие изобретенияDisclosure of invention
Изобретение предназначено для защиты данных от несанкционированной модификации.The invention is intended to protect data from unauthorized modifications.
Технический результат настоящего изобретения заключается в повышении безопасности хранения данных за счет резервного копирования модифицируемых данных и последующего восстановления ранее модифицированных данных.The technical result of the present invention is to increase the security of data storage due to the backup of the modified data and the subsequent restoration of previously modified data.
Данный результат достигается с помощью использования системы восстановления модифицированных данных, которая содержит средство отслеживания активности, предназначенное для перехвата запросов от процесса на модификацию данных, определения параметров процесса, запрос которого был перехвачен, определения параметров перехваченных запросов, передачи определенных параметров процесса средству обнаружения и параметров перехваченных запросов средству анализа; средство анализа, предназначенное для формирования и передачи средству резервирования запроса на резервное копирование в базу данных резервирования модифицируемых процессом данных на основании результатов анализа параметров перехваченных запросов при помощи правил; средство обнаружения, предназначенное для анализа полученных от средства отслеживания активности параметров процесса для определения уровня угрозы процесса целостности модифицируемых им данных, формирования и передачи средству резервирования запроса на восстановление из базы данных резервирования модифицированных процессом данных на основании результатов проведенного анализа, блокировки работы процесса на основании результатов проведенного анализа; средство резервирования, предназначенное для резервного копирования данных в базу данных резервирования по запросу средства анализа, восстановления из базы данных резервирования скопированных ранее данных по запросу средства анализа; базу данных резервирования, предназначенную для хранения копируемых средством резервирования данных.This result is achieved by using the modified data recovery system, which contains an activity tracking tool designed to intercept requests from a process for modifying data, determine the parameters of the process whose request was intercepted, determine the parameters of intercepted requests, transfer certain parameters of the process to the detection tool and parameters of intercepted queries to the analysis tool; analysis tool designed to generate and transmit to the backup tool a request for backup to the backup database of process-modified data based on the results of the analysis of parameters of intercepted requests using rules; detection tool designed to analyze the process parameters received from the activity tracking means to determine the threat level of the integrity of the data it modifies, generate and transmit to the backup tool a request to restore the process-modified data from the backup database based on the results of the analysis, blocking the process based on the results analysis performed; backup means for backing up data to a backup database at the request of an analysis tool, restoring previously copied data from a backup database at the request of an analysis tool; a backup database for storing data backed up by the backup tool.
В другом частном случае реализации системы в качестве модифицируемых данных выступают, по меньшей мере файлы, области памяти.In another particular case of the system implementation, at least files, memory areas act as modifiable data.
Еще в одном частном случае реализации системы в качестве запроса на модификацию данных выступает по меньшей мере API-функция операционной системы.In another particular case of system implementation, at least the API function of the operating system acts as a request for data modification.
В другом частном случае реализации системы в качестве параметров процесса выступают по меньшей мере путь к приложению, запустившему процесс, описатель процесса, журнал операций, выполняемых процессом.In another particular case of system implementation, the process parameters are at least the path to the application that launched the process, the process descriptor, and a log of operations performed by the process.
Еще в одном частном случае реализации системы в качестве параметров перехваченных запросов выступают по меньшей мере уникальный идентификатор данных, способ работы с данными, тип операций с данными, параметры модификации данных.In another particular case of the system implementation, at least a unique data identifier, a method of working with data, type of data operations, data modification parameters act as parameters of intercepted requests.
В другом частном случае реализации системы уровень угрозы процесса целостности модифицируемых им данных вычисляется по меньшей мере через анализ возможности безвозвратной потери модифицируемых процессом данных.In another particular case of the system implementation, the threat level of the integrity process of the data modified by it is calculated at least by analyzing the possibility of an irretrievable loss of data modified by the process.
Еще в одном частном случае реализации системы блокировка работы процесса осуществляется по меньшей мере через удаление процесса из памяти, остановку выполнения процесса.In another particular case of the implementation of the system, the process is blocked at least by deleting the process from memory and stopping the process.
Способ восстановления модифицированных данных, в котором перехватывают от процесса по меньшей мере один запрос на модификацию данных; определяют параметры перехваченного запроса; выполняют резервное копирование данных в базу данных резервирования на основании определенных параметров перехваченных запросов; определяют параметры процесса, запрос которого был перехвачен; анализируют параметры процесса с целью определения уровня угрозы процесса для целостности модифицируемых им данных; блокируют работу процесса на основании результатов анализа параметров процесса, определяющего уровень угрозы процесса для целостности модифицируемых им данных, выполняют описанные выше этапы по меньшей мере до тех пор, пока работа процесса не будет заблокирована; выполняют восстановление из базы данных резервирования скопированных ранее данных.A method for recovering modified data, in which at least one data modification request is intercepted from a process; determine the parameters of the intercepted request; perform data backup to the backup database based on certain parameters of intercepted requests; determine the parameters of the process whose request has been intercepted; analyze process parameters in order to determine the threat level of the process for the integrity of the data it modifies; block the process on the basis of the results of the analysis of the process parameters, which determines the threat level of the process for the integrity of the data it modifies, perform the above steps at least until the process is blocked; perform restoration from the backup database of previously copied data.
В другом частном случае реализации способа в качестве модифицируемых данных выступают, по меньшей мере файлы, области памяти.In another particular case of the implementation of the method, at least files, memory areas act as modifiable data.
Еще в одном частном случае реализации способа в качестве запроса на модификацию данных выступает по меньшей мере API-функция операционной системы.In another particular case of implementing the method, at least an API function of the operating system acts as a request for data modification.
В другом частном случае реализации способа в качестве параметров процесса выступают по меньшей мере путь к приложению, запустившему процесс, описатель процесса, журнал операций, выполняемых процессом.In another particular case of implementing the method, at least the path to the application that launched the process, the process descriptor, and the log of operations performed by the process act as process parameters.
Еще в одном частном случае реализации способа в качестве параметров перехваченных запросов выступают по меньшей мере уникальный идентификатор данных, способ работы с данными, тип операций с данными, параметры модификации данных.In another particular case of the method implementation, at least a unique data identifier, a method of working with data, type of data operations, data modification parameters act as parameters of intercepted requests.
В другом частном случае реализации способа уровень угрозы процесса целостности модифицируемых им данных вычисляется по меньшей мере через анализ возможности безвозвратной потери модифицируемых процессом данных.In another particular case of the method, the threat level of the integrity process of the data modified by it is calculated at least through an analysis of the possibility of irretrievable loss of the data modified by the process.
Еще в одном частном случае реализации способа блокировка работы процесса осуществляется по меньшей мере через удаление процесса из памяти, остановку выполнения процесса.In another particular case of the method, the process is blocked at least by deleting the process from memory, and stopping the process.
Краткое описание чертежейBrief Description of the Drawings
Фиг. 1 представляет структурную схему системы восстановления модифицированных данных.FIG. 1 is a block diagram of a modified data recovery system.
Фиг. 2 представляет структурную схему способа восстановления модифицированных данных.FIG. 2 is a structural diagram of a method for recovering modified data.
Фиг. 3 представляет пример компьютерной системы общего назначения, персональный компьютер или сервер.FIG. 3 represents an example of a general purpose computer system, a personal computer, or a server.
Хотя изобретение может иметь различные модификации и альтернативные формы, характерные признаки, показанные в качестве примера на чертежах, будут описаны подробно. Следует понимать, однако, что цель описания заключается не в ограничении изобретения конкретным его воплощением. Наоборот, целью описания является охват всех изменений, модификаций, входящих в рамки данного изобретения, как это определено в приложенной формуле.Although the invention may have various modifications and alternative forms, the characteristic features shown by way of example in the drawings will be described in detail. It should be understood, however, that the purpose of the description is not to limit the invention to its specific embodiment. On the contrary, the purpose of the description is to cover all changes, modifications that are within the scope of this invention, as defined in the attached formula.
Описание вариантов осуществления изобретенияDescription of Embodiments
Объекты и признаки настоящего изобретения, способы для достижения этих объектов и признаков станут очевидными посредством отсылки к примерным вариантам осуществления. Однако настоящее изобретение не ограничивается примерными вариантами осуществления, раскрытыми ниже, оно может воплощаться в различных видах. Сущность, приведенная в описании, является ничем иным, как конкретными деталями, необходимыми для помощи специалисту в области техники в исчерпывающем понимании изобретения, и настоящее изобретение определяется в объеме приложенной формулы.The objects and features of the present invention, methods for achieving these objects and features will become apparent by reference to exemplary embodiments. However, the present invention is not limited to the exemplary embodiments disclosed below, it can be embodied in various forms. The essence described in the description is nothing more than the specific details necessary to assist the specialist in the field of technology in a comprehensive understanding of the invention, and the present invention is defined in the scope of the attached claims.
Фиг. 1 представляет структурную схему системы восстановления модифицированных данных.FIG. 1 is a block diagram of a modified data recovery system.
Система восстановления модифицированных данных состоит из средства хранения данных 110, средства отслеживания активности 120, средства анализа 130, средства резервирования 140, базы данных резервирования 150 и средства обнаружения 160.The modified data recovery system consists of data storage means 110, activity tracking means 120, analysis means 130, backup means 140,
Средство хранения данных 110 предназначено для получения данных от процесса, сохранения их и последующего предоставления их по требованию процесса.The data storage means 110 is designed to receive data from the process, store them and then provide them at the request of the process.
В качестве средства хранения данных 110 могут выступать:As the
- файловый менеджер для работы с файловой системой;- file manager for working with the file system;
- менеджер памяти для работы с оперативной памятью.- memory manager for working with RAM.
В качестве данных, предоставляемых средством хранения данных 110, могут выступать:The data provided by the
- файлы;- files;
- области памяти.- areas of memory.
Средство отслеживания активности 120 предназначено для перехвата от процесса средству хранения данных 110 запросов, отвечающих за модификацию хранящихся там данных, определение параметров процесса и передачи их средству обнаружения 160, а также определения параметров перехваченных запросов и передачи их средству анализа 130.The
Перехват запросов от процесса средству хранения данных 110 может осуществляться через перехват API-функций (методами подмены адреса настоящей функции, непосредственного изменения функций (например, через сплайсинг, перехват в режиме ядра с модификацией тела функции), непосредственной подмены всего компонента приложения/системы).The interception of requests from the process to the
В качестве запросов процесса к средству хранения данных 110 могут выступать:As the process requests to the
- API-функции операционной системы (например, функции WinAPI для Microsoft Windows);- API functions of the operating system (for example, WinAPI functions for Microsoft Windows);
- функции ядра операционной системы.- kernel functions of the operating system.
В качестве параметров перехваченных запросов могут выступать:The parameters of intercepted requests can be:
- уникальный идентификатор данных (например, описатель файла или путь к файлу, адрес модифицируемой памяти и т.д.);- a unique data identifier (for example, a file descriptor or a file path, address of the modified memory, etc.);
- способ работы с данными (например, чтение, перезапись, удаление данных и т.д.);- a way of working with data (for example, reading, overwriting, deleting data, etc.);
- тип операций с данными (например, запись буфера в область памяти, занимаемую данными, чтение заголовка файла и т.д.);- type of operations with data (for example, writing a buffer to the memory area occupied by data, reading a file header, etc.);
- параметры модификации данных (например, размеры и содержимое записываемого в область памяти буфера, новые права доступа к модифицируемому файлу и т.д.).- data modification parameters (for example, sizes and contents of the buffer written to the memory area, new access rights to the file being modified, etc.).
В качестве параметров процесса могут выступать:The process parameters may include:
- путь к приложению, запустившему процесс;- path to the application that launched the process;
- описатель процесса;- process descriptor;
- журнал операций, выполняемых процессом.- a log of operations performed by the process.
Средство анализа 130 предназначено для формирования и передачи средству резервирования 140 запроса на резервное копирование в базу данных резервирования 150 модифицируемых процессом данных на основании результатов анализа параметров, перехваченных средством отслеживания активности 120 данных запросов при помощи правил.The
В качестве правил, используемых для анализа параметров перехваченных запросов, могут выступать:The rules used to analyze the parameters of intercepted requests can be:
- правило, определяющее необходимость дальнейшего резервного копирования данных по типу данных, на работу с которыми был направлен запрос, (например, если целостность данных важна для работы операционной системы, как в случае исполнимых файлов *.ехе, *.dll и т.п.) или для пользователя (как в случае баз данных, документов Microsoft Office, файлов почты, изображений и т.п.);- a rule that determines the need for further backup of the data by the type of data the request was sent to (for example, if data integrity is important for the operating system to work, as in the case of executable files * .exe, * .dll, etc. ) or for the user (as in the case of databases, Microsoft Office documents, mail files, images, etc.);
- правило, определяющее, может ли работа привести к модификации данных по способу работы с данными (например, открытие файла с правами на запись);- a rule that determines whether the work can lead to data modification by the method of working with data (for example, opening a file with write permissions);
- правило, определяющее, могут ли операции привести к модификации данных по типу операций над данными (например, запись буфера данных в файл);- a rule that determines whether operations can lead to data modification by the type of data operations (for example, writing a data buffer to a file);
- правило, определяющее, будет ли произведена модификация данных, или данные не будут затронуты по записываемым данным (например, дозапись в файл видеопотока).- a rule that determines whether the data will be modified or the data will not be affected by the recorded data (for example, add to the video stream file).
Средство резервирования 140 предназначено для резервного копирования данных из средства хранения данных 110 в базу данных резервирования 150 по запросу средства анализа 130 и восстановления данных из базы данных резервирования 150 в средство хранения данных 110 по запросу средства обнаружения 160.The
База данных резервирования 150 предназначена для хранения переданных средством резервирования 140 данных и предоставления их средству резервирования 140.The
Средство обнаружения 160 предназначено для анализа полученных от средства отслеживания активности 120 параметров процесса для определения уровня угрозы процесса целостности модифицируемых им данных при помощи правил, формирования и передачи средству резервирования 140 запроса на восстановление из базы данных резервирования 150 в средство хранения данных 110 модифицированных процессом данных на основании результатов проведенного анализа, блокировки работы процесса на основании результатов проведенного анализа.The
В качестве правил определения уровня угрозы процесса целостности модифицируемым данным может выступать возможность безвозвратной потери модифицируемых процессом данных, а именно:As the rules for determining the level of threat to the integrity of the process with the modified data, the possibility of the irretrievable loss of the data modified by the process can be used, namely:
- шифрование данных без возможности их расшифровки (например, из-за невозможности получить необходимый ключ расшифровки);- data encryption without the possibility of decryption (for example, due to the inability to obtain the necessary decryption key);
- перезаписи данных, т.е. записи новых данных на старые без возможности восстановления последних;- overwriting data, i.e. write new data to old without the possibility of restoring the latter;
- удаление данных.- data deletion.
Блокировка работы процесса может осуществляться через:Blocking the process can be done through:
- удаление процесса из памяти;- deleting a process from memory;
- остановку выполнения процесса;- stopping the process;
- добавление файла, запустившего процесс, в карантин.- adding the file that started the process to quarantine.
Рассмотрим работу системы восстановления модифицированных данных на примере восстановления документов Microsoft Office («*.docx», «*.xlsx» и т.д.) после того, как они были зашифрованы программой-шифровальщиком. Программа-шифровальщик представляет собой вредоносное ПО, шифрующее файлы пользователя, такие как базы данных, документы Microsoft Office, фотографии, видео и прочие, и предлагающее пользователю возможность их расшифровки с помощью специальной платной программы-дешифратора.Consider the operation of the modified data recovery system using the example of recovering Microsoft Office documents ("* .docx", "* .xlsx", etc.) after they have been encrypted with an encryption program. The encryption program is malware that encrypts user files, such as databases, Microsoft Office documents, photos, videos, and others, and offers the user the ability to decrypt them using a special paid decryptor program.
Программа-шифровальщик производит поиск на жестких дисках зараженного компьютера файлов Microsoft Office, после чего шифрует их и переименовывает (например, меняет расширения *.docx на *.docx_crypted для того, чтобы впоследствии находить и расшифровывать только зашифрованные ранее файлы). Когда программа-шифровальщик обращается к средству хранения данных 110, в качестве которого выступает файловый менеджер операционной системы, с запросом на получение доступа к файлу документа Microsoft Office с целью внесения изменений, осуществляется вызов WinAPI-функций «::CreateFile», «::WriteFile» и «::MoveFile». Средство отслеживания активности 120 перехватывает эти запросы и определяет их параметры, т.е. уникальный идентификатор файла, к которому происходит обращение, какие операции собираются выполняться над файлом и т.п. Полученную информацию средство отслеживания активности 120 передает средству анализа 130. Также средство отслеживания активности 120 перехватывает параметры процесса программы-шифровальщика, такие как идентификатор процесса, журнал операций, выполняемых процессом и т.д. и передает средству обнаружения 160.The encryption program searches Microsoft Office files on the hard drives of the infected computer, after which it encrypts and renames them (for example, changes the * .docx extensions to * .docx_crypted so that only files previously encrypted before can be found and decrypted). When the encryption program accesses the
Средство анализа 130 на основе полученных от средства отслеживания активности 120 параметров перехваченных запросов процесса к средству хранения данных 110 вычисляет следующие критерии:The
- тип файла «*.docx» (один из файлов документа Microsoft Office), на работу с которым был направлен запрос;- the file type “* .docx” (one of the files of the Microsoft Office document) for which the request was sent;
- способ работы с файлом (запрос на открытие существующего файла через передачу флага «OPEN_EXISTING»);- a way to work with a file (request to open an existing file by passing the flag "OPEN_EXISTING");
- тип операций с файлом (запрос на возможность записи в файл через передачу флага «GENERIC_WRITE»);- type of operations with the file (request for the ability to write to the file by passing the GENERIC_WRITE flag);
- параметры модификации файла (перезапись всего файла новыми данными);- file modification parameters (overwriting the entire file with new data);
- новое имя файла (отличающееся от старого).- new file name (different from the old one).
Далее средство анализа 130 проводит анализ вычисленных критериев на основании правил, определяющих необходимость выполнения резервного копирования данных:Further, the
- по типу файла, на работу с которым был направлен запрос, определяется необходимость его дальнейшей обработки, важна ли целостность файла для работы операционной системы (например, исполняемые файлы «*.ехе», «*.dll» и т.п.) или для пользователя (базы данных, документы Microsoft Office, файлы почты, фотографии и т.п.);- by the type of file with which the request was sent, the need for further processing is determined whether the integrity of the file is important for the operation of the operating system (for example, executable files “* .exe”, “* .dll”, etc.) or for the user (databases, Microsoft Office documents, mail files, photos, etc.);
- по способу работы с файлом определяется, может ли работа с ним привести к его модификации (например, открытие существующего файла, но создание нового);- the method of working with the file determines whether working with it can lead to its modification (for example, opening an existing file, but creating a new one);
- по типу операций над файлом определяется, приведет ли работа с файлом к его модификации (например, открытие файла на запись, но открытие файла только на чтение);- by the type of operations on the file, it is determined whether working with the file will lead to its modification (for example, opening a file for writing, but opening a file for reading only);
- по записываемым данным определяется приведет ли это к модификации или данные будут не затронуты (например, при дозаписи к потоковому видеофайлу).- according to the recorded data, it is determined whether this will lead to a modification or whether the data will not be affected (for example, when re-recording to a streaming video file).
Если на вычисленных критериях сработало по меньшей мере одно из правил (например, по типу файла и по типу операции над этим файлом, т.е. в текущем примере, это означает, что программой-шифровальщиком будет произведена запись в документ Microsoft Office), то средство анализа 130 формирует и отправляет запрос средству резервирования 140 на резервное копирование документа Microsoft Office в базу данных резервирования 150.If at least one of the rules worked on the calculated criteria (for example, by file type and type of operation on this file, i.e. in the current example, this means that the encryption program will write to the Microsoft Office document), then
Средство резервирования 140, получив запрос от средства анализа 130, осуществляет резервное копирование модифицируемого программой-шифровальщиком документа Microsoft Office из средства хранения данных 110 в базу данных резервирования 150.The
Отслеживание файловой активности процесса программы-шифровальщика на этом не прекращается. По мере того как он обращается к новым документа Microsoft Office для внесения в них изменений средство отслеживания активности 120 передает новые параметры запросов процесса программы-шифровальщика средству анализа 130, а средство анализа 130 формирует и передает запросы средству резервирования 140 на резервное копирование модифицируемых документов Microsoft Office. Отслеживание файловой активности процесса программы-шифровальщика может продолжаться до тех пор, пока процесс программы-шифровальщика не будет заблокирован средством обнаружения 160.Tracking the file activity of the encryption program process does not stop there. As he turns to a new Microsoft Office document to make changes to them, the
Средство обнаружения 160 на основе полученных от средства отслеживания активности 120 параметров процесса программы-шифровальщика (такие как путь к приложению, запустившему процесс, описатель процесса, журнал операций, выполняемых процессом и т.д.), модифицирующего документ Microsoft Office, определяет уровень угрозы процесса целостности модифицируемого им документа. Уровень угрозы вычисляется через анализ возможности безвозвратной потери содержимого модифицируемого документа Microsoft Office. Например, файлы могут безвозвратно удаляться или переименовываться, у файлов могут меняться атрибуты и права, содержимое файлов может шифроваться без возможности расшифровки на компьютере пользователя из-за отсутствия соответствующего ключа и т.д. Поскольку процесс, не являясь доверенным с точки зрения средства обнаружения 160 (например, системным файлом, подписанным доверенной цифровой подписью и т.п.), выполняет операции записи в файл и переименования файла, то такие действия признаются средством обнаружения 160, представляющим угрозу данным документа Microsoft Office. Кроме того, результаты анализа полученного журнала операций, выполненных процессом (многочисленные запросы на запись и переименование документов Microsoft Office в разных папках, включая временные), указывают на то, что программа-шифровальщик, запустившая анализируемый процесс, является вредоносной и несет потенциальный урон файлам пользователя.The
После того, как средство обнаружения 160 вынесло вердикт о возможности безвозвратной потери содержимого модифицируемого анализируемым процессом документа Microsoft Office, средство обнаружения 160 блокирует работу этого процесса (например, удаляет процесс из памяти, останавливает выполнение процесса, добавляет процесс в карантин и т.д.), формирует и отправляет запрос средству резервирования 140 на восстановление из базы данных резервирования 150 в средство хранения данных 110 документов Microsoft Office, модифицированных заблокированным процессом.After the
Средство резервирования 140, получив запрос от средства обнаружения 150, осуществляет восстановление модифицированного программой-шифровальщиком документа Microsoft Office из базы данных резервирования 150 в средство хранения данных 110.The
Таким образом все измененные программой-шифровальщиком документы Microsoft Office не пострадали.Therefore, all Microsoft Office documents modified by the encryption program were not affected.
Еще один пример системы восстановления модифицированных данных - восстановления процесса Internet Explorer после того, как он был модифицирован программой-инжектором (injector). Программа-инжектор представляет собой вредоносное ПО, внедряющее свои данные (например, код для исполнения или ресурсы, такие как изображения, для замены исходных ресурсов) в области памяти работающих в системе процессов.Another example of a modified data recovery system is recovering an Internet Explorer process after it has been modified by an injector. An injector program is malware that injects its data (for example, code for execution or resources, such as images, to replace the original resources) in the memory area of processes running in the system.
Программа-инжектор производит поиск процесса Internet Explorer, после чего внедряет свои данные, представляющие собой изображения рекламных баннеров, в память найденного процесса, заменяя ими исходные изображения, отображаемые в браузере Internet Explorer (например, элементы графического интерфейса, такие как иконки или изображения, содержащиеся в отображаемых страницах). Когда программа-инжектор обращается к средству хранения данных 110, в качестве которого выступает менеджер памяти операционной системы, с запросом на получение доступа к области памяти Internet Explorer с целью внесения изменений, осуществляется вызов WinAPI-функций «::VirtualAllocEx» и «::WriteProcessMemory». Средство отслеживания активности 120 перехватывает эти запросы и определяет их параметры, т.е. к какой области памяти происходит обращение, какие операции собираются выполняться над памятью и т.п. Определенные параметры средство отслеживания активности 120 передает средству анализа 130. Также средство отслеживания активности 120 перехватывает параметры процесса программы-инжектора, такие как идентификатор процесса, журнал операций, выполняемых процессом и т.д. и передает их средству обнаружения 160.The injector program searches for the Internet Explorer process, and then embeds its data, which is an image of advertising banners, into the memory of the found process, replacing them with the original images displayed in Internet Explorer (for example, graphical interface elements such as icons or images contained in in displayed pages). When the injector program accesses the
Средство анализа 130 на основе полученных от средства отслеживания активности 120 параметров перехваченных запросов процесса к средству хранения данных 110 вычисляет следующие критерии:The
- кому принадлежит запрашиваемая область памяти (в текущем примере Internet Explorer), на работу с которой был направлен запрос;- who owns the requested memory area (in the current Internet Explorer example), to which the request was sent;
- способ работы с памятью (запрос на возможность записи в память через передачу флагов «MEM_COMMIT», «MEM_RESERVE», «PAGE_EXECUTE_READWRITE»);- a method of working with memory (a request for the ability to write to memory by passing the flags "MEM_COMMIT", "MEM_RESERVE", "PAGE_EXECUTE_READWRITE");
- параметры модификации памяти (адрес памяти, по которому будет произведена запись, адрес памяти, откуда будет произведена запись, размер данных, которые будут записаны и т.д.).- memory modification parameters (memory address where the recording will be made, memory address where the recording will be made from, size of the data to be recorded, etc.).
Далее средство анализа 130 проводит анализ вычисленных критериев на основании правил, определяющих необходимость выполнения резервного копирования данных:Further, the
- по типу процесса, на доступ к памяти которого был направлен запрос, определяется необходимость его дальнейшей обработки, важна ли целостность файла для работы операционной системы (например, приложение операционной системы и т.п.);- by the type of process for which memory the request was sent, the need for further processing is determined whether the integrity of the file is important for the operation of the operating system (for example, the application of the operating system, etc.);
- по способу работы с памятью определяется, может ли работа привести к модификации данных;- the method of working with memory determines whether the work can lead to data modification;
- по типу операций с памятью определяется, приведет ли работа с памятью к ее модификации;- the type of operations with memory determines whether the work with memory will lead to its modification;
- по записываемым данным определяется, приведет ли это к модификации данных в памяти процесса, или данные будут не затронуты.- according to the recorded data, it is determined whether this will lead to a modification of the data in the process memory, or whether the data will not be affected.
Если на вычисленных критериях сработало по меньшей мере одно из правил (например, по типу процесса и по типу операции над этим процессом, т.е. в текущем примере, это означает, что программой-инжектором будет произведена запись в память процесса Internet Explorer), то средство анализа 130 формирует и отправляет запрос средству резервирования 140 на резервное копирование выбранного участка памяти процесса Internet Explorer в базу данных резервирования 150.If at least one of the rules worked on the calculated criteria (for example, by the type of process and the type of operation on this process, i.e. in the current example, this means that the injector program will write to the Internet Explorer process memory), that
Средство резервирования 140, получив запрос от средства анализа 130, осуществляет резервное копирование модифицируемой программой-инжектором области памяти процесса Internet Explorer из средства хранения данных 110 в базу данных резервирования 150.The
Средство обнаружения 160 на основе полученных от средства отслеживания активности 120 параметров процесса программы-инжектора (такие как путь к приложению, запустившему процесс, описатель процесса, журнал операций, выполняемых процессом и т.д.), модифицирующего область памяти Internet Explorer, определяет уровень угрозы процесса целостности данным, расположенным в модифицируемой им области памяти. Уровень угрозы вычисляется через анализ возможности безвозвратной потери содержимого модифицируемой области памяти процесса Internet Explorer. Поскольку процесс выполняет операции записи в область памяти другого процесса, такие действия признаются средством обнаружения 160, представляющим угрозу данным процесса Internet Explorer. Кроме того, результаты анализа полученного журнала операций, выполненных процессом (многочисленные запросы на запись в чужие процессы), указывают на то, что программа-инжектор, запустившая анализируемый процесс, является вредоносной и несет потенциальный урон данным пользователя.The
После того, как средство обнаружения 160 вынесло вердикт о возможности безвозвратной потери данных, расположенных в модифицируемой анализируемым процессом области, средство обнаружения 160 блокирует работу этого процесса (например, удаляет процесс из памяти, останавливает выполнение процесса, добавляет процесс в карантин и т.д.), формирует и отправляет запрос средству резервирования 140 на восстановление из базы данных резервирования 150 в средство хранения данных 110 данных процесса Internet Explorer, модифицированных заблокированным процессом.After the
Средство резервирования 140, получив запрос от средства обнаружения 150, осуществляет восстановление модифицируемых программой-инжектором данных из базы данных резервирования 150 в средство хранения данных 110.The backup means 140, having received a request from the detection means 150, restores the data modified by the injector program from the
Таким образом модифицированный программой-инжектором документы процесс Internet Explorer не пострадал.Thus, the Internet Explorer process modified by the injector document was not affected.
Фиг.2 представляет пример структурной схемы способа восстановления модифицированных данных.Figure 2 is an example of a structural diagram of a method for recovering modified data.
Способ восстановления модифицированных данных содержит этапы: перехват запросов на модификацию данных 210, определение параметров перехваченных запросов 220, выполнение резервного копирования данных 230, определение параметров процесса 240, анализ параметров процесса 250, блокировка работы процесса 260 и выполнение восстановления данных 270.A method for recovering modified data comprises the steps of: intercepting
На этапе 210 осуществляется перехват от процесса по меньшей мере одного запроса на модификацию данных.At
В качестве данных, на модификацию которых был перехвачен запрос, могут выступать:The data for the modification of which the request was intercepted can be:
- файлы;- files;
- области памяти.- areas of memory.
В качестве запросов процесса на модификацию данных могут выступать:The process requests for data modification may include:
- API-функции операционной системы, в частности, функции WinAPI для Microsoft Windows;- API functions of the operating system, in particular, WinAPI functions for Microsoft Windows;
- функции ядра операционной системы.- kernel functions of the operating system.
На этапе 220 осуществляется определение параметров перехваченных запросов.At
В качестве параметров перехваченных запросов могут выступать:The parameters of intercepted requests can be:
- уникальный идентификатор данных;- unique data identifier;
- способ работы с данными;- a way to work with data;
- тип операцией с данными;- type of operation with data;
- параметры модификации данных.- data modification parameters.
На этапе 230 выполняется резервное копирование данных в базу данных резервирования 150 в результате анализа определенных параметров перехваченных запросов.At
Анализ параметров перехваченных запросов осуществляется в определении возможности модификации данных (например, открытие файла с правами на запись, вызов функций, осуществляющих удаление файла и т.д.) и т.д.Analysis of the parameters of intercepted requests is carried out in determining the possibility of data modification (for example, opening a file with write permissions, calling functions that delete the file, etc.), etc.
На этапе 240 осуществляется определение параметров процесса, передавшего запрос на модификацию данных.At
В качестве параметров процесса могут выступать:The process parameters may include:
- путь к приложению, запустившему процесс;- path to the application that launched the process;
- описатель процесса;- process descriptor;
- журнал операций, выполняемых процессом.- a log of operations performed by the process.
На этапе 250 выполняется анализ параметров процесса при помощи правил с целью определения уровня угрозы процесса для целостности модифицируемых им данных. Этапы 210-250 продолжают выполняться по меньшей мере до тех пор, пока работа процесса не будет заблокирована на этапе 260.At 250, process parameters are analyzed using rules to determine the threat level of a process for the integrity of the data it modifies. Steps 210-250 continue to be performed at least until the operation of the process is blocked at
В качестве правил определения уровня угрозы процесса целостности модифицируемым данным может выступать возможность безвозвратной потери модифицируемых процессом данных, а именно:As the rules for determining the level of threat to the integrity of the process with the modified data, the possibility of the irretrievable loss of the data modified by the process can be used, namely:
- шифрование данных без возможности их расшифровки (например, из-за невозможности получить необходимый ключ расшифровки);- data encryption without the possibility of decryption (for example, due to the inability to obtain the necessary decryption key);
- перезаписи данных, т.е. записи новых данных на старые без возможности восстановления последних;- overwriting data, i.e. write new data to old without the possibility of restoring the latter;
- удаление данных.- data deletion.
На этапе 260 осуществляется блокировка работы процесса на основании результатов проведенного на этапе 250 анализа.At
Блокировка работы процесса может осуществляться через:Blocking the process can be done through:
- удаление процесса из памяти;- deleting a process from memory;
- остановку выполнения процесса;- stopping the process;
- добавление файла, запустившего процесс в карантин.- adding the file that started the process to quarantine.
На этапе 270 осуществляется восстановление из базы данных резервирования 150 модифицированных процессом данных.At
Рассмотрим работу способа восстановления модифицированных данных на примере восстановления файлов изображений («*.jpeg», «*.tiff» и т.д.) после того, как имена файлов были переименованы, а права на доступ к файлам были изменены программой-вымогателем. Программа-вымогатель представляет собой вредоносное ПО, ограничивающее доступ к файлам, таким как изображения, видео и прочим посредством их переименования, изменения расположения в файловой системе, смене прав доступа и т.д., и предлагающее пользователю возможность восстановления измененных файлов с помощью специальной платной программы.Let us consider the operation of the method for recovering modified data using the example of recovering image files (“* .jpeg”, “* .tiff”, etc.) after the file names have been renamed and the file permissions have been changed by the ransomware. The ransomware program is a malware that restricts access to files, such as images, videos, etc. by renaming them, changing the location in the file system, changing access rights, etc., and offering the user the option to recover modified files using a special paid programs.
Программа-вымогатель производит поиск на жестких дисках зараженного компьютера файлов изображений, после чего изменяет их расположение в файловой системе, а также изменяет права доступа, делая файлы недоступными для пользователей, не обладающих администраторскими правами. Когда программа-вымогатель посылает запрос на модификацию обрабатываемого файла изображения, состоящего из вызовов WinAPI-функций «::MoveFile» и «::SetNamedSecurityInfo», запрос перехватывается на этапе 210. После того, как запрос был перехвачен на этапе 220, осуществляется определение параметров запроса. В качестве параметров запроса, в данном случае, выступают старый и новый пути к файлу, тип файла (структура «SE_OBJECT_TYPE»), информация по безопасности (структура «SECURITY_INFORMATION») и т.д. Поскольку запросы направлены на изменения параметров файлов, то на этапе 230 принимается решение о резервном копировании изменяемых параметров в базу данных резервирования 150. На этапе 240 осуществляется определение параметров процесса, запущенного программой-вымогателем, таких как идентификатор процесса, журнал операций, выполняемых процессом и т.д. На этапе 250 выполняется анализ параметров процесса, запущенного программой-вымогателем. Поскольку процесс, не являясь доверенным с точки зрения средства обнаружения 160, осуществляющего этап 250 (например, системным файлом, подписанным доверенной цифровой подписью и т.п.), результаты анализа полученного журнала операций, выполненных процессом, таких как многочисленные запросы на изменения файлов изображений в разных папках, включая временные, указывают на то, что программа-вымогатель, запустившая анализируемый процесс, является вредоносной и несет потенциальный урон файлам пользователя (описанные выше действия характерны для вредоносных программ и не свойственны доверенным приложениям). После того, как программа-вымогатель была признана вредоносной, на этапе 260 осуществляется блокировка работы ее процесса. С этой целью процесс останавливается и удаляется из памяти, после чего файлы программы-вымогателя добавляются в карантин во избежание последующих повторных вызовов вредоносной программы. После чего на этапе 270 осуществляется восстановление измененных программой-вымогателем атрибутов файла и прав доступа.The ransomware program searches for image files on the hard drives of the infected computer, after which it changes their location in the file system, and also changes access rights, making the files inaccessible to users who do not have administrator rights. When the ransomware sends a request to modify the processed image file, consisting of calls to the WinAPI functions “:: MoveFile” and “:: SetNamedSecurityInfo”, the request is intercepted at
Таким образом все измененные программой-вымогателем файлы изображений не пострадали.Thus, all image files modified by the ransomware were not affected.
Фиг. 3 представляет пример компьютерной системы общего назначения, персональный компьютер или сервер 20, содержащий центральный процессор 21, системную память 22 и системную шину 23, которая содержит разные системные компоненты, в том числе память, связанную с центральным процессором 21. Системная шина 23 реализована, как любая известная из уровня техники шинная структура, содержащая в свою очередь память шины или контроллер памяти шины, периферийную шину и локальную шину, которая способна взаимодействовать с любой другой шинной архитектурой. Системная память содержит постоянное запоминающее устройство (ПЗУ) 24, память с произвольным доступом (ОЗУ) 25. Основная система ввода/вывода (BIOS) 26 содержит основные процедуры, которые обеспечивают передачу информации между элементами персонального компьютера 20, например, в момент загрузки операционной системы с использованием ПЗУ 24.FIG. 3 represents an example of a general purpose computer system, a personal computer or
Персональный компьютер 20 в свою очередь содержит жесткий диск 27 для чтения и записи данных, привод магнитных дисков 28 для чтения и записи на сменные магнитные диски 29 и оптический привод 30 для чтения и записи на сменные оптические диски 31, такие как CD-ROM, DVD-ROM и иные оптические носители информации. Жесткий диск 27, привод магнитных дисков 28, оптический привод 30 соединены с системной шиной 23 через интерфейс жесткого диска 32, интерфейс магнитных дисков 33 и интерфейс оптического привода 34 соответственно. Приводы и соответствующие компьютерные носители информации представляют собой энергонезависимые средства хранения компьютерных инструкций, структур данных, программных модулей и прочих данных персонального компьютера 20.The
Настоящее описание раскрывает реализацию системы, которая использует жесткий диск 27, сменный магнитный диск 29 и сменный оптический диск 31, но следует понимать, что возможно применение иных типов компьютерных носителей информации 56, которые способны хранить данные в доступной для чтения компьютером форме (твердотельные накопители, флеш-карты памяти, цифровые диски, память с произвольным доступом (ОЗУ) и т.п.), которые подключены к системной шине 23 через контроллер 55.The present description discloses an implementation of a system that uses a
Компьютер 20 имеет файловую систему 36, где хранится записанная операционная система 35, а также дополнительные программные приложения 37, другие программные модули 38 и данные программ 39. Пользователь имеет возможность вводить команды и информацию в персональный компьютер 20 посредством устройств ввода (клавиатуры 40, манипулятора «мышь» 42). Могут использоваться другие устройства ввода (не отображены): микрофон, джойстик, игровая консоль, сканер и т.п. Подобные устройства ввода по своему обычаю подключают к компьютерной системе 20 через последовательный порт 46, который в свою очередь подсоединен к системной шине, но могут быть подключены иным способом, например, при помощи параллельного порта, игрового порта или универсальной последовательной шины (USB). Монитор 47 или иной тип устройства отображения также подсоединен к системной шине 23 через интерфейс, такой как видеоадаптер 48. В дополнение к монитору 47, персональный компьютер может быть оснащен другими периферийными устройствами вывода (не отображены), например колонками, принтером и т.п.
Персональный компьютер 20 способен работать в сетевом окружении, при этом используется сетевое соединение с другим или несколькими удаленными компьютерами 49. Удаленный компьютер (или компьютеры) 49 являются такими же персональными компьютерами или серверами, которые имеют большинство или все упомянутые элементы, отмеченные ранее при описании существа персонального компьютера 20, представленного на Фиг. 3. В вычислительной сети могут присутствовать также и другие устройства, например маршрутизаторы, сетевые станции, пиринговые устройства или иные сетевые узлы.The
Сетевые соединения могут образовывать локальную вычислительную сеть (LAN) 50 и глобальную вычислительную сеть (WAN). Такие сети применяются в корпоративных компьютерных сетях, внутренних сетях компаний и, как правило, имеют доступ к сети Интернет. В LAN- или WAN-сетях персональный компьютер 20 подключен к локальной сети 50 через сетевой адаптер или сетевой интерфейс 51. При использовании сетей персональный компьютер 20 может использовать модем 54 или иные средства обеспечения связи с глобальной вычислительной сетью, такой как Интернет. Модем 54, который является внутренним или внешним устройством, подключен к системной шине 23 посредством последовательного порта 46. Следует уточнить, что сетевые соединения являются лишь примерными и не обязаны отображать точную конфигурацию сети, т.е. в действительности существуют иные способы установления соединения техническими средствами связи одного компьютера с другим.Network connections can form a local area network (LAN) 50 and a wide area network (WAN). Such networks are used in corporate computer networks, internal networks of companies and, as a rule, have access to the Internet. In LAN or WAN networks, the
В заключение следует отметить, что приведенные в описании сведения являются примерами, которые не ограничивают объем настоящего изобретения, определенного формулой.In conclusion, it should be noted that the information provided in the description are examples that do not limit the scope of the present invention defined by the claims.
Claims (27)
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2015121371A RU2622630C2 (en) | 2015-06-05 | 2015-06-05 | System and method of modified data recovery |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| RU2015121371A RU2622630C2 (en) | 2015-06-05 | 2015-06-05 | System and method of modified data recovery |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| RU2015121371A RU2015121371A (en) | 2016-12-20 |
| RU2622630C2 true RU2622630C2 (en) | 2017-06-16 |
Family
ID=57759208
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| RU2015121371A RU2622630C2 (en) | 2015-06-05 | 2015-06-05 | System and method of modified data recovery |
Country Status (1)
| Country | Link |
|---|---|
| RU (1) | RU2622630C2 (en) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2747474C2 (en) * | 2019-03-29 | 2021-05-05 | Акционерное общество "Лаборатория Касперского" | Method for asynchronous selection of compatible products |
| RU2770570C2 (en) * | 2020-08-24 | 2022-04-18 | Акционерное общество "Лаборатория Касперского" | System and method for determining process associated with malware encrypting computer system files |
Families Citing this family (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108519883A (en) * | 2018-03-26 | 2018-09-11 | 平安普惠企业管理有限公司 | Parameter amending method, device, terminal device and storage medium |
Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20050267916A1 (en) * | 2004-05-28 | 2005-12-01 | Fujitsu Limited | Data backup system and method |
| US20060161988A1 (en) * | 2005-01-14 | 2006-07-20 | Microsoft Corporation | Privacy friendly malware quarantines |
| US20070150957A1 (en) * | 2005-12-28 | 2007-06-28 | Microsoft Corporation | Malicious code infection cause-and-effect analysis |
| RU2461053C2 (en) * | 2007-03-23 | 2012-09-10 | Майкрософт Корпорейшн | Self-controlled processing device |
| US20130067576A1 (en) * | 2011-09-13 | 2013-03-14 | F-Secure Corporation | Restoration of file damage caused by malware |
| US8868979B1 (en) * | 2011-11-21 | 2014-10-21 | Trend Micro, Inc. | Host disaster recovery system |
| US20150058987A1 (en) * | 2013-08-22 | 2015-02-26 | F-Secure Corporation | Detecting File Encrypting Malware |
-
2015
- 2015-06-05 RU RU2015121371A patent/RU2622630C2/en active
Patent Citations (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20050267916A1 (en) * | 2004-05-28 | 2005-12-01 | Fujitsu Limited | Data backup system and method |
| US20060161988A1 (en) * | 2005-01-14 | 2006-07-20 | Microsoft Corporation | Privacy friendly malware quarantines |
| US20070150957A1 (en) * | 2005-12-28 | 2007-06-28 | Microsoft Corporation | Malicious code infection cause-and-effect analysis |
| RU2461053C2 (en) * | 2007-03-23 | 2012-09-10 | Майкрософт Корпорейшн | Self-controlled processing device |
| US20130067576A1 (en) * | 2011-09-13 | 2013-03-14 | F-Secure Corporation | Restoration of file damage caused by malware |
| US8868979B1 (en) * | 2011-11-21 | 2014-10-21 | Trend Micro, Inc. | Host disaster recovery system |
| US20150058987A1 (en) * | 2013-08-22 | 2015-02-26 | F-Secure Corporation | Detecting File Encrypting Malware |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| RU2747474C2 (en) * | 2019-03-29 | 2021-05-05 | Акционерное общество "Лаборатория Касперского" | Method for asynchronous selection of compatible products |
| RU2770570C2 (en) * | 2020-08-24 | 2022-04-18 | Акционерное общество "Лаборатория Касперского" | System and method for determining process associated with malware encrypting computer system files |
Also Published As
| Publication number | Publication date |
|---|---|
| RU2015121371A (en) | 2016-12-20 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| EP3107024B1 (en) | System and method of restoring modified data | |
| Kharraz et al. | Redemption: Real-time protection against ransomware at end-hosts | |
| US9317686B1 (en) | File backup to combat ransomware | |
| US9348984B2 (en) | Method and system for protecting confidential information | |
| US10291634B2 (en) | System and method for determining summary events of an attack | |
| US9888032B2 (en) | Method and system for mitigating the effects of ransomware | |
| US11947667B2 (en) | Preventing ransomware from encrypting files on a target machine | |
| RU2617631C2 (en) | Method for detection working malicious software runned from client, on server | |
| US11797677B2 (en) | Cloud based just in time memory analysis for malware detection | |
| US10079835B1 (en) | Systems and methods for data loss prevention of unidentifiable and unsupported object types | |
| US20180007069A1 (en) | Ransomware Protection For Cloud File Storage | |
| AU2006346809A1 (en) | Real time lockdown | |
| Kara | A basic malware analysis method | |
| Maniath et al. | Survey on prevention, mitigation and containment of ransomware attacks | |
| Ami et al. | Ransomware prevention using application authentication-based file access control | |
| JP2023534502A (en) | Advanced ransomware detection | |
| Lemmou et al. | A behavioural in‐depth analysis of ransomware infection | |
| RU2622630C2 (en) | System and method of modified data recovery | |
| Han et al. | On the effectiveness of behavior-based ransomware detection | |
| KR102538694B1 (en) | Data Protection System for Protecting Data from the Ransomware | |
| RU2770570C2 (en) | System and method for determining process associated with malware encrypting computer system files | |
| Hassan et al. | Ransomware overview | |
| CN112651023A (en) | Method for detecting and preventing malicious Lego software attacks | |
| Oz et al. | {RøB}: Ransomware over Modern Web Browsers | |
| Yu et al. | Fight Malware Like Malware: A New Defense Method Against Crypto Ransomware |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| HE9A | Changing address for correspondence with an applicant |