WO2012022211A1 - 一种清除恶意程序的方法和装置 - Google Patents
一种清除恶意程序的方法和装置 Download PDFInfo
- Publication number
- WO2012022211A1 WO2012022211A1 PCT/CN2011/077366 CN2011077366W WO2012022211A1 WO 2012022211 A1 WO2012022211 A1 WO 2012022211A1 CN 2011077366 W CN2011077366 W CN 2011077366W WO 2012022211 A1 WO2012022211 A1 WO 2012022211A1
- Authority
- WO
- WIPO (PCT)
- Prior art keywords
- file
- information
- infected
- database
- matching
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Ceased
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING OR CALCULATING; COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
- G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
- G06F21/55—Detecting local intrusion or implementing counter-measures
- G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
- G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
Definitions
- the present invention relates to the field of information security technologies, and in particular, to a method and apparatus for removing malicious programs.
- malware malware
- a malicious program is a general term that refers to any software program that is deliberately created to perform unauthorized and often harmful behavior.
- script viruses batch, windows shell, java, etc.
- Trojans crime software
- spyware and adware etc.
- malicious programs There are some examples that can be called malicious programs.
- the present invention refers to objects such as files or web pages that are not infected or destroyed or controlled by malicious programs, and is generally referred to as uninfected files; objects such as files or web pages that have been infected or destroyed or controlled by malicious programs are collectively referred to as dyes. Poison file.
- a malicious program enters the computer and is executed, its performance is varied.
- the following mainly uses a virus as an example.
- a normal computer program generally does not force its own code to be connected to other programs, but the virus can force its own code to be transmitted to all uninfected programs that conform to its infectious conditions.
- the computer virus searches for other programs or storage media that meet its infectious conditions, and then inserts its own code into the target to achieve self-propagation.
- the virus will spread rapidly on this computer, and a large number of files (usually executable files) will be infected.
- the infected file becomes a new source of infection, and then data exchange with other machines or through the network, the virus will continue to spread. It is precisely because the computer virus achieves the purpose of spreading and spreading by modifying the disk sector information or the content of the file and embedding itself into it. Therefore, the existing anti-virus software performs the method of "clearing the virus" from the file of the infected virus.
- the virus code is separated and removed to restore the undamaged original file, such as the technical solution described in Chinese Patent Application No. 01117726.8.
- the existing method of virus removal is not always effective, because when some code in the infected file is removed, the original program may not be able to run, and in some cases, some system files may be caused. Unable to execute, so that the user's computer system cannot be opened and entered normally. Therefore, the user sometimes does not dare to perform the virus removal action easily.
- the technical problem to be solved by the present invention is to provide a method and device for removing malicious programs, to more effectively and safely remove malicious programs such as computer viruses or Trojans, and restore files.
- the present invention provides a method for removing a malicious program, including the following steps:
- the information of the infected file is matched with the information of the untained file stored in the database;
- the uninfected file corresponding to the unstained file information in the database is loaded into the client computer, and the infected file is replaced.
- the step of constructing a database may include:
- the file and its corresponding file information are collected by the client computer and transmitted to the server; the collected file is authenticated by the server, and the file and its corresponding file information are stored in the database.
- the step of collecting the file and the corresponding file information by the client computer may further include: A collection file list is created on the client, and if the file has been collected according to the file information, the collection is not repeated.
- the step of authenticating the collected files by the server may further include:
- a list of authentication files is created on the server. If the file is verified to be authenticated based on the file information, the authentication is not repeated.
- the step of matching the information of the infected file with the information of the unstained file stored in the database may include:
- the collected information of the infected file is matched with the untained file information stored in the database, and the matching is determined according to a matching rule determined in advance.
- the step of replacing the infected file may include:
- the infected file is deleted, and the unstained file is installed according to the installation path.
- the file information may include at least one of a file name, a file path, a file version, an operating system, an operating system version, and associated application component information.
- the file information may further include a file fingerprint.
- the method may further include the steps of:
- the document fingerprint information of the uninfected documents is whitelisted, and the document fingerprint information of the infected documents is blacklisted to assist in black and white discrimination of unknown programs.
- the present invention further provides an apparatus for removing malicious programs, including:
- a database module configured to store a file with an uninfected virus and corresponding file information
- a matching module configured to: after confirming that a file in the client computer is infected, storing the information of the infected file in the The unstained file information in the database is matched;
- a replacement module configured to: when the matching is successful, loading an uninfected file corresponding to the untainted file information in the database into the client computer, and replacing the infected file.
- the device may further include:
- a client collection unit configured to collect files and corresponding file information through the client computer, and transmit the information to the server;
- the server-side authentication unit is configured to authenticate the collected file through the server, and by using the authentication, store the file and its corresponding file information in the database.
- the client collection unit may be further configured to establish a collection file list on the client, and if the file has been collected according to the file information, the collection is not repeated.
- the server-side authentication unit may further include: establishing an authentication file list on the server end, and confirming that the file has been authenticated according to the file information, and the authentication is not repeated.
- the matching module may collect information about the infected file according to the information type of the un-infected file stored in the database, and store the collected information of the infected file in the database. Corresponding matching is performed on the uninfected file information, and whether the matching is successful according to the matching rule established in advance.
- the replacement module may load the unstained file into the client computer according to the installation path of the infected file in the client computer, and replace the infected file.
- the file information may include at least one of a file name, a file path, a file version, an operating system, an operating system version, and associated application component information.
- the file information may further include a file fingerprint.
- the database further includes a black/white list, and the file fingerprint information of the uninfected file is whitelisted, and the file fingerprint information of the infected file is blacklisted to assist in black and white discrimination on the unknown program.
- the invention can effectively avoid the problem that the file is damaged or cannot be executed after the malicious program such as the computer virus or the Trojan is cleared, and the computer user is convenient for processing the infected file, thereby providing a safer and more effective virus removal solution.
- FIG. 1 is a flowchart of a method for clearing a malicious program according to an embodiment of the invention.
- 2 is a schematic flow chart of constructing a database according to an embodiment of the invention.
- FIG. 3 is a schematic diagram of a file information matching process according to an embodiment of the present invention.
- FIG. 4 is a schematic flow chart of a replacement file according to an embodiment of the invention.
- FIG. 5 is a schematic diagram of an apparatus for clearing a computer virus in an infected file according to an embodiment of the invention.
- FIG. 6 is a schematic diagram of database file collection according to an embodiment of the invention.
- the core idea of the present invention is that the method of removing the virus code is no longer used, but the infected file is directly replaced.
- a file database needs to be built in advance, and the information of the file is collected.
- the file information can be used to search for a good file of the uninsulated virus stored in the database, and the good file is downloaded to the infected computer of the infected virus, and the infected file is replaced. .
- FIG. 1 is a flow chart of a method for removing a malicious program according to an embodiment of the present invention.
- a database is constructed, where the uninfected file and its corresponding file information are stored in the database (step 102 ); After confirming that a file in the client computer is infected, matching the information of the infected file with the untained file information stored in the database (step 104); if the matching is successful, the database is The unstained file corresponding to the unstained file information is loaded into the client computer, and the infected file is replaced (step 106).
- the database of the present invention can be built on a local client or in a local area network. Preferably, it is a data center built on the server side (or cloud side).
- the un-infected file stored in the database may be a file that has been manually selected and verified in advance.
- the file may be automatically collected by the client computer, and then verified by the server and stored in the database.
- 2 is a schematic flowchart of constructing a database according to an embodiment of the present invention.
- a file is collected by a client computer and corresponding file information, and transmitted to a server (step 202); and then collected by a server.
- the obtained file is authenticated, and the file and its corresponding file information are stored in the database by authentication (step 204).
- the authentication of the above-mentioned file is not performed by the whitelist verification, or the correspondence between the file fingerprint and the file name, or by the virtual machine verification. The present invention does not limit this.
- a collection file list may be locally established on the client computer, and it is confirmed according to the file information whether the file has been collected, and if it has been collected, the collection is not repeated.
- an authentication file list may be established on the server side, and according to the file information, it is confirmed that the file has been authenticated, and if the authentication has been performed, the authentication is not repeated.
- the file name and fingerprint information may be recorded in the file list. Once collected or authenticated, a record may be added to the list for comparison of subsequent files.
- the specific operation mode of the step is not performed by the present invention. limit.
- the invention can be used to match the information of the infected file with the information of the untained file stored in the database, so as to find and dye the infected file.
- the above-mentioned virus checking software can confirm the infected documents through various methods such as signature scanning, behavior judgment, cloud killing, etc., and the present invention does not limit this, and the information of the infected documents required by the matching step of the present invention,
- the file information obtained by the background anti-virus software for judging the infected file can be used as the information needed for matching, thereby improving efficiency.
- the information collection operation of the infected file may be performed before matching, please refer to FIG. 3, which is implemented according to the present invention.
- the file information matching process diagram is as follows: firstly, according to the information type of the uninfected file stored in the database, the information of the infected file is correspondingly collected (step 302); and then the collected information of the infected file is The un-infected file information stored in the database is correspondingly matched, and it is determined whether the matching is successful according to a matching rule established in advance (step 304).
- the file information of the present invention may include a file name, a file path, a file version, an operating system, an operating system version, or an associated application component, etc., and may also be any combination of the foregoing information, including at least one of them.
- the matching rule can make different matching requirements according to the importance of the file. For example, for the system file, the file information can be all agreed to be considered as a successful match; and for the general application file, if the version is inconsistent, if it is stored in If the base version or standard version is in the database, the match can be considered successful.
- the above document information types and rules are merely examples, and the present invention does not limit this.
- a schematic diagram of a replacement file flow according to an embodiment of the present invention first determines an installation path of an infected file in the client computer (step 402); then deletes the infected file, and installs according to the installation. The path installs the uninfected file (step 404).
- the installation path of the infected file can be directly determined. If the file path information is not included, the collection action can be performed again.
- the collected file information may further include file fingerprint information.
- the file fingerprint is a 32-bit feature code calculated using, for example, the MD5 file information digest algorithm, or a feature code calculated using an algorithm such as SHA1 or CRC, which is equivalent to calculating a file fingerprint for each file, which is used to identify the unique file. Sex.
- the file fingerprint information of the uninfected file can be whitelisted, and the fingerprint information of the infected file is blacklisted to assist in black and white discrimination of the unknown program.
- FIG. 5 it is a schematic diagram of a device for clearing a computer virus in an infected file according to an embodiment of the present invention, a database module 502, a matching module 504, and a replacement module 506.
- the database module 502 is configured to store the uninfected file and the corresponding file information.
- the matching module 504 is configured to: after confirming that a file in the client computer is infected, storing and storing the information of the infected file in the The unstained file information in the database is matched; the replacement module 506 is configured to: when the matching is successful, load the uninfected file corresponding to the untained file information in the database into the client computer, and replace the Said the poisoning documents.
- FIG. 6 is a schematic diagram of database file collection according to an embodiment of the present invention, including a database 502, a client collection unit 602, and a server authentication unit 604. .
- the client collection unit 602 is configured to collect files and corresponding files through the client computer.
- the file information is transmitted to the server.
- the server-side authentication unit 604 is configured to authenticate the collected file through the server. After the authentication, the file and its corresponding file information are stored in the database.
- the client collecting unit 602 is further configured to establish a collection file list on the client, and confirm that the file has been collected according to the file information, and the collection is not repeated.
- the server-side authentication unit 604 further includes: establishing a list of authentication files on the server side, and confirming that the file has been authenticated according to the file information, and the authentication is not repeated.
- the matching module of the present invention may collect information of the infected file according to the type of information of the uninfected file stored in the database, and collect the information.
- the information of the infected file is matched with the untained file information stored in the database, and the matching is determined according to a matching rule determined in advance.
- the replacement module may load the unstained file into the client computer according to the installation path of the infected file in the client computer, and replace the infected file.
- file information may include file fingerprints in addition to any combination of file name, file path, file version, operating system, operating system version, and associated application components.
- a black/white list may be further recorded in the database, and the file fingerprint information of the uninfected file is whitelisted, and the file fingerprint information of the infected file is blacklisted to assist Black and white discrimination of unknown programs.
- the device is also applicable and will not be described here.
- the invention provides a safer and more effective malicious program clearing scheme, which ensures the safe handling of the infected files by the computer user, and does not cause the file to be damaged or cannot be executed after the malicious program such as the computer virus or the Trojan is cleared.
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Theoretical Computer Science (AREA)
- Virology (AREA)
- Computer Hardware Design (AREA)
- General Engineering & Computer Science (AREA)
- Health & Medical Sciences (AREA)
- Software Systems (AREA)
- General Health & Medical Sciences (AREA)
- General Physics & Mathematics (AREA)
- Physics & Mathematics (AREA)
- Storage Device Security (AREA)
- Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
Description
一种清除恶意程序的方法和装置
技术领域
本发明涉及信息安全技术领域， 尤其涉及一种清除恶意程序的方法和装 置。
背景技术
随着计算机技术在社会生活中各个领域的广泛运用，恶意程序（Malwar, malicious software )也如同其附属品一样接踵而来。 由于这些恶意程序所具 有的感染性、 复制性及破坏性， 其已成为困扰计算机使用的一个重大问题。
恶意程序是一个概括性的术语， 指任何故意创建用来执行未经授权并通 常是有害行为的软件程序。 计算机病毒、 后门程序、 键盘记录器、 密码盗取 者、 Word和 Excel宏病毒、引导区病毒、脚本病毒 ( batch, windows shell, java 等） 、 木马、 犯罪软件、 间谍软件和广告软件等等， 都是一些可以称之为恶 意程序的例子。
为叙述方便， 本发明将未被恶意程序感染或破坏或控制的文件或网页等 对象， 统称为未染毒文件； 将已经被恶意程序感染或破坏或控制的文件或网 页等对象， 统称为染毒文件。
恶意程序一旦进入计算机并得以执行， 其表现是多种多样的， 下面主要 以病毒作为例子进行说明。 例如， 正常的计算机程序一般是不会将自身的代 码强行连接到其他程序之上的， 而病毒却能使自身的代码强行传染到一切符 合其传染条件的未受到传染的程序之上。
计算机病毒一旦进入计算机并得以执行， 它就会搜寻其他符合其传染条 件的程序或存储介质， 确定目标后再将自身代码插入其中， 达到自我繁殖的 目的。 只要一台计算机染毒， 如不及时处理， 那么病毒就会在这台计算机上 迅速扩散， 其中的大量文件（一般是可执行文件）会被感染。 而被感染的文 件又成了新的传染源， 再与其他机器进行数据交换或通过网络接触， 病毒会 继续进行传染。
正是由于计算机病毒通过修改磁盘扇区信息或文件内容并把自身嵌入 到其中的方法达到传播和扩散的目的， 因此， 现有的杀毒软件执行"清除病 毒"的方法是从被感染病毒的文件中分离出并去除病毒代码， 以还原出未经 损坏的原文件， 例如在 01117726.8号中国专利申请中介绍的技术方案。
然而， 现有的这种清除病毒的方法并不总是有效的， 原因在于当去除被 感染文件中的某些代码后， 有可能会造成原程序无法运行， 严重时还会造成 某些系统文件无法执行，从而无法正常开启和进入用户的计算机系统， 因此， 用户有时并不敢轻易的执行病毒清除动作。
因此， 如何更好的清除恶意程序， 还原文件， 已经成为一个困扰信息安 全行业很久的问题， 亟待业界提出更好的解决方案。
发明内容
本发明所要解决的技术问题在于提供一种清除恶意程序的方法和装置， 以更加有效、 安全的清除计算机病毒或木马等恶意程序， 还原文件。
为解决上述技术问题， 本发明提供一种清除恶意程序的方法， 包括如下 步骤：
构建一数据库， 所述数据库中存储有未染毒的文件及其对应的文件信 息；
当确认客户端计算机中某个文件被染毒后， 将该染毒文件的信息与存储 于所述数据库中的未染毒文件信息进行匹配；
如果匹配成功， 则将所述数据库中的未染毒文件信息对应的未染毒文件 加载至所述客户端计算机中， 替换所述染毒文件。
其中， 所述构建一数据库的步骤可以包括：
由客户端计算机收集文件及其对应的文件信息， 并传送至服务器端； 由服务器端对收集到的文件进行认证， 通过认证的， 将该文件及其对应 的文件信息存储入数据库中。
其中， 所述由客户端计算机收集文件及其对应的文件信息步骤， 可以进 一步包括：
在客户端建立一收集文件列表， 根据文件信息确认该文件已经收集过 的， 则不再重复收集。
其中， 所述由服务器端对收集到的文件进行认证的步骤， 可以进一步包 括：
在服务器端建立一认证文件列表， 根据文件信息确认该文件已经认证过 的， 则不再重复认证。
其中， 所述将该染毒文件的信息与存储于所述数据库中的未染毒文件信 息进行匹配的步骤， 可以包括：
根据存储于数据库中的未染毒文件的信息类型， 对应收集该染毒文件的 信息；
将收集到的该染毒文件的信息与存储于所述数据库中的未染毒文件信 息进行对应匹配， 根据事先制定的匹配规则确定是否匹配成功。
其中， 所述替换所述染毒文件的步骤， 可以包括：
确定染毒文件在该客户端计算机中的安装路径；
删除染毒文件， 并根据所述安装路径安装所述未染毒文件。
其中， 所述文件信息可以包括文件名， 文件路径， 文件版本， 操作系统， 操作系统版本， 及相关联到的应用程序组件信息中的至少其中之一。
其中， 所述文件信息可以进一步包括文件指纹。
其中， 所述方法可以进一步包括步骤：
将未染毒文件的文件指紋信息列入白名单， 并将染毒文件的文件指纹信 息列入黑名单， 以辅助对未知程序的黑白判别。
本发明进而还提供一种清除恶意程序的装置， 包括：
数据库模块， 用于存储有未感染病毒的文件及其对应的文件信息； 匹配模块， 用于当确认客户端计算机中某个文件被染毒后， 将该染毒文 件的信息与存储于所述数据库中的未染毒文件信息进行匹配；
替换模块， 用于当匹配成功时， 将所述数据库中的未染毒文件信息对应 的未染毒文件加载至所述客户端计算机中， 替换所述染毒文件。
其中， 所述装置可以进一步包括：
客户端收集单元， 用于通过客户端计算机收集文件及其对应的文件信 息， 并传送至服务器端；
服务器端认证单元， 用于通过服务器端对收集到的文件进行认证， 通过 认证的， 将该文件及其对应的文件信息存储入数据库中。
其中， 所述客户端收集单元， 可进一步用于在客户端建立一收集文件列 表， 根据文件信息确认该文件已经收集过的， 则不再重复收集。
其中， 所述服务器端认证单元， 可进一步包括在服务器端建立一认证文 件列表， 根据文件信息确认该文件已经认证过的， 则不再重复认证。
其中，所述匹配模块，可根据存储于数据库中的未染毒文件的信息类型， 对应收集该染毒文件的信息， 并将收集到的该染毒文件的信息与存储于所述 数据库中的未染毒文件信息进行对应匹配， 根据事先制定的匹配规则确定是 否匹配成功。
其中，所述替换模块，可根据染毒文件在该客户端计算机中的安装路径， 将未染毒文件加载至所述客户端计算机中， 替换所述染毒文件。
其中， 所述文件信息可以包括文件名， 文件路径， 文件版本， 操作系统， 操作系统版本， 及相关联到的应用程序组件信息中的至少其中之一。
其中， 所述文件信息可进一步包括文件指纹。
其中， 所述数据库进一步包括黑 /白名单， 所述未染毒文件的文件指纹信 息列入白名单， 所述染毒文件的文件指紋信息列入黑名单， 以辅助对未知程 序的黑白判别。
利用本发明， 可有效避免在清除计算机病毒或木马等恶意程序后导致文 件受损， 或无法执行的问题， 方便了计算机用户对染毒文件的处理， 提供了 更加安全有效的病毒清除方案。 附图概述
图 1为根据本发明实施例所述的清除恶意程序的方法流程图。
图 2为根据本发明实施例所述的构建一数据库的流程示意图。
图 3为根据本发明实施例所述的文件信息匹配流程示意图。
图 4为根据本发明实施例所述的替换文件流程示意图。
图 5为根据本发明实施例所述的清除受感染文件中的计算机病毒的装置 示意图。
图 6为根据本发明实施例所述的数据库文件收集示意图。
本发明的较佳实施方式
下面参照附图对本发明做进一步的说明。
针对现有清除恶意程序的方法的弊端， 本发明的核心思想就是不再使用 去除病毒代码的方式， 而是直接替换染毒文件， 为此需要事先构建一个文件 数据库， 并注意收集好文件的信息， 当可以确定被感染文件及其信息时， 可 以通过文件信息在数据库中查找事先存储的未被感染病毒的好文件， 并将好 文件下载至被感染病毒的客户端计算机后， 替换染毒文件。
请参考图 1 , 为根据本发明实施例所述的清除恶意程序的方法流程图， 首先构建一数据库， 所述数据库中存储有未感染病毒的文件及其对应的文件 信息 （步骤 102 ) ； 当确认客户端计算机中某个文件被染毒后， 将该染毒文 件的信息与存储于所述数据库中的未染毒文件信息进行匹配（步骤 104 ) ； 如果匹配成功， 则将所述数据库中的未染毒文件信息对应的未染毒文件加载 至所述客户端计算机中， 替换所述染毒文件（步骤 106 ) 。
本发明所述数据库可以构建在本地客户端， 也可以构建在局域网内， 优 选的， 是构建在服务器端 （或云端） 的数据中心。
所述数据库中存储的未染毒文件， 可以是事先经过人工挑选并验证的文 件， 优选的， 也可以是利用客户端计算机本地自动收集后， 由服务器端进行 验证后存储在数据库中， 如图 2所示， 为根据本发明实施例所述的构建一数 据库的流程示意图， 首先由客户端计算机收集文件及其对应的文件信息， 并 传送至服务器端 （步骤 202 ) ； 然后由服务器端对收集到的文件进行认证， 通过认证的， 将该文件及其对应的文件信息存储入数据库中 （步骤 204 ) 。
上述这种文件未染毒的认证， 可以是通过白名单验证， 或文件指纹与文 件名称的对应， 或经过虚拟机验证等方式进行， 本发明对此不做限制。
进一步优选的， 上述步骤 202中， 还可以在客户端计算机本地建立一收 集文件列表， 根据文件信息确认该文件是否已经被收集过， 如果已经收集过 的， 则不再重复收集。
同理， 上述步骤 204中， 还可以在服务器端建立一认证文件列表， 根据 文件信息确认该文件已经经过认证， 已经认证过的， 则不再重复认证。
上述文件列表中可以记录有文件的名称及指纹信息， 一旦经过收集或认 证后， 即可在列表中添加一条记录， 以供后续文件的比对判断， 本发明对该 步骤的具体操作方式不做限制。
当利用查毒软件确定客户端计算机中的染毒文件后， 即可利用本发明， 将该染毒文件的信息与存储于所述数据库中的未染毒文件信息进行匹配， 以 便查找到与染毒文件对应的未染毒文件。
上述查毒软件对染毒文件的确认， 可以通过特征码扫描， 行为判断， 云 查杀等多种方式， 本发明对此不做限制， 而本发明的匹配步骤所需要的染毒 文件信息， 即可利用后台杀毒软件对染毒文件的判断时所获取的文件信息作 为匹配所需要的信息， 从而提高效率。
当上述对染毒文件的判断所需要的信息不足以提供本发明的匹配步骤 所需要的信息时， 可先执行染毒文件信息收集动作后再进行匹配， 请参考图 3 , 为根据本发明实施例所述的文件信息匹配流程示意图， 首先根据存储于 数据库中的未染毒文件的信息类型，对应收集该染毒文件的信息（步骤 302 ); 然后将收集到的该染毒文件的信息与存储于所述数据库中的未染毒文件信 息进行对应匹配， 根据事先制定的匹配规则确定是否匹配成功（步骤 304 )。
本发明所述的文件信息可以包括文件名， 文件路径， 文件版本， 操作系 统， 操作系统版本， 或相关联到的应用程序组件等， 也可以是前述信息的任 何组合， 至少包括其中之一。
如果在数据库中存储的未染毒文件信息包括了文件名、 文件路径及文件 版本信息， 则对应收集染毒文件的文件名、 文件路径及文件版本信息进行匹
配； 而匹配规则可以根据文件的重要程度而制定不同的匹配要求， 例如， 对 于系统文件， 可以要求文件信息全部一致才认为匹配成功； 而对于一般应用 程序文件，在版本不一致时，如果存储于数据库中的是基本版本或标准版本， 则可以认为匹配成功。 上述文件信息类型及规则仅为例举， 本发明对此不作 任何限制。
在匹配成功后， 即可通过替换文件达到清除病毒的目的。 如图 4所示， 为根据本发明实施例所述的替换文件流程示意图， 首先确定染毒文件在该客 户端计算机中的安装路径（步骤 402 ) ； 然后删除染毒文件， 并根据所述安 装路径安装所述未染毒文件 （步骤 404 ) 。
如果上述收集的染毒文件信息中包含了文件路径信息， 则直接可以确定 染毒文件的安装路径，如果未包含文件路径信息，则可以再次执行收集动作。
此外， 所述收集的文件信息还可以包括文件指纹信息。 文件指纹是使用 例如 MD5文件信息摘要算法算出的一个 32位的特征编码， 或使用 SHA1或 CRC等算法算出的特征编码， 其相当于为每一个文件计算出一个文件指纹， 用于标识文件的唯一性。
这样， 可以将未染毒文件的文件指紋信息列入白名单， 并将染毒文件的 文件指纹信息列入黑名单， 以辅助对未知程序的黑白判别。
参考图 5 , 为根据本发明实施例所述的清除受感染文件中的计算机病毒 的装置示意图， 数据库模块 502, 匹配模块 504, 及替换模块 506。
其中，数据库模块 502用于存储未感染病毒的文件及其对应的文件信息； 匹配模块 504用于当确认客户端计算机中某个文件被染毒后， 将该染毒文件 的信息与存储于所述数据库中的未染毒文件信息进行匹配； 替换模块 506用 于当匹配成功时， 将所述数据库中的未染毒文件信息对应的未染毒文件加载 至所述客户端计算机中， 替换所述染毒文件。
同样， 数据库中的文件及信息可以经由客户端计算机自动收集， 如图 6 所示， 为根据本发明实施例所述的数据库文件收集示意图， 包括数据库 502, 客户端收集单元 602, 服务器认证单元 604。
其中， 客户端收集单元 602用于通过客户端计算机收集文件及其对应的
文件信息， 并传送至服务器端； 服务器端认证单元 604用于通过服务器端对 收集到的文件进行认证， 通过认证的， 将该文件及其对应的文件信息存储入 数据库中。
优选的， 所述客户端收集单元 602, 进一步用于在客户端建立一收集文 件列表， 根据文件信息确认该文件已经收集过的， 则不再重复收集。
优选的， 所述服务器端认证单元 604, 进一步包括在服务器端建立一认 证文件列表， 根据文件信息确认该文件已经认证过的， 则不再重复认证。
与上述在本发明的方法中描述的技术方案类似， 本发明的所述匹配模 块， 可以根据存储于数据库中的未染毒文件的信息类型， 对应收集该染毒文 件的信息， 并将收集到的该染毒文件的信息与存储于所述数据库中的未染毒 文件信息进行对应匹配， 根据事先制定的匹配规则确定是否匹配成功。
所述替换模块， 可以根据染毒文件在该客户端计算机中的安装路径， 将 未染毒文件加载至所述客户端计算机中， 替换所述染毒文件。
此外， 所述文件信息除可以包含文件名， 文件路径， 文件版本， 操作系 统， 操作系统版本， 及相关联到的应用程序组件等之任意组合外， 还可以包 括文件指纹。
相应的， 所述数据库中可进一步记录有黑 /白名单， 并将所述未染毒文件 的文件指紋信息列入白名单， 将所述染毒文件的文件指紋信息列入黑名单， 以辅助对未知程序的黑白判别。 装置同样适用， 在此不再赘述。
工业实用性
本发明提供了更为安全有效的恶意程序清除方案， 保障了计算机用户对 染毒文件的安全处理， 在清除计算机病毒或木马等恶意程序后， 不会导致文 件受损， 或无法执行的问题。
Claims
1、 一种清除恶意程序的方法， 其特征在于， 包括如下步骤：
构建一数据库， 所述数据库中存储有未染毒的文件及其对应的文件信 息；
当确认客户端计算机中某个文件被染毒后， 将该染毒文件的信息与存储 于所述数据库中的未染毒文件信息进行匹配；
如果匹配成功， 则将所述数据库中的未染毒文件信息对应的未染毒文件 加载至所述客户端计算机中， 替换所述染毒文件。
2、 如权利要求 1 所述的方法， 其特征在于， 所述构建一数据库的步骤 包括：
由客户端计算机收集文件及其对应的文件信息， 并传送至服务器端； 由服务器端对收集到的文件进行认证， 通过认证的， 将该文件及其对应 的文件信息存储入数据库中。
3、 如权利要求 2所述的方法， 其特征在于， 所述由客户端计算机收集 文件及其对应的文件信息步骤， 进一步包括：
在客户端建立一收集文件列表， 根据文件信息确认该文件已经收集过 的， 则不再重复收集。
4、 如权利要求 2所述的方法， 其特征在于， 所述由服务器端对收集到 的文件进行认证的步骤， 进一步包括：
在服务器端建立一认证文件列表， 根据文件信息确认该文件已经认证过 的， 则不再重复认证。
5、 如权利要求 1 所述的方法， 其特征在于， 所述将该染毒文件的信息 与存储于所述数据库中的未染毒文件信息进行匹配的步骤， 包括：
根据存储于数据库中的未染毒文件的信息类型， 对应收集该染毒文件的 信息；
将收集到的该染毒文件的信息与存储于所述数据库中的未染毒文件信 息进行对应匹配， 根据事先制定的匹配规则确定是否匹配成功。
6、 如权利要求 1 所述的方法， 其特征在于， 所述替换所述染毒文件的 步骤， 包括：
确定染毒文件在该客户端计算机中的安装路径；
删除染毒文件， 并根据所述安装路径安装所述未染毒文件。
7、 如权利要求 1所述的方法， 其特征在于， 所述文件信息包括文件名， 文件路径， 文件版本， 操作系统， 操作系统版本， 及相关联到的应用程序组 件信息中的至少其中之一。
8、 如权利要求 7所述的方法， 其特征在于， 所述文件信息进一步包括 文件指纹。
9、 如权利要求 8所述的方法， 其特征在于， 进一步包括步骤： 将未染毒文件的文件指紋信息列入白名单， 并将染毒文件的文件指纹信 息列入黑名单， 以辅助对未知程序的黑白判别。
10、 一种清除恶意程序的装置， 其特征在于， 包括：
数据库模块， 用于存储有未感染病毒的文件及其对应的文件信息； 匹配模块， 用于当确认客户端计算机中某个文件被染毒后， 将该染毒文 件的信息与存储于所述数据库中的未染毒文件信息进行匹配；
替换模块， 用于当匹配成功时， 将所述数据库中的未染毒文件信息对应 的未染毒文件加载至所述客户端计算机中， 替换所述染毒文件。
11、 如权利要求 10所述的装置， 其特征在于， 进一步包括：
客户端收集单元， 用于通过客户端计算机收集文件及其对应的文件信 息， 并传送至服务器端；
服务器端认证单元， 用于通过服务器端对收集到的文件进行认证， 通过 认证的， 将该文件及其对应的文件信息存储入数据库中。
12、 如权利要求 11 所述的装置， 其特征在于， 所述客户端收集单元， 进一步用于在客户端建立一收集文件列表， 根据文件信息确认该文件已经收 集过的， 则不再重复收集。
13、 如权利要求 11所述的装置， 其特征在于， 所述服务器端认证单元， 进一步包括在服务器端建立一认证文件列表， 根据文件信息确认该文件已经 认证过的， 则不再重复认证。
14、 如权利要求 10所述的装置， 其特征在于， 所述匹配模块， 根据存 储于数据库中的未染毒文件的信息类型， 对应收集该染毒文件的信息， 并将 收集到的该染毒文件的信息与存储于所述数据库中的未染毒文件信息进行 对应匹配， 根据事先制定的匹配规则确定是否匹配成功。
15、 如权利要求 10所述的装置， 其特征在于， 所述替换模块， 根据染 毒文件在该客户端计算机中的安装路径， 将未染毒文件加载至所述客户端计 算机中， 替换所述染毒文件。
16、 如权利要求 10所述的装置， 其特征在于， 所述文件信息包括文件 名， 文件路径， 文件版本， 操作系统， 操作系统版本， 及相关联到的应用程 序组件信息中的至少其中之一。
17、 如权利要求 16所述的装置， 其特征在于， 所述文件信息进一步包 括文件指纹。
18、 如权利要求 17 所述的装置， 其特征在于， 所述数据库进一步包括 黑 /白名单， 所述未染毒文件的文件指纹信息列入白名单， 所述染毒文件的文 件指紋信息列入黑名单， 以辅助对未知程序的黑白判别。
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201010256960.6A CN101950336B (zh) | 2010-08-18 | 2010-08-18 | 一种清除恶意程序的方法和装置 |
| CN201010256960.6 | 2010-08-18 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| WO2012022211A1 true WO2012022211A1 (zh) | 2012-02-23 |
Family
ID=43453835
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| PCT/CN2011/077366 Ceased WO2012022211A1 (zh) | 2010-08-18 | 2011-07-20 | 一种清除恶意程序的方法和装置 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN101950336B (zh) |
| WO (1) | WO2012022211A1 (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2014036888A1 (en) * | 2012-09-07 | 2014-03-13 | Tencent Technology (Shenzhen) Company Limited | Method, device, and system for processing virus-infected applications |
Families Citing this family (23)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101950336B (zh) * | 2010-08-18 | 2015-08-26 | 北京奇虎科技有限公司 | 一种清除恶意程序的方法和装置 |
| CN102957667A (zh) * | 2011-08-23 | 2013-03-06 | 潘燕辉 | 一种基于云计算的智能替换文件的方法 |
| CN102750463A (zh) * | 2011-12-16 | 2012-10-24 | 北京安天电子设备有限公司 | 一种提高重复扫描文件速度的系统及方法 |
| CN103259806B (zh) * | 2012-02-15 | 2016-08-31 | 深圳市证通电子股份有限公司 | Android智能终端应用程序安全检测的方法及系统 |
| CN103425927A (zh) * | 2012-05-16 | 2013-12-04 | 腾讯科技（深圳）有限公司 | 计算机文档病毒清除装置及清除方法 |
| CN102722680B (zh) * | 2012-06-07 | 2014-11-05 | 腾讯科技（深圳）有限公司 | 清除恶意程序的方法和系统 |
| CN102779249B (zh) * | 2012-06-28 | 2015-07-29 | 北京奇虎科技有限公司 | 恶意程序检测方法及扫描引擎 |
| CN102737192B (zh) * | 2012-07-09 | 2015-11-25 | 江南大学 | 一种基于云存储的可信程序操作文件备份方法 |
| CN103632091B (zh) * | 2012-08-21 | 2017-08-25 | 腾讯科技（深圳）有限公司 | 恶意特征提取方法、装置及存储介质 |
| CN103679016A (zh) * | 2012-09-04 | 2014-03-26 | 珠海市君天电子科技有限公司 | 手机恶意程序的处理方法和系统 |
| CN102902922B (zh) * | 2012-09-29 | 2016-04-20 | 北京奇虎科技有限公司 | 文件修复方法和系统 |
| CN102902923B (zh) * | 2012-09-29 | 2016-05-18 | 北京奇虎科技有限公司 | 文件修复方法和系统 |
| CN103778114B (zh) | 2012-10-17 | 2016-03-09 | 腾讯科技（深圳）有限公司 | 文件修复系统和方法 |
| CN103001947B (zh) * | 2012-11-09 | 2015-09-30 | 北京奇虎科技有限公司 | 一种程序处理方法和系统 |
| CN103093149B (zh) * | 2013-01-14 | 2015-09-16 | 北京奇虎科技有限公司 | 常用软件/文件感染后的修复方法及系统、修复服务器 |
| CN103150504B (zh) * | 2013-01-23 | 2015-12-23 | 北京奇虎科技有限公司 | 检测和清除计算机宏病毒的方法和装置 |
| CN104050413A (zh) * | 2013-03-13 | 2014-09-17 | 腾讯科技（深圳）有限公司 | 一种数据处理的方法及终端 |
| CN103679024B (zh) * | 2013-11-19 | 2015-03-25 | 百度在线网络技术（北京）有限公司 | 病毒的处理方法及设备 |
| US20150154398A1 (en) * | 2013-12-03 | 2015-06-04 | International Business Machines Corporation | Optimizing virus scanning of files using file fingerprints |
| CN104021342A (zh) * | 2014-05-06 | 2014-09-03 | 可牛网络技术（北京）有限公司 | 应用程序的处理方法及装置 |
| CN104486123B (zh) * | 2014-12-18 | 2018-09-25 | 北京奇安信科技有限公司 | 黑白名单管理的方法、装置及系统 |
| CN106126310B (zh) * | 2016-08-18 | 2019-08-20 | 北京奇虎科技有限公司 | 对应用程序的安装进行优化的方法、装置及终端 |
| CN107330327B (zh) * | 2017-06-02 | 2021-05-18 | 北京奇虎科技有限公司 | 感染文件检测方法、服务器、处理方法、装置和检测系统 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1595366A (zh) * | 2004-07-06 | 2005-03-16 | 天津百维软件科技有限公司 | 一种节省存储空间的多台计算机系统共享备份方法 |
| CN1744607A (zh) * | 2005-10-10 | 2006-03-08 | 广东省电信有限公司研究院 | 一种阻断蠕虫攻击的系统和方法 |
| CN101243400A (zh) * | 2005-08-16 | 2008-08-13 | Emc公司 | 信息保护方法和系统 |
| CN101950336A (zh) * | 2010-08-18 | 2011-01-19 | 奇智软件（北京）有限公司 | 一种清除恶意程序的方法和装置 |
Family Cites Families (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101154253B (zh) * | 2006-09-26 | 2011-08-10 | 北京软通科技有限责任公司 | 计算机安全防护方法及计算机安全防护装置 |
-
2010
- 2010-08-18 CN CN201010256960.6A patent/CN101950336B/zh active Active
-
2011
- 2011-07-20 WO PCT/CN2011/077366 patent/WO2012022211A1/zh not_active Ceased
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN1595366A (zh) * | 2004-07-06 | 2005-03-16 | 天津百维软件科技有限公司 | 一种节省存储空间的多台计算机系统共享备份方法 |
| CN101243400A (zh) * | 2005-08-16 | 2008-08-13 | Emc公司 | 信息保护方法和系统 |
| CN1744607A (zh) * | 2005-10-10 | 2006-03-08 | 广东省电信有限公司研究院 | 一种阻断蠕虫攻击的系统和方法 |
| CN101950336A (zh) * | 2010-08-18 | 2011-01-19 | 奇智软件（北京）有限公司 | 一种清除恶意程序的方法和装置 |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2014036888A1 (en) * | 2012-09-07 | 2014-03-13 | Tencent Technology (Shenzhen) Company Limited | Method, device, and system for processing virus-infected applications |
Also Published As
| Publication number | Publication date |
|---|---|
| CN101950336A (zh) | 2011-01-19 |
| CN101950336B (zh) | 2015-08-26 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN101950336B (zh) | 一种清除恶意程序的方法和装置 | |
| CN109583193B (zh) | 目标攻击的云检测、调查以及消除的系统和方法 | |
| CN101681407B (zh) | 用于恶意软件检测的可信操作环境 | |
| EP2156356B1 (en) | Trusted operating environment for malware detection | |
| JP5326062B1 (ja) | 非実行ファイル検査装置及び方法 | |
| RU2624552C2 (ru) | Способ обнаружения вредоносных файлов, исполняемых с помощью стековой виртуальной машины | |
| US9183386B2 (en) | Windows registry modification verification | |
| IL181426A (en) | Automatic removal of signatures for malware | |
| JP6023282B2 (ja) | マルウェアリスクスキャナー | |
| JP5779334B2 (ja) | 出力制御装置、出力制御プログラム、出力制御方法および出力制御システム | |
| CN102208002A (zh) | 一种新型计算机病毒查杀装置 | |
| CN106203105B (zh) | 文件管理方法和装置 | |
| RU2510530C1 (ru) | Способ автоматического формирования эвристических алгоритмов поиска вредоносных объектов | |
| CN103679024B (zh) | 病毒的处理方法及设备 | |
| CN102930209B (zh) | 移动存储设备的文件处理方法和文件处理装置 | |
| JP2010182020A (ja) | 不正検知装置およびプログラム | |
| RU2652448C1 (ru) | Система и способ адаптирования шаблонов опасного поведения программ к компьютерным системам пользователей | |
| KR101421631B1 (ko) | 멀웨어 치료스크립트 생성 시스템 및 방법 | |
| Moghnie | For the degree of Master of Science in Computer Science |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| 121 | Ep: the epo has been informed by wipo that ep was designated in this application |
Ref document number: 11817738 Country of ref document: EP Kind code of ref document: A1 |
|
| NENP | Non-entry into the national phase |
Ref country code: DE |
|
| 122 | Ep: pct application non-entry in european phase |
Ref document number: 11817738 Country of ref document: EP Kind code of ref document: A1 |