WO2013041016A1 - 处理计算机病毒的方法和装置 - Google Patents

处理计算机病毒的方法和装置 Download PDF

Info

Publication number
WO2013041016A1
WO2013041016A1 PCT/CN2012/081574 CN2012081574W WO2013041016A1 WO 2013041016 A1 WO2013041016 A1 WO 2013041016A1 CN 2012081574 W CN2012081574 W CN 2012081574W WO 2013041016 A1 WO2013041016 A1 WO 2013041016A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
engine
scanning
virus
scan
Prior art date
Application number
PCT/CN2012/081574
Other languages
English (en)
French (fr)
Inventor
谢重阳
付旻
邹贵强
Original Assignee
北京奇虎科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from CN2011102784626A external-priority patent/CN102279917B/zh
Priority claimed from CN201110277746.3A external-priority patent/CN102346827B/zh
Application filed by 北京奇虎科技有限公司 filed Critical 北京奇虎科技有限公司
Priority to US14/345,649 priority Critical patent/US20150020203A1/en
Publication of WO2013041016A1 publication Critical patent/WO2013041016A1/zh
Priority to US14/859,791 priority patent/US10165001B2/en

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/568—Computer malware detection or handling, e.g. anti-virus arrangements eliminating virus, restoring damaged files
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network

Definitions

  • the present invention relates to the field of computer technologies, and in particular, to a method and apparatus for processing a computer virus and a parallel antivirus method and apparatus for a multi-virus engine. Background technique
  • a computer virus is data that is compiled or inserted into a computer program to corrupt computer functions, which affects the normal use of the computer and enables self-replication, usually in the form of a set of computer instructions or program code.
  • the anti-virus engine is a technical mechanism for determining whether a particular program behaves as a virus program (including suspicious programs).
  • the anti-virus engine is the main part of anti-virus software, a program for detecting and detecting viruses, and a virus database is a feature set of discovered viruses. In the anti-virus process, the features in the virus database are used to compare all the programs or files in the machine, and the programs or files that meet these characteristics are determined to be viruses.
  • each process of using the anti-virus engine to perform anti-virus is independent of each other, that is, no matter what results are outputted after scanning the file with the anti-virus engine, the next time it is still used.
  • the antivirus engine scans all files, and the types of virus files found during the two scans may be the same. It can be seen that although the anti-virus engine has the powerful features of anti-virus, it will occupy a large amount of system resources every time the anti-virus engine scans all files.
  • the present invention has been made in order to provide a method and apparatus for processing a computer virus that overcomes the above problems or at least partially solves or alleviates the above problems, and a multi-virus engine parallel antivirus method and apparatus.
  • a multi-virus engine parallel anti-virus method where the multi-virus engine includes at least one first anti-virus engine and at least one second anti-virus engine, and the method includes:
  • the first anti-virus engine is invoked to scan the first classification file in the file to obtain a first scan result, where the first scan result includes the determination file in the first classification file;
  • the first scan result and the second scan result are output.
  • a multi-virus engine parallel anti-virus device includes at least one first anti-virus engine and at least one second anti-virus engine, and the device includes:
  • a first calling unit configured to invoke the first antivirus engine
  • a first scanning unit configured to scan, by using the first antivirus engine, the first classification file in the file to be obtained, to obtain a first scan result, where the first scan result includes the determination in the first classification file Document
  • a second calling unit configured to invoke the second antivirus engine
  • a second scanning unit configured to scan, by using the second antivirus engine, a file other than the determined file in the first classified file in the file to be searched, to obtain a second scan result
  • an output unit configured to output the first scan result and the second scan result.
  • a method for processing a computer virus wherein a plurality of virus scanning modes are set in advance, and the system resources occupied by the plurality of virus scanning modes are different when the file scanning is performed, and the method includes:
  • the corresponding virus scanning mode is invoked to scan the to-be-scanned file.
  • an apparatus for processing a computer virus including: a setting unit, configured to preset a plurality of virus scanning manners, wherein the plurality of virus scanning methods occupy different system resources when performing file scanning;
  • An obtaining unit configured to obtain a file to be scanned
  • the scanning unit is configured to scan the to-be-scanned file by calling a corresponding virus scanning manner according to the sequence in which the plurality of virus scanning modes occupy the system resources from small to small.
  • a computer program comprising computer readable code, when the computer readable code is run on a server, causes the server to be in accordance with any of claims 1-6
  • a computer readable medium storing the computer program according to claim 22 is provided.
  • the embodiment of the present application applies at least one first antivirus engine and at least one second antivirus engine to perform parallel antivirusing of multiple antivirus engines, wherein the first antivirus engine is invoked, and the first classified file in the file is scanned to obtain the first scan result.
  • the first scan result includes the determination file in the first classification file, and the second antivirus engine is invoked, and the files other than the determined file in the first classification file are scanned to obtain the second scan result and output.
  • the parallel antivirus method is used, and according to the killing characteristics of different antivirus engines, the first classified file is checked and killed by the first antivirus engine, and the first antivirus engine cannot detect and kill.
  • the files are then checked and killed by the second anti-virus engine, so the system resources can be effectively utilized, so that multiple anti-virus engines do not repeatedly scan the same file.
  • a plurality of virus scanning modes are preset, and the system resources occupied by the virus scanning mode are different when the file scanning is performed, and the files to be scanned are acquired, and the system resources are occupied in a small to large order according to a plurality of virus scanning methods, and corresponding The virus scan method scans the scanned file.
  • Applying the virus scan of the file in the embodiment of the present application since the corresponding virus scanning mode is invoked in the order of occupying system resources from small to large, the system can be first occupied.
  • a virus scanning method with fewer resources such as a memory scanning method, scans files, thereby reducing the number of files that need to be scanned by a virus scanning method that occupies a large system resource, thereby improving the virus scanning speed of the system and saving system resources; Because the memory scan mode that occupies less system resources can save the scan result of the previous scan, when scanning again, the scan result of most files can be determined by the memory scan mode, thereby further improving the scan speed.
  • FIG. 1 is a flow chart schematically showing a parallel antivirus method of a multi-virus engine according to an embodiment of the present invention
  • FIG. 2 is a flow chart schematically showing a parallel antivirus method of a multi-virus engine according to an embodiment of the present invention
  • FIG. 3 is a flow chart schematically showing a parallel antivirus method of a multi-virus engine according to an embodiment of the present invention
  • FIG. 4 is a block diagram schematically showing a multi-virus engine parallel antivirus device according to an embodiment of the present invention.
  • Figure 5 is a block diagram schematically showing the first scanning unit of Figure 4.
  • Figure 6 is a schematic flow diagram showing a method of processing a computer virus in accordance with one embodiment of the present invention.
  • FIG. 7 is a flow chart schematically showing a method of processing a computer virus according to an embodiment of the present invention.
  • FIG. 8 is a flow chart schematically showing a method of processing a computer virus according to an embodiment of the present invention.
  • FIG. 9 is a view schematically showing an apparatus for processing a computer virus according to an embodiment of the present invention.
  • FIG. 10 is a block diagram schematically showing an apparatus for processing a computer virus according to an embodiment of the present invention.
  • Figure 11 is a schematic block diagram showing a server for performing the method according to the present invention.
  • Figure 12 schematically illustrates a memory unit for holding or carrying program code that implements the method in accordance with the present invention. detailed description
  • At least one first anti-virus engine and at least one second anti-virus engine are included.
  • Step 101 Invoking a first antivirus engine, scanning a first classified file in a file to obtain a first scan result, The determination result in the first classification file is included in a scan result.
  • the first classification file is preferably a PE type file;
  • the at least one first antivirus engine includes: a cloud killing engine for checking a PE (Portable Execute) type file, and/or a QVM (Qihoo Virtual Machine) engine.
  • PE type files usually refer to program files on the Windows operating system. Common PE type files include EXE, DLL, OCX, SYS, COM and other types of files.
  • the parallel anti-virus process indicates that when the first anti-virus engine is in the process of killing, the undetermined file in the checked file may be input into the second anti-virus engine for killing, without waiting for the first
  • the anti-virus engine kills all the files to be killed and then kills them by the second anti-virus engine.
  • the killing process between at least two first anti-virus engines also uses the aforementioned parallel killing method.
  • the first classification file is scanned by the first antivirus engine, so that the first classification file in the file to be detected is identified according to the classification feature of the first classification file, and then the first antivirus engine performs the check. Killing; or, the first anti-virus engine has the function of identifying the first classified file, and killing the file to be checked and belonging to the first classified file during the killing process, Other files are entered into the second anti-virus engine for killing.
  • Step 102 Invoking a second antivirus engine, scanning a file other than the determined file in the first classification file in the file to be obtained, and obtaining a second scan result.
  • the second antivirus engine mainly refers to an antivirus engine that scans other files except the first classification file. It should be noted that the second antivirus engine can have the ability to kill all the classified files. The killing method reduces the number of kills of each antivirus engine, thereby increasing the speed of killing and killing, so as to effectively utilize system resources.
  • the second antivirus engine may include at least one antivirus engine.
  • the second antivirus engine may be a Bit Defender antivirus engine, and/or a small red umbrella antivirus engine, and/or other existing existing antivirus engines, and the like. .
  • the parallel killing process between the first antivirus engine and the second antivirus engine may be specifically described as follows: sequentially obtaining a preset number of files in the file to be checked, and using the first antivirus engine to classify the first category in the preset number of files.
  • the file is scanned to obtain a first scan result including the determined file in the preset number of files.
  • the determined file in this embodiment mainly refers to a malicious file and/or a non-malicious file that can be determined by the first file;
  • the file other than the determined file is input to the second antivirus engine, and is scanned by the second antivirus engine; when all the files to be checked are not scanned, the return order is obtained to obtain the preset number of files in the file to be checked and killed. Steps, until all the files to be checked are scanned by the first antivirus engine.
  • Step 103 Output a first scan result and a second scan result.
  • Step 201 Calling a first antivirus engine.
  • the first anti-virus engine may be referred to as one type of anti-virus engine.
  • the number of the anti-virus engine may be one or more.
  • the first anti-virus engine may be an anti-virus engine dedicated to killing PE type files, preferably, including a cloud killing engine, and/or a QVM engine.
  • Step 202 sequentially obtain a preset number of files in the file to be checked and killed.
  • the second antivirus engine does not need to wait for the first antivirus engine to kill all the files, and then the second antivirus engine performs the killing. Therefore, the embodiment of the present application can pre-set a file acquisition quantity. For example, each time 100 files are acquired, that is, each time 100 files are input to the first anti-virus engine for killing.
  • Step 203 Identify a first classification file in the preset number of files according to the classification feature of the first classification file.
  • the first anti-virus engine has the function of identifying the first classification file, so for the preset number of files input into the first anti-virus engine, the first anti-virus engine performs killing one by one, wherein, for each file, the first anti-virus The engine first identifies whether the file is the first classification file according to the classification feature of the first classification file.
  • Step 204 Scan the first classified file in the preset number of files by using the first antivirus engine to obtain a first scan result including the determined file in the preset number of files.
  • the first antivirus engine is based on the recognition result of the file. If the current file to be detected is the first classification file, the file is checked and killed according to the blacklist and/or white list saved in the antivirus engine, if it is difficult to pass the saved file. If the blacklist, and/or the whitelist determines the attributes of the file, the file is input to the second antivirus engine for killing; if the current file to be detected is not the first classified file, it is directly input to the second antivirus engine for scanning.
  • Step 205 Input a file other than the determined file in the preset number of files into the second antivirus engine, and perform step 206 and step 207 simultaneously.
  • the indeterminate file in the preset number of files scanned by the first antivirus engine is input to the second antivirus engine for killing, so execution is performed.
  • Step 207 At the same time, since the first antivirus engine scans the preset number of files each time, it is necessary to determine whether all the files to be checked are scanned, so that when all the files are not checked, the process returns to step 202 to continue by the first antivirus engine. Scan unchecked files.
  • Step 206 Determine whether the first anti-virus engine has scanned all the files to be checked, and if yes, perform step 207; otherwise, return to step 202.
  • Step 207 Scanning, by the second antivirus engine, the files other than the determined files in the first classification file of the killing file to obtain the second scanning result.
  • Step 208 Output a first scan result and a second scan result.
  • FIG. 3 a flowchart of a third embodiment of a parallel antivirus engine anti-virus method is described.
  • This embodiment uses a first antivirus engine as a cloud killing engine and a QVM engine as an example:
  • Step 301 Call the cloud killing engine.
  • Step 302 Scan the PE type file in the file to be checked by the blacklist and whitelist saved by the cloud killing engine, filter the malicious file matching the blacklist, and the non-malicious file matching the whitelist.
  • the blacklist and whitelist are pre-stored in the cloud killing engine.
  • the blacklist contains the confirmed The malicious PE type file
  • the whitelist contains the confirmed non-malicious PE type files.
  • the type of the file to be checked is first determined. If the file is a PE type file, the file is matched with the blacklist and the whitelist. If it is not a PE type file, the file is used. Enter the next antivirus engine to kill.
  • the PE type file is a program that can be directly loaded and run by the WINDOWS operating system. The operation of such files does not need to be explained by the system or supported by other software.
  • the structure of the PE type file contains a large amount of PE information, and the structural features of the PE file can be extracted based on the PE information.
  • the structural features of the PE file may include: a PE file header feature, a PE standard header feature, a PE optional header feature, a data directory feature, and a common section table feature.
  • Step 303 Input the files other than the malicious files and non-malware files filtered by the cloud killing engine into the QVM engine.
  • Step 304 Invoke the QVM engine.
  • Step 305 Scan the PE type file in other files by the blacklist saved by the QVM engine, and filter the malicious file matching the blacklist.
  • the blacklist is pre-stored in the QVM engine.
  • the blacklist contains the malicious PE type files that have been confirmed. Although the PE type files can be checked and killed, the QVM engine and the cloud killing engine have different killing capabilities. Therefore, the files that are not determined after the cloud killing can be further checked and killed by the QVM engine.
  • Step 306 Input files other than the malicious files filtered by the QVM engine in the other files into the second antivirus engine.
  • Step 307 Call the second antivirus engine.
  • Step 308 Scanning, other than the determined file in the first classified file, the file to be scanned, and obtaining the second scan result.
  • Step 309 Output a first scan result and a second scan result.
  • the parallel killing and killing manner is adopted between the cloud killing engine, the QVM engine, and the second antivirus engine, that is, starting from the cloud killing engine, and the preset number of files in the killing file is sequentially processed.
  • the file is checked and killed, and the uncertain file in the killing result is input into the QVM engine for killing.
  • the QVM engine is difficult to determine the file input into the second antivirus engine for killing; the cloud killing engine is uncertain in the killing result.
  • the next batch of preset files is checked and killed again, that is, each antivirus engine is simultaneously checked and killed.
  • the method uses parallel antivirus, and according to the killing characteristics of different antivirus engines, the first classified file is checked and killed by the first antivirus engine, first The files that the anti-virus engine can't check and kill are then checked and killed by the second anti-virus engine, so the system resources can be effectively utilized, so that multiple anti-virus engines do not repeatedly scan the same file.
  • the present application further provides an embodiment of a multi-virus engine parallel antivirus device.
  • the multi-virus engine includes at least one first anti-virus engine and at least one second anti-virus engine.
  • FIG. 4 it is a block diagram of a multi-virus engine parallel antivirus device according to an embodiment of the present application.
  • the device includes: a first calling unit 410, a first scanning unit 420, and a second calling unit
  • the first invoking unit 410 is configured to invoke the first antivirus engine
  • the first scanning unit 420 is configured to scan, by using the first antivirus engine, the first classification file in the file to be captured, to obtain a first scan result, where the first scan result includes the first classification file. Determine the file;
  • a second calling unit 430 configured to invoke the second antivirus engine
  • the second scanning unit 440 is configured to scan, by using the second antivirus engine, a file other than the determined file in the first classified file, to obtain a second scan result;
  • the output unit 450 is configured to output the first scan result and the second scan result.
  • the apparatus may further include an identification unit (not shown in Fig. 4) for identifying the first classification file in the to-be-killed file according to the classification feature of the first classification file.
  • an identification unit (not shown in Fig. 4) for identifying the first classification file in the to-be-killed file according to the classification feature of the first classification file.
  • the first classified file is a PE type file
  • the at least one first antivirus engine may specifically be a cloud killing engine for checking and killing the PE type file, when the antivirus is configured to be used by the multi-virus engine parallel antivirus device of the embodiment of the present application. , and / or QVM engine.
  • the first antivirus engine is the cloud killing engine:
  • the first calling unit is specifically configured to invoke the cloud killing engine
  • the first scanning unit is configured to scan, by using a blacklist and a whitelist saved by the cloud killing engine, a PE type file in the file to be searched, and filter a malicious file that matches the blacklist. And the non-mali file matching the white list; inputting the file other than the malicious file and the non-mali file filtered by the cloud killing engine in the file to be checked Second antivirus engine.
  • the first antivirus engine is a QVM engine
  • the first calling unit is specifically configured to invoke the QVM engine
  • the first scanning unit is configured to scan, by using a blacklist saved by the QVM engine, a PE type file in the file to be searched, and filter a malicious file that matches the blacklist;
  • the file other than the malicious file filtered by the QVM engine in the kill file is input to the second antivirus engine.
  • the first antivirus engine is a cloud killing engine and a QVM engine:
  • the first calling unit is specifically configured to invoke the cloud killing engine
  • the first scanning unit is configured to scan, by using a blacklist and a whitelist saved by the cloud killing engine, a PE type file in the file to be searched, and filter a malicious file that matches the blacklist. And the non-malicious file that matches the whitelist, and the other files except the malicious file and the non-malicious file filtered by the cloud killing engine are input into the QVM engine;
  • the first calling unit is further configured to invoke the QVM engine
  • the first scanning unit is further configured to scan a PE type file in the other file by using a blacklist saved by the QVM engine, filter a malicious file that matches the blacklist, and remove the other file. Files outside the malicious files filtered by the QVM engine are input to the second antivirus engine.
  • FIG. 5 it is a block diagram of an embodiment of the first scanning unit 420 of FIG. 4:
  • the first scanning unit 420 includes:
  • the scan file sub-unit 422 is configured to scan, by using the first anti-virus engine, the first classified file in the preset number of files to obtain a first scan result that includes the determined file in the preset number of files. ;
  • An input file subunit 423 configured to input, into the second antivirus engine, files other than the determined file in the preset number of files;
  • the determining trigger sub-unit 424 is configured to: when the all files to be searched for are not scanned, return to trigger the function of executing the obtaining file sub-unit 421 until all the files to be detected are scanned by the first anti-virus engine.
  • the embodiment of the present application applies at least one first antivirus engine and at least one second antivirus engine to perform parallel antivirusing of multiple antivirus engines, where the first antivirus engine is invoked, and the first category in the file to be killed is detected.
  • the file is scanned, and the first scan result is obtained.
  • the first scan result includes the determined file in the first classification file, and the second antivirus engine is invoked, and the file other than the determined file in the first classified file is to be processed.
  • the parallel antivirus method is used, and according to the killing characteristics of different antivirus engines, the first classified file is checked and killed by the first antivirus engine, and the first antivirus engine cannot detect and kill.
  • the files are then checked and killed by the second anti-virus engine, so the system resources can be effectively utilized, so that multiple anti-virus engines do not repeatedly scan the same file.
  • a method of processing a computer virus is provided.
  • Step 601 Several virus scanning modes are set in advance, and a plurality of virus scanning modes occupy different system resources when performing file scanning.
  • the scanning mode of the virus is arranged in a descending order according to the occupied system resources, and includes at least two modes: a memory scanning mode for performing virus scanning according to the scanning result of the scanned file saved in the cache, wherein the scanning result includes determining to be malicious File attribute information of a file or a non-malicious file, the file attribute information includes a file size, a file modification time, and a file path; a virus scanning list scanning mode by at least one of a pre-saved blacklist and a whitelist; The engine scanning method for virus scanning.
  • Step 602 Obtain a file to be scanned.
  • Step 603 Scan the scanned file by using the corresponding virus scanning mode according to the order in which the virus scanning takes up the system resources from small to large.
  • a plurality of virus scanning modes include at least a first virus scanning mode and a second virus scanning mode
  • the system resource occupied by the first virus scanning mode is smaller than the second virus scanning mode
  • the first virus scanning mode is first invoked to perform scanning of the file. Scan, obtain the determined file in the file to be scanned, and then call the second virus scanning mode to scan only the files other than the determined file in the scanned file.
  • the determined file refers to a file determined to be a malicious file or a non-malicious file.
  • the memory scan mode is first used to scan the scanned file. Obtaining a first scan result including the first determined file, and then calling the list scan mode to scan only the other files of the scan file except the first determined file, obtaining a second scan result including the second determined file, and finally calling the engine scan mode Only the remaining files of the other files except the second determined file are scanned, and a third scan result including the third determined file is obtained.
  • FIG. 7 is a flowchart of a second embodiment of a method for processing a computer virus according to the present application, the embodiment describes in detail a process of scanning a file to be scanned by using three scanning modes:
  • Step 701 Pre-set the memory scanning mode, the list scanning mode, and the engine scanning mode according to the occupied system resources from small to large.
  • the memory scanning mode refers to performing virus scanning according to the scanning result of the scanned file saved in the cache, and the scanning result includes file attribute information determined as a malicious file or a non-malicious file, and the file attribute information includes a file size, a file modification time, and a file path.
  • the scan mode refers to virus scanning through at least one of the pre-stored blacklist and whitelist.
  • the engine scan mode refers to the engine scan mode for virus scanning by the antivirus engine.
  • Step 702 Obtain a file to be scanned.
  • Step 703 Invoking the memory scan mode to scan the scanned file to obtain a first scan result including the first determined file.
  • file attribute information of the file to be scanned such as file size, file modification time, and file path.
  • the file attribute in the system records the attribute information such as file size, modification time, and file path after the file was last modified.
  • the attribute information is updated in real time according to the modification of the file.
  • the file attribute information is matched with the file attribute information saved in the cache.
  • the file attribute of the file to be scanned matches the file attribute saved in the cache, the file to be scanned is determined to be a malicious file or a non-malicious file, when the file to be scanned is
  • the file attribute does not match the file attribute saved in the cache, the file to be scanned is determined to be another file scanned by the list scan method. Since the file attribute information includes multiple kinds of information, each attribute information can be matched one by one according to a preset order when performing matching, for example, first matching the file size, secondly matching the file modification time, and finally matching the file path.
  • the memory scanning method performs virus scanning according to the scanning result of the scanned file saved in the cache, the determined file in the first scanning result obtained by the matching is based on the previous scanning. A collection of files that have been identified as malicious and non-malicious. Because the memory information is read fast, and the virus file changes little during the two scans, the memory scan mode can kill most of the files in the system, thus improving the killing speed and saving the system. Resources.
  • Step 704 The call list scanning mode scans only the other files of the scanned file except the first determined file to obtain a second scan result including the second determined file.
  • the file name of each file in the other file is compared with the file name pre-saved in the blacklist.
  • the file name of a file matches the pre-stored file name, it is determined.
  • a file is a malicious file belonging to the second determined file;
  • the file name of each file in the other file is compared with the file name pre-saved in the white list, when a file is When the file name matches the pre-saved file name, it is determined that a file is a non-malicious file belonging to the second determined file.
  • the whitelist is usually maintained by the user on the client.
  • the user adds the non-malicious file to the whitelist for saving.
  • the whitelist can record the file name and file path of the file.
  • the blacklist is usually provided by antivirus software. The party performs maintenance and adds the malicious files determined by the monitoring to the blacklist for saving.
  • Step 705 The engine scan mode is used to scan only the remaining files of the other files except the second determined file to obtain a third scan result including the third determined file.
  • the anti-virus engines that can be used can include: cloud killing engine, QVM (Qihoo Virtual Machine) engine, Xiaohong umbrella anti-virus engine, etc. Antivirus engine.
  • Step 706 The file attributes of the second determined file and the third determined file are stored in the cache according to the scan result of the file to be scanned.
  • the second determined file and the second Third determine the file attributes of the file, including the file size, file modification time and file path, etc., to the cache, the next time these files can be scanned directly by the memory scan mode that occupies the least system resources.
  • FIG. 8 is a flowchart of a third embodiment of a method for processing a computer virus according to the present application, the embodiment shows in detail a process of scanning a file to be scanned by using a memory scan mode:
  • Step 801 Pre-save the scan result of the scanned file in the cache, and the scan result includes File attribute information determined to be a malicious file or a non-malicious file, the file attribute information including the file size
  • Step 802 Acquire a file in the file to be scanned in sequence.
  • Step 803 Obtain the file size, file modification time, and file path of the file.
  • the file attribute of the file in the system records the attribute information such as the file size, modification time and file path of the file after the last modification, and the attribute information is updated in real time according to the modification of the file.
  • Step 804 Determine whether the file size of the file matches the previously saved file size. If yes, go to step 805. Otherwise, go to step 809.
  • Step 805 Determine whether the file modification time of the file matches the pre-saved file modification time. If yes, go to step 806; otherwise, go to step 809.
  • Step 806 Determine whether the file path of the file matches the previously saved file path. If yes, go to step 807; otherwise, go to step 809.
  • Step 807 Determine the file as a malicious file or a non-malicious file according to the matching result.
  • the file attribute of the file matches the file attribute saved in the cache, and if the file corresponding to the file attribute information in the memory matches the file If the file is a malicious file, the scan result of the file is a malicious file. If the file corresponding to the file attribute information in the memory is a non-malicious file, the scan result of the file is a non-malicious file.
  • the determined file in the first scan result obtained by the matching is a file set determined to be a malicious file and a non-malicious file according to the previous scan. . Because the memory information is read fast, and the virus file changes little during the two scans, the memory scan mode can kill most of the files in the system, thus improving the killing speed and saving the system. Resources.
  • Step 808 Determine the file as a file that needs to be scanned by other scanning methods.
  • any attribute information of a file is inconsistent with the file attribute information saved in the cache, it is determined that the file attribute of the file does not match the file attribute saved in the cache.
  • the file is scanned by other scanning methods other than the memory scanning mode, for example, by the list scanning method shown in the foregoing embodiment, and/or bow! Engine scanning method.
  • Step 809 Whether all the files to be scanned are matched, and if yes, the process ends; otherwise, the process returns to step 802.
  • the virus scanning mode such as memory scanning, which occupies less system resources
  • the method is to scan the file, thereby reducing the number of files scanned by the virus scanning mode that occupies a large system resource, thereby improving the virus scanning speed of the system and saving system resources; further, the memory scanning mode that occupies less system resources can be used.
  • the scan result of the previous scan is saved, so when scanning again, the scan result of most files can be determined by the memory scan method, thereby further improving the scan speed.
  • the present application in accordance with an embodiment of the method of processing a computer virus of the present application, also provides an embodiment of an apparatus for processing a computer virus.
  • a block diagram of a first embodiment of an apparatus for processing a computer virus includes: a setting unit 910, an obtaining unit 920, and a scanning unit 930.
  • the setting unit 910 is configured to preset a plurality of virus scanning modes, where the system resources occupied by the plurality of virus scanning modes are different when performing file scanning;
  • the obtaining unit 920 is configured to obtain a file to be scanned
  • the scanning unit 930 is configured to scan the to-be-scanned file by calling a corresponding virus scanning manner according to the sequence in which the plurality of virus scanning manners occupy the system resources.
  • the first virus scanning mode occupies less than the second virus scanning mode, and the plurality of virus scanning modes set in the setting unit 910 includes at least a first virus scanning mode and a second virus scanning mode.
  • the scanning unit 930 may specifically include (not shown in FIG. 9):
  • a first invoking scanning unit configured to invoke the first virus scanning mode to scan the to-be-scanned file to obtain a certain file in the to-be-scanned file;
  • the second invoking scanning unit is configured to invoke the second virus scanning mode only for the to-be-scanned. See FIG. 10, which is a block diagram of a second embodiment of the apparatus for processing a computer virus according to the present application.
  • the apparatus includes: a setting unit 1010, obtaining Unit 1020, scanning unit 1030, and storage unit 1040.
  • the setting unit 1010 is configured to preset a plurality of virus scanning modes, where the system resources occupied by the plurality of virus scanning modes are different when the file scanning is performed; wherein the virus scanning mode set by the setting unit is small according to the occupied system resources.
  • the arrival order is arranged in at least two ways: According to the scan result of the scanned file saved in the cache, the virus scan is performed.
  • the memory scan mode, the scan result includes a file attribute determined as a malicious file or a non-malicious file, and the file attribute includes a file size, a file modification time, and a file path; and at least one of a blacklist and a white list saved in advance a list scan mode for virus scanning; an engine scan mode for virus scanning by an antivirus engine;
  • the obtaining unit 1020 is configured to obtain a file to be scanned
  • the scanning unit 1030 is configured to scan the to-be-scanned file by invoking a corresponding virus scanning manner according to the sequence in which the plurality of virus scanning modes occupy the system resources from a small one.
  • the scanning unit 1030 may include: a first scanning unit 1031. And scanning the file to be scanned to obtain the first scan result of the first determined file; the second scanning unit 1032 is configured to invoke the list scan mode only in the file to be scanned. Exchanging the other files of the first determination file to obtain a second scan result including the second determination file; the third scanning unit 1033 is configured to invoke the engine scan mode only for the other files except the Second, determining that the remaining files of the file are scanned, and obtaining a third scan result that includes the third determined file;
  • the storage unit 1040 is configured to store the file attributes of the second determination file and the third determination file into the cache according to the scan results of the second scanning unit and the third scanning unit.
  • the first scanning unit 1031 may include (not shown in FIG. 10):
  • An information obtaining unit configured to acquire file attribute information of the file to be scanned
  • An information matching unit configured to match the file attribute information with file attribute information saved in the cache
  • a result determining unit configured to determine, when the file attribute of the file to be scanned matches the file attribute saved in the cache, the file to be scanned as a malicious file or a non-malicious file, when the file attribute of the file to be scanned is saved in the cache When the file attributes do not match, the file to be scanned is determined as other files scanned by the list scanning method.
  • the second scanning unit 1032 may include (not shown in FIG. 10):
  • a blacklist scanning unit configured to compare a file name of each of the other files with a file name pre-saved in the blacklist, and match a file name of the file with the pre-saved file name Determining, by the certain file, a malicious file that belongs to the second determined file;
  • a whitelist scanning unit configured to compare a file name of each of the other files with a file name pre-saved in the whitelist, when a file name of the file and the advance When the saved file names match, it is determined that the certain file is a non-malicious file belonging to the second determined file.
  • a plurality of virus scanning modes are preset, and the system resources occupied by the virus scanning modes are different when the file scanning is performed, and the files to be scanned are acquired, and the system resources are occupied according to a plurality of virus scanning methods.
  • the corresponding virus scanning method is called to scan the scanned file.
  • Applying the virus scan of the file in the embodiment of the present application because the corresponding virus scanning mode is invoked in the order of occupying system resources from small to large, the file scanning may be performed by using a virus scanning mode that occupies less system resources, such as a memory scanning mode.
  • the number of files scanned by the virus scanning mode occupying a large system resource is reduced, thereby improving the virus scanning speed of the system and saving system resources; further, the memory scanning mode occupying a small system resource can save the previous scanning.
  • the result of the scan so when scanning again, the scan result of most files can be determined by the memory scan method, thereby further improving the scan speed.
  • the various modules and component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor may be used in practice to implement some or all of the components of a computer virus processing device and a multi-virus engine parallel antivirus system in accordance with an embodiment of the present invention.
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • Such a program implementing the present invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • FIG. 11 illustrates a server, such as an application server, that can implement a method of processing a computer virus and a multi-virus engine parallel antivirus method according to the present invention.
  • the server conventionally includes a processor 1110 and a computer program product or computer readable medium in the form of a memory 1120.
  • the memory 1120 may be an electronic memory such as a flash memory, an EEPROM (Electrically Erasable Programmable Read Only Memory), an EPROM, a hard disk, or a ROM.
  • Memory 1120 has a memory space 1130 for program code 1131 for performing any of the method steps described above.
  • the storage space 1130 for program code may include respective program codes 1131 for implementing various steps in the above methods, respectively.
  • These program codes can be from one or more computer program products Read or write to one or more computer program products.
  • These computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks.
  • Such a computer program product is typically a portable or fixed storage unit as described with reference to FIG.
  • the storage unit may have a storage section, a storage space, and the like arranged similarly to the storage 1120 in the server of FIG.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 113, i.e., code that can be read by, for example, a processor such as 1110, which when executed by the server causes the server to perform various steps in the methods described above.
  • an embodiment or “one or more embodiments” as used herein means that the particular features, structures, or characteristics described in connection with the embodiments are included in at least one embodiment of the invention.
  • examples of the words “in one embodiment” herein are not all referring to the same embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

公开了一种多杀毒引擎并行杀毒方法。多杀毒引擎中包括至少一个第一杀毒引擎和至少一个第二杀毒引擎。多杀毒引擎并行杀毒方法包括：调用第一杀毒引擎，对待查杀文件中的第一分类文件进行扫描，获得第一扫描结果，第一扫描结果中包括第一分类文件中的确定文件（101）；调用第二杀毒引擎，对待查杀文件中除第一分类文件中的确定文件以外的其它文件进行扫描，获得第二扫描结果（102）；输出第一扫描结果和第二扫描结果（103）。还公开了一种多杀毒引擎并行杀毒装置、一种处理计算机病毒的方法以及一种处理计算机病毒的装置。本方案采用并行杀毒的方式，根据不同杀毒引擎的查杀特点，通过第一杀毒引擎对第一分类文件进行查杀，第一杀毒引擎无法查杀的文件再通过第二杀毒引擎进行查杀，因此可以有效利用系统资源，使得多个杀毒引擎不会重复对同一文件进行扫描。

Description

处理计算机病毒的方法和装置
本申请要求于 2011 年 9 月 19 号提交中国专利局、 申请号为 201110278462.6、 发明名称为 "多杀毒引擎并行杀毒方法及系统"， 以及要 求于 2011年 9月 19号提交中国专利局、 申请号为 201110277746.3、 发明 名称为 "处理计算机病毒的方法及装置" 的中国专利申请的优先权， 其全 部内容通过引用结合在本申请中。 技术领域
本发明涉及计算机技术领域， 尤其涉及一种处理计算机病毒的方法和 装置以及多杀毒引擎并行杀毒方法和装置。 背景技术
计算机病毒是编制或者在计算机程序中插入的破坏计算机功能的数 据， 其会影响计算机的正常使用并且能够自我复制， 通常以一组计算机指 令或者程序代码的形式呈现。 而杀毒引擎就是一套判断特定程序行为是否 为病毒程序 （包括可疑程序） 的技术机制。 杀毒引擎是杀毒软件的主要部 分， 是检测和发现病毒的程序， 而病毒库是已经发现的病毒的特征集合。 在杀毒过程中， 用病毒库中的特征去对照机器中的所有程序或文件， 对于 符合这些特征的程序或文件， 判定为病毒。
发明人在对现有技术的研究过程中发现， 每一次釆用杀毒引擎进行杀 毒的过程均相互独立， 即无论前一次釆用杀毒引擎对文件进行扫描后输出 何种结果， 下一次仍然釆用杀毒引擎对所有文件进行扫描， 前后两次扫描 过程中发现的病毒文件类型可能相同。 由此可知， 虽然杀毒引擎具有杀毒 功能强大的特点， 但是每次釆用杀毒引擎对所有文件进行扫描时， 都将占 用大量的系统资源。 发明内容 鉴于上述问题， 提出了本发明以便提供一种克服上述问题或者至少部 分地解决或者减緩上述问题的处理计算机病毒的方法和装置以及多杀毒引 擎并行杀毒方法和装置。
根据本发明的一个方面， 提供了一种多杀毒引擎并行杀毒方法， 所述 多杀毒引擎中包括至少一个第一杀毒引擎和至少一个第二杀毒引擎， 所述 方法包括：
调用所述第一杀毒引擎， 对待查杀文件中的第一分类文件进行扫描， 获得第一扫描结果， 所述第一扫描结果中包括所述第一分类文件中的确定 文件；
调用所述第二杀毒引擎， 对所述待查杀文件中除所述第一分类文件中 的确定文件以外的其它文件进行扫描， 获得第二扫描结果；
输出所述第一扫描结果和第二扫描结果。
根据本发明的另一个方面， 提供了一种多杀毒引擎并行杀毒装置， 所 述多杀毒引擎中包括至少一个第一杀毒引擎和至少一个第二杀毒引擎， 所 述装置包括：
第一调用单元， 用于调用所述第一杀毒引擎；
第一扫描单元， 用于通过所述第一杀毒引擎对待查杀文件中的第一分 类文件进行扫描， 获得第一扫描结果， 所述第一扫描结果中包括所述第一 分类文件中的确定文件；
第二调用单元， 用于调用所述第二杀毒引擎；
第二扫描单元， 用于通过所述第二杀毒引擎对所述待查杀文件中除所 述第一分类文件中的确定文件以外的其它文件进行扫描， 获得第二扫描结 果；
输出单元， 用于输出所述第一扫描结果和第二扫描结果。
根据本发明的另一方面， 提供了一种处理计算机病毒的方法， 其中， 预先设置若干病毒扫描方式， 所述若干病毒扫描方式在进行文件扫描时所 占用的系统资源不同， 所述方法包括：
获取待扫描文件； 按照所述若干病毒扫描方式占用系统资源从小到大的顺序， 调用相应 的病毒扫描方式对所述待扫描文件进行扫描。
根据本发明的另一方面， 提供了一种处理计算机病毒的装置， 包括： 设置单元， 用于预先设置若干病毒扫描方式， 所述若干病毒扫描方式 在进行文件扫描时所占用的系统资源不同；
获取单元， 用于获取待扫描文件；
扫描单元， 用于按照所述若干病毒扫描方式占用系统资源从小到达的 顺序， 调用相应的病毒扫描方式对所述待扫描文件进行扫描。
根据本发明的又一个方面， 提供了一种计算机程序， 其包括计算机可 读代码， 当所述计算机可读代码在服务器上运行时， 导致所述服务器根据 权利要求 1-6中的任一项所述的多杀毒引擎并行杀毒方法和 /或执行根据权 利要求 12-17中的任一项所述的处理计算机病毒的方法。
根据本发明的再一个方面， 提供了一种计算机可读介质， 其中存储了 如权利要求 22所述的计算机程序。
本申请实施例应用至少一个第一杀毒引擎和至少一个第二杀毒引擎进 行多杀毒引擎并行杀毒， 其中调用第一杀毒引擎， 对待查杀文件中的第一 分类文件进行扫描， 获得第一扫描结果， 第一扫描结果中包括第一分类文 件中的确定文件， 调用第二杀毒引擎， 对待查杀文件中除第一分类文件中 的确定文件以外的其它文件进行扫描， 获得第二扫描结果， 输出第一扫描 结果和第二扫描结果。 本申请实施例应用多个杀毒引擎进行杀毒时， 釆用 并行杀毒的方式， 根据不同杀毒引擎的查杀特点， 通过第一杀毒引擎对第 一分类文件进行查杀， 第一杀毒引擎无法查杀的文件再通过第二杀毒引擎 进行查杀， 因此可以有效利用系统资源， 使得多个杀毒引擎不会重复对同 一文件进行扫描。
本申请实施例中预先设置若干病毒扫描方式， 这些病毒扫描方式在进 行文件扫描时所占用的系统资源不同， 获取待扫描文件， 按照若干病毒扫 描方式占用系统资源从小到大的顺序， 调用相应的病毒扫描方式对待扫描 文件进行扫描。 应用本申请实施例对文件进行病毒扫描， 由于按照占用系 统资源从小到大的顺序调用相应的病毒扫描方式， 因此可以先通过占用系 统资源较少的病毒扫描方式， 例如内存扫描方式对文件进行扫描， 从而减 少占用系统资源较大的病毒扫描方式所需扫描的文件数量， 由此提高系统 的病毒扫描速度， 节约系统资源； 进一步， 由于占用系统资源较小的内存 扫描方式可以保存前一次扫描的扫描结果， 因此再次扫描时， 可以通过内 存扫描方式确定大部分文件的扫描结果， 从而进一步提升扫描速度。
上述说明仅是本发明技术方案的概述， 为了能够更清楚了解本发明的 技术手段， 而可依照说明书的内容予以实施， 并且为了让本发明的上述和 其它目的、 特征和优点能够更明显易懂， 以下特举本发明的具体实施方式。 附图说明
通过阅读下文优选实施方式的详细描述， 各种其他的优点和益处对于 本领域普通技术人员将变得清楚明了。 附图仅用于示出优选实施方式的目 的， 而并不认为是对本发明的限制。 而且在整个附图中， 用相同的参考符 号表示相同的部件。 在附图中：
图 1示意性示出了根据本发明一个实施例的多杀毒引擎并行杀毒方法 的流程图；
图 2示意性示出了根据本发明一个实施例的多杀毒引擎并行杀毒方法 的流程图；
图 3示意性示出了根据本发明一个实施例的多杀毒引擎并行杀毒方法 的流程图；
图 4示意性示出了根据本发明一个实施例的多杀毒引擎并行杀毒装置 的框图；
图 5示意性示出了图 4中第一扫描单元的框图；
图 6示意性示出了根据本发明一个实施例的处理计算机病毒的方法的 流程图；
图 7示意性示出了根据本发明一个实施例的处理计算机病毒的方法的 流程图；
图 8示意性示出了根据本发明一个实施例的处理计算机病毒的方法的 流程图；
图 9示意性示出了根据本发明一个实施例的处理计算机病毒的装置的 框图；
图 10 示意性示出了根据本发明一个实施例的处理计算机病毒的装置 的框图；
图 11示意性地示出了用于执行根据本发明的方法的服务器的框图； 以 及
图 12 示意性地示出了用于保持或者携带实现根据本发明的方法的程 序代码的存储单元。 具体实施方式
下面结合附图和具体的实施方式对本发明作进一步的描述。
在多杀毒引擎中， 包括了至少一个第一杀毒引擎和至少一个第二杀毒 引擎。
参见图 1 , 为本申请多杀毒引擎并行杀毒方法的第一实施例流程图： 步骤 101 : 调用第一杀毒引擎， 对待查杀文件中的第一分类文件进行 扫描， 获得第一扫描结果， 第一扫描结果中包括第一分类文件中的确定文 件。
本申请实施例中，第一分类文件优选为 PE类型文件； 至少一个第一杀 毒引擎包括： 用于查杀 PE ( Portable Execute, 可移植执行体） 类型文件的 云查杀引擎， 和 /或 QVM ( Qihoo Virtual Machine, 人工智能引擎） 引擎。 其中， PE类型文件通常指 Windows操作系统上的程序文件， 常见的 PE类 型文件包括 EXE、 DLL, OCX, SYS、 COM等类型文件。
本申请实施例中， 并行杀毒过程表示当第一杀毒引擎在查杀过程中， 可以将已查杀过的文件中的未确定文件输入到第二杀毒引擎中进行查杀， 而不必等到第一杀毒引擎查杀完所有待查杀文件， 再由第二杀毒引擎进行 查杀。 同理； 如果第一杀毒引擎至少有两个， 则至少两个第一杀毒引擎之 间的查杀过程也釆用前述并行查杀的方式。
进一步，本申请实施例中由于第一杀毒引擎对第一分类文件进行扫描， 因此可以根据第一分类文件的分类特征识别待查杀文件中的第一分类文 件， 再由第一杀毒引擎进行查杀； 或者， 第一杀毒引擎具有识别第一分类 文件的功能， 在查杀过程中对属于第一分类文件的待查杀文件进行查杀， 其它文件则输入到第二杀毒引擎中进行查杀。
步骤 102: 调用第二杀毒引擎， 对待查杀文件中除所述第一分类文件 中的确定文件以外的其它文件进行扫描， 获得第二扫描结果。
第二杀毒引擎主要指对除第一分类文件外的其它文件进行扫描的杀毒 引擎， 需要说明的是， 该第二杀毒引擎可以具有对所有分类文件进行查杀 的能力， 本实施例通过并行查杀的方式减少每一种杀毒引擎的查杀数量， 从而提高查杀速度， 以便有效利用系统资源。 本实施例中第二杀毒引擎可 以包括至少一个杀毒引擎， 例如， 该第二杀毒引擎可以为 Bit Defender杀毒 引擎， 和 /或小红伞杀毒引擎， 和 /或其它现有已存在的杀毒引擎等。
第一杀毒引擎和第二杀毒引擎之间的并行查杀过程可以具体描述如 下： 顺序获取待查杀文件中预设数量的文件， 通过第一杀毒引擎对预设数 量的文件中的第一分类文件进行扫描， 得到包括预设数量的文件中的确定 文件的第一扫描结果， 本实施例中的确定文件主要指可以由第一文件确定 的恶意文件和 /或非恶意文件； 将预设数量的文件中除确定文件以外的其它 文件输入到第二杀毒引擎， 由第二杀毒引擎进行扫描； 当未扫描完所有待 查杀文件时， 返回顺序获取待查杀文件中预设数量的文件的步骤， 直至通 过第一杀毒引擎扫描完所有待查杀文件。
步骤 103: 输出第一扫描结果和第二扫描结果。
参见图 2, 为本申请多杀毒引擎并行杀毒方法的第二实施例流程图： 步骤 201 : 调用第一杀毒引擎。
本实施例中， 第一杀毒引擎可以指代一种类型的杀毒引擎， 从数量上 来说， 其可以为一个或者多个， 本申请实施例不进行限制。 例如， 该第一 杀毒引擎可以是专门用于查杀 PE类型文件的杀毒引擎，优选的， 包括云查 杀引擎， 和 /或 QVM引擎。
步骤 202: 顺序获取待查杀文件中预设数量的文件。
应用本实施例对待查杀文件进行扫描时， 无需等待第一杀毒引擎查杀 完所有文件后， 再由第二杀毒引擎进行查杀。 因此， 本申请实施例可以预 先设定一个文件获取数量， 例如， 每次获取 100个文件， 即每一次向第一 杀毒引擎输入 100个文件进行查杀。
步骤 203 : 根据第一分类文件的分类特征识别预设数量的文件中的第 一分类文件。 第一杀毒引擎具有识别第一分类文件的功能， 因此对于输入到第一杀 毒引擎中的预设数量的文件， 该第一杀毒引擎逐个进行查杀， 其中， 对于 每一个文件， 该第一杀毒引擎首先根据第一分类文件的分类特征识别该文 件是否为第一分类文件。
步骤 204: 通过第一杀毒引擎对预设数量的文件中的第一分类文件进 行扫描， 得到包括预设数量的文件中的确定文件的第一扫描结果。
第一杀毒引擎根据对文件的识别结果， 如果当前待查杀文件是第一分 类文件，则按照杀毒引擎中保存的黑名单，和 /或白名单对该文件进行查杀， 如果难以通过保存的黑名单， 和 /或白名单确定该文件的属性， 则将该文件 输入第二杀毒引擎进行查杀； 如果当前待查杀文件不是第一分类文件， 则 直接输入到第二杀毒引擎进行扫描。
步骤 205 : 将预设数量的文件中除该确定文件以外的其它文件输入到 第二杀毒引擎， 同时执行步骤 206和步骤 207。
由于本实施例中第一杀毒引擎和第二杀毒引擎并行杀毒， 因此对于经 过第一杀毒引擎扫描后的预设数量文件中的不确定文件则输入到第二杀毒 引擎中进行查杀， 因此执行步骤 207; 同时， 由于第一杀毒引擎每次扫描 预设数量的文件， 因此需要判断是否扫描完所有待查杀文件， 以便在没有 查杀完所有文件时， 返回步骤 202继续由第一杀毒引擎对未查杀的文件进 行扫描。
步骤 206: 判断第一杀毒引擎是否扫描完所有待查杀文件， 若是， 则 执行步骤 207; 否则， 返回步骤 202。
步骤 207: 通过第二杀毒引擎对待查杀文件中除第一分类文件中的确 定文件以外的其它文件进行扫描， 获得第二扫描结果。
步骤 208: 输出第一扫描结果和第二扫描结果。
参见图 3 , 为本申请多杀毒引擎并行杀毒方法的第三实施例流程图， 该实施例以第一杀毒引擎为云查杀引擎和 QVM引擎为例进行描述：
步骤 301 : 调用云查杀引擎。
步骤 302: 通过云查杀引擎保存的黑名单和白名单对待查杀文件中的 PE类型文件进行扫描， 过滤与黑名单匹配的恶意文件， 以及与白名单匹配 的非恶意文件。
云查杀引擎内预先保存了黑名单和白名单， 黑名单中包含了已经确认 的恶意 PE类型文件， 白名单中包含了已经确认的非恶意 PE类型文件。 在 查杀 PE 类型文件时， 首先对输入的待查杀文件的类别进行判断， 如果是 PE类型文件， 则将该文件与黑名单和白名单进行匹配， 如果不是 PE类型 文件， 则将该文件输入下一个杀毒引擎进行查杀。
本实施例中， PE类型文件是一种可以被 WINDOWS操作系统直接加 载运行的程序， 这类文件的运行无需系统对其进行解释， 或者无需其它软 件进行支持。 PE类型文件的结构中包含了大量的 PE信息， 可以基于这些 PE信息提取 PE文件的结构特征。 其中， PE文件的结构特征可以包括： PE 文件头特征、 PE 标准头特征、 PE可选头特征、 数据目录特征、 常用节表 特征。
步骤 303 : 将待查杀文件中除通过云查杀引擎过滤的恶意文件和非恶 意文件外的其它文件输入 QVM引擎。
步骤 304: 调用 QVM引擎。
步骤 305: 通过 QVM引擎保存的黑名单对其它文件中的 PE类型文件 进行扫描， 过滤与黑名单匹配的恶意文件。
QVM 引擎中预先保存了黑名单， 黑名单中包含来了已经确认的恶意 PE类型文件， 虽然都可以对 PE类型文件进行查杀， 但是 QVM引擎和云 查杀引擎的查杀能力有所不同， 因此经过云查杀后不确定的文件可以由 QVM引擎进行进一步查杀。
步骤 306:将其它文件中除通过 QVM引擎过滤的恶意文件外的文件输 入所述第二杀毒引擎。
步骤 307: 调用第二杀毒引擎。
步骤 308: 对待查杀文件中除第一分类文件中的确定文件以外的其它 文件进行扫描， 获得第二扫描结果。
步骤 309: 输出第一扫描结果和第二扫描结果。
需要说明的是， 上述实施例中， 云查杀引擎、 QVM引擎以及第二杀毒 引擎之间釆用并行查杀的方式， 即从云查杀引擎开始， 其顺序对待查杀文 件中预设数量的文件进行查杀， 查杀结果中不确定的文件输入 QVM 引擎 进行查杀， QVM引擎难以确定的文件输入到第二杀毒引擎中进行查杀； 云 查杀引擎在将查杀结果中不确定的文件输入 QVM 引擎后， 再次对下一批 预设数量的文件进行查杀， 也即各个杀毒 ^ I擎同时进行查杀。 由上述实施例可见， 本申请在应用多个杀毒引擎进行杀毒时， 釆用并 行杀毒的方式， 根据不同杀毒引擎的查杀特点， 通过第一杀毒引擎对第一 分类文件进行查杀， 第一杀毒引擎无法查杀的文件再通过第二杀毒引擎进 行查杀， 因此可以有效利用系统资源， 使得多个杀毒引擎不会重复对同一 文件进行扫描。
在本发明的一个方面， 与本申请多杀毒引擎并行杀毒方法的实施例相 对应， 本申请还提供了多杀毒引擎并行杀毒装置的实施例。 其中， 多杀毒 引擎中包括至少一个第一杀毒引擎和至少一个第二杀毒引擎。
参见图 4, 为本申请的一个实施例的多杀毒引擎并行杀毒装置的框图。 该装置包括： 第一调用单元 410、 第一扫描单元 420、 第二调用单元
430、 第二扫描单元 440和输出单元 450。
其中， 第一调用单元 410, 用于调用所述第一杀毒引擎；
第一扫描单元 420 , 用于通过所述第一杀毒引擎对待查杀文件中的第 一分类文件进行扫描， 获得第一扫描结果， 所述第一扫描结果中包括所述 第一分类文件中的确定文件；
第二调用单元 430, 用于调用所述第二杀毒引擎；
第二扫描单元 440 , 用于通过所述第二杀毒引擎对所述待查杀文件中 除所述第一分类文件中的确定文件以外的其它文件进行扫描， 获得第二扫 描结果；
输出单元 450, 用于输出所述第一扫描结果和第二扫描结果。
进一步， 该装置还可以包括识别单元（图 4中未示出）： 用于根据第一 分类文件的分类特征识别所述待查杀文件中的第一分类文件。
在应用本申请的一个实施例的多杀毒引擎并行杀毒装置进行杀毒时， 优选的， 第一分类文件为 PE类型文件， 至少一个第一杀毒引擎可以具体为 查杀 PE类型文件的云查杀引擎， 和 /或 QVM引擎。
其中， 当第一杀毒引擎为云查杀引擎时：
所述第一调用单元， 具体用于调用所述云查杀引擎；
所述第一扫描单元， 具体用于通过所述云查杀引擎保存的黑名单和白 名单对所述待查杀文件中的 PE类型文件进行扫描，过滤与所述黑名单匹配 的恶意文件， 以及与所述白名单匹配的非恶意文件； 将所述待查杀文件中 除通过云查杀引擎过滤的恶意文件和非恶意文件外的其它文件输入所述第 二杀毒引擎。
其中， 当第一杀毒引擎为 QVM引擎时：
所述第一调用单元， 具体用于调用所述 QVM引擎；
所述第一扫描单元， 具体用于通过所述 QVM 引擎保存的黑名单对所 述待查杀文件中的 PE类型文件进行扫描，过滤与所述黑名单匹配的恶意文 件； 将所述待查杀文件中除通过 QVM 引擎过滤的恶意文件外的其它文件 输入所述第二杀毒引擎。
其中， 当所述第一杀毒引擎为云查杀引擎和 QVM引擎时：
所述第一调用单元， 具体用于调用所述云查杀引擎；
所述第一扫描单元， 具体用于通过所述云查杀引擎保存的黑名单和白 名单对所述待查杀文件中的 PE类型文件进行扫描，过滤与所述黑名单匹配 的恶意文件， 以及与所述白名单匹配的非恶意文件， 所述待查杀文件中除 通过云查杀引擎过滤的恶意文件和非恶意文件外的其它文件输入所述 QVM引擎；
所述第一调用单元， 还用于调用所述 QVM引擎；
所述第一扫描单元， 还用于通过所述 QVM 引擎保存的黑名单对所述 其它文件中的 PE类型文件进行扫描， 过滤与所述黑名单匹配的恶意文件， 将所述其它文件中除通过 QVM 引擎过滤的恶意文件外的文件输入所述第 二杀毒引擎。
参见图 5 , 为图 4中第一扫描单元 420的实施例框图：
该第一扫描单元 420包括：
获取文件子单元 421 , 用于顺序获取所述待查杀文件中预设数量的文 件；
扫描文件子单元 422, 用于通过所述第一杀毒引擎对所述预设数量的 文件中的第一分类文件进行扫描， 得到包括所述预设数量的文件中的确定 文件的第一扫描结果；
输入文件子单元 423 , 用于将所述预设数量的文件中除所述确定文件 以外的其它文件输入到所述第二杀毒引擎；
判断触发子单元 424, 用于当未扫描完所有待查杀文件时， 返回触发 执行所述获取文件子单元 421 的功能， 直至通过所述第一杀毒引擎扫描完 所有待查杀文件。 通过对以上实施方式的描述可知， 本申请实施例应用至少一个第一杀 毒引擎和至少一个第二杀毒引擎进行多杀毒引擎并行杀毒， 其中调用第一 杀毒引擎， 对待查杀文件中的第一分类文件进行扫描， 获得第一扫描结果， 第一扫描结果中包括第一分类文件中的确定文件， 调用第二杀毒引擎， 对 待查杀文件中除第一分类文件中的确定文件以外的其它文件进行扫描， 获 得第二扫描结果， 输出第一扫描结果和第二扫描结果。 本申请实施例应用 多个杀毒引擎进行杀毒时， 釆用并行杀毒的方式， 根据不同杀毒引擎的查 杀特点， 通过第一杀毒引擎对第一分类文件进行查杀， 第一杀毒引擎无法 查杀的文件再通过第二杀毒引擎进行查杀， 因此可以有效利用系统资源， 使得多个杀毒引擎不会重复对同一文件进行扫描。
在本发明的一个方面， 提供了一种处理计算机病毒的方法。
参见图 6, 为本申请处理计算机病毒的方法的第一实施例流程图： 步骤 601 : 预先设置若干病毒扫描方式， 若干病毒扫描方式在进行文 件扫描时所占用的系统资源不同。
其中， 若干病毒扫描方式按照占用系统资源从小到大顺序排列， 包括 下述至少两种方式： 根据緩存中保存的已扫描文件的扫描结果进行病毒扫 描的内存扫描方式， 其中扫描结果包括确定为恶意文件或非恶意文件的文 件属性信息， 文件属性信息包括文件大小、 文件修改时间和文件路径； 通 过预先保存的黑名单和白名单中的至少一种名单进行病毒扫描的名单扫描 方式； 通过杀毒引擎进行病毒扫描的引擎扫描方式。
步骤 602: 获取待扫描文件。
步骤 603 : 按照若干病毒扫描方式占用系统资源从小到大的顺序， 调 用相应的病毒扫描方式对待扫描文件进行扫描。
其中， 当若干病毒扫描方式至少包括第一病毒扫描方式和第二病毒扫 描方式， 且第一病毒扫描方式占用的系统资源小于第二病毒扫描方式时， 先调用第一病毒扫描方式对待扫描文件进行扫描， 获得待扫描文件中的确 定文件， 然后调用第二病毒扫描方式仅对待扫描文件中除确定文件以外的 其它文件进行扫描。 其中， 确定文件指确定为恶意文件或非恶意文件的文 件。
具体的， 当同时釆用内存扫描方式、 名单扫描方式和引擎扫描方式对 待扫描文件进行扫描时， 首先调用内存扫描方式对待扫描文件进行扫描， 获得包含第一确定文件的第一扫描结果， 然后调用名单扫描方式仅对待扫 描文件中除第一确定文件的其它文件进行扫描， 获得包含第二确定文件的 第二扫描结果， 最后调用引擎扫描方式仅对其它文件中除第二确定文件的 剩余文件进行扫描， 获得包含第三确定文件的第三扫描结果。
参见图 7, 为本申请处理计算机病毒的方法的第二实施例流程图， 该 实施例详细描述了釆用三种扫描方式对待扫描文件进行扫描的过程：
步骤 701 : 预先设置按照占用系统资源从小到大顺序排列的内存扫描 方式、 名单扫描方式和引擎扫描方式。
其中， 内存扫描方式指根据緩存中保存的已扫描文件的扫描结果进行 病毒扫描， 扫描结果包括确定为恶意文件或非恶意文件的文件属性信息， 文件属性信息包括文件大小、 文件修改时间和文件路径等； 名单扫描方式 指通过预先保存的黑名单和白名单中的至少一种名单进行病毒扫描； 引擎 扫描方式指通过杀毒引擎进行病毒扫描的引擎扫描方式。
步骤 702: 获取待扫描文件。
步骤 703 : 调用内存扫描方式对待扫描文件进行扫描， 获得包含第一 确定文件的第一扫描结果。
获取待扫描文件的文件属性信息， 例如文件大小、 文件修改时间和文 件路径等。 系统中文件属性记录了该文件最后一次被修改后的文件大小、 修改时间和文件路径等属性信息，属性信息根据文件的修改进行实时更新。
将文件属性信息与緩存中保存的文件属性信息进行匹配， 当待扫描文 件的文件属性与緩存中保存的文件属性匹配时， 将待扫描文件确定为恶意 文件或非恶意文件， 当待扫描文件的文件属性与緩存中保存的文件属性不 匹配时， 将待扫描文件确定为通过名单扫描方式进行扫描的其它文件。 由 于文件属性信息包括多种信息， 因此在进行匹配时可以按照预设顺序对每 一种属性信息进行逐一匹配， 例如， 先匹配文件大小， 其次匹配文件修改 时间， 最后匹配文件路径等。 其中， 当某一文件的所有属性信息都与緩存 中保存的文件属性信息一致时， 才确定该文件的文件属性与緩存中保存的 文件属性匹配， 当某一文件的任意一种属性信息与緩存中保存的文件属性 信息不一致时，则确定该文件的文件属性与緩存中保存的文件属性不匹配。
由于内存扫描方式是根据緩存中保存的已扫描文件的扫描结果进行病 毒扫描， 因此通过匹配获得的第一扫描结果中的确定文件是根据前次扫描 已经确定为恶意文件和非恶意文件的文件集合。 由于内存信息读取速度快， 且前后两次扫描过程中病毒文件发生的变化不大， 因此通过内存扫描方式 可以对系统中的大部分文件进行查杀， 因此提升了查杀速度， 节约了系统 资源。
步骤 704: 调用名单扫描方式仅对待扫描文件中除第一确定文件的其 它文件进行扫描， 获得包含第二确定文件的第二扫描结果。
通过预先保存的黑名单进行扫描时， 将其它文件中的每一个文件的文 件名与黑名单中预先保存的文件名进行比较， 当某个文件的文件名与预先 保存的文件名匹配时， 确定某个文件为属于第二确定文件的恶意文件； 通 过预先保存的白名单进行扫描时， 将其它文件中的每一个文件的文件名与 白名单中预先保存的文件名进行比较， 当某个文件的文件名与预先保存的 文件名匹配时， 确定某个文件为属于第二确定文件的非恶意文件。
其中， 白名单通常由用户在客户端进行维护， 用户将确定为非恶意的 文件加入到白名单中进行保存， 白名单中可以记录文件的文件名和文件路 径等信息； 黑名单通常由杀毒软件提供方进行维护， 根据监控将确定的恶 意文件加入到黑名单中进行保存。
步骤 705 : 调用引擎扫描方式仅对其它文件中除第二确定文件的剩余 文件进行扫描， 获得包含第三确定文件的第三扫描结果。
釆用引擎扫描方式对剩余文件进行扫描时， 可以釆用的杀毒引擎可以 包括： 云查杀引擎， QVM ( Qihoo Virtual Machine, 人工智能引擎） 引擎， 小红伞杀毒引擎等任意现有已存在的杀毒引擎。
步骤 706: 根据待扫描文件的扫描结果， 将第二确定文件和第三确定 文件的文件属性存入緩存中。
由于本次扫描过程中， 通过名单扫描方式和引擎扫描方式得到的扫描 结果中的确定文件与在緩存中保存的确定文件不同， 因此为了进一步提高 下一次病毒扫描速度， 将第二确定文件和第三确定文件的文件属性， 包括 文件大小、 文件修改时间及文件路径等记录到緩存中， 则下一次对这些文 件可以直接通过占用系统资源最少的内存扫描方式进行扫描。
参见图 8 , 为本申请处理计算机病毒的方法的第三实施例流程图， 该 实施例详细示出了通过内存扫描方式对待扫描文件进行扫描的过程：
步骤 801 : 緩存中预先保存已扫描文件的扫描结果， 该扫描结果包括 确定为恶意文件或非恶意文件的文件属性信息， 文件属性信息包括文件大
Ί、、 文件修改时间和文件路径。
步骤 802: 顺序获取待扫描文件中的一个文件。
步骤 803 : 获取该文件的文件大小、 文件修改时间和文件路径。
系统中文件的文件属性记录了该文件最后一次被修改后的文件大小、 修改时间和文件路径等属性信息，属性信息根据文件的修改进行实时更新。
步骤 804: 判断该文件的文件大小是否与预先保存的文件大小匹配， 若是， 则执行步骤 805 , 否则， 执行步骤 809。
步骤 805 : 判断该文件的文件修改时间是否与预先保存的文件修改时 间匹配， 若是， 则执行步骤 806; 否则， 执行步骤 809。
步骤 806: 判断该文件的文件路径是否与预先保存的文件路径匹配， 若是， 则执行步骤 807; 否则， 执行步骤 809。
步骤 807: 根据匹配结果将该文件确定为恶意文件或非恶意文件。 当某一文件的所有属性信息都与緩存中保存的文件属性信息一致时， 才确定该文件的文件属性与緩存中保存的文件属性匹配， 此时如果内存中 相匹配的文件属性信息对应的文件为恶意文件， 则该文件的扫描结果即为 恶意文件， 如果内存中匹配的文件属性信息对应的文件为非恶意文件， 则 该文件的扫描结果即为非恶意文件。
由于内存扫描方式是根据緩存中保存的已扫描文件的扫描结果进行病 毒扫描， 因此通过匹配获得的第一扫描结果中的确定文件是根据前次扫描 已经确定为恶意文件和非恶意文件的文件集合。 由于内存信息读取速度快， 且前后两次扫描过程中病毒文件发生的变化不大， 因此通过内存扫描方式 可以对系统中的大部分文件进行查杀， 因此提升了查杀速度， 节约了系统 资源。
步骤 808: 将该文件确定为需要通过其它扫描方式进行扫描的文件。 当某一文件的任意一种属性信息与緩存中保存的文件属性信息不一致 时， 则确定该文件的文件属性与緩存中保存的文件属性不匹配。 此时， 说 明该文件为需要通过除内存扫描方式的其它扫描方式进行扫描， 例如， 通 过前述实施例中示出的名单扫描方式， 和 /或弓！擎扫描方式。
步骤 809: 是否匹配完所有待扫描文件， 若是， 则结束流程， 否则， 返回步骤 802。 由上述本申请实施例可见， 在对文件进行病毒扫描时， 由于按照占用 系统资源从小到大的顺序调用相应的病毒扫描方式， 因此可以先通过占用 系统资源较少的病毒扫描方式， 例如内存扫描方式对文件进行扫描， 从而 减少占用系统资源较大的病毒扫描方式所需扫描的文件数量， 由此提高系 统的病毒扫描速度， 节约系统资源； 进一步， 由于占用系统资源较小的内 存扫描方式可以保存前一次扫描的扫描结果， 因此再次扫描时， 可以通过 内存扫描方式确定大部分文件的扫描结果， 从而进一步提升扫描速度。
在本发明的另一方面， 与本申请处理计算机病毒的方法的实施例相对 应， 本申请还提供了处理计算机病毒的装置的实施例。
参见图 9, 为本申请处理计算机病毒的装置的第一实施例框图： 该装置包括： 设置单元 910、 获取单元 920和扫描单元 930。
其中， 设置单元 910 , 用于预先设置若干病毒扫描方式， 所述若干病 毒扫描方式在进行文件扫描时所占用的系统资源不同；
获取单元 920, 用于获取待扫描文件；
扫描单元 930, 用于按照所述若干病毒扫描方式占用系统资源从小到 达的顺序， 调用相应的病毒扫描方式对所述待扫描文件进行扫描。
其中， 所述设置单元 910中设置的若干病毒扫描方式至少包括第一病 毒扫描方式和第二病毒扫描方式， 所述第一病毒扫描方式占用的系统资源 小于所述第二病毒扫描方式；
所述扫描单元 930可以具体包括（图 9中未示出）：
第一调用扫描单元， 用于调用所述第一病毒扫描方式对所述待扫描文 件进行扫描， 获得所述待扫描文件中的确定文件；
第二调用扫描单元， 用于调用所述第二病毒扫描方式仅对所述待扫描 参见图 10, 为本申请处理计算机病毒的装置的第二实施例框图： 该装置包括： 设置单元 1010、 获取单元 1020、 扫描单元 1030和存储 单元 1040。
其中， 设置单元 1010, 用于预先设置若干病毒扫描方式， 所述若干病 毒扫描方式在进行文件扫描时所占用的系统资源不同； 其中， 所述设置单 元设置的若干病毒扫描方式按照占用系统资源从小到达顺序排列， 包括下 述至少两种方式： 根据緩存中保存的已扫描文件的扫描结果进行病毒扫描 的内存扫描方式， 所述扫描结果包括确定为恶意文件或非恶意文件的文件 属性， 所述文件属性包括文件大小、 文件修改时间和文件路径； 通过预先 保存的黑名单和白名单中的至少一种名单进行病毒扫描的名单扫描方式； 通过杀毒引擎进行病毒扫描的引擎扫描方式；
获取单元 1020, 用于获取待扫描文件；
扫描单元 1030, 用于按照所述若干病毒扫描方式占用系统资源从小到 达的顺序， 调用相应的病毒扫描方式对所述待扫描文件进行扫描； 该扫描 单元 1030 可以包括： 第一扫描单元 1031 , 用于调用所述内存扫描方式对 所述待扫描文件进行扫描， 获得包含第一确定文件的第一扫描结果； 第二 扫描单元 1032, 用于调用所述名单扫描方式仅对所述待扫描文件中除所述 第一确定文件的其它文件进行扫描， 获得包含第二确定文件的第二扫描结 果； 第三扫描单元 1033 , 用于调用所述引擎扫描方式仅对所述其它文件中 除所述第二确定文件的剩余文件进行扫描， 获得包含第三确定文件的第三 扫描结果；
存储单元 1040, 用于根据所述第二扫描单元和第三扫描单元的扫描结 果， 将所述第二确定文件和第三确定文件的文件属性存入緩存中。
具体的， 第一扫描单元 1031可以包括（图 10中未示出）：
信息获取单元， 用于获取待扫描文件的文件属性信息；
信息匹配单元， 用于将所述文件属性信息与緩存中保存的文件属性信 息进行匹配；
结果确定单元， 用于当待扫描文件的文件属性与緩存中保存的文件属 性匹配时， 将所述待扫描文件确定为恶意文件或非恶意文件， 当待扫描文 件的文件属性与緩存中保存的文件属性不匹配时， 将所述待扫描文件确定 为通过名单扫描方式进行扫描的其它文件。
具体的， 第二扫描单元 1032可以包括（图 10中未示出）：
黑名单扫描单元， 用于将所述其它文件中的每一个文件的文件名与所 述黑名单中预先保存的文件名进行比较， 当某个文件的文件名与所述预先 保存的文件名匹配时， 确定所述某个文件为属于所述第二确定文件的恶意 文件；
白名单扫描单元， 用于将所述其它文件中的每一个文件的文件名与所 述白名单中预先保存的文件名进行比较， 当某个文件的文件名与所述预先 保存的文件名匹配时， 确定所述某个文件为属于所述第二确定文件的非恶 意文件。
通过对以上实施方式的描述可知， 本申请实施例中预先设置若干病毒 扫描方式， 这些病毒扫描方式在进行文件扫描时所占用的系统资源不同， 获取待扫描文件， 按照若干病毒扫描方式占用系统资源从小到大的顺序， 调用相应的病毒扫描方式对待扫描文件进行扫描。 应用本申请实施例对文 件进行病毒扫描， 由于按照占用系统资源从小到大的顺序调用相应的病毒 扫描方式， 因此可以先通过占用系统资源较少的病毒扫描方式， 例如内存 扫描方式对文件进行扫描， 从而减少占用系统资源较大的病毒扫描方式所 需扫描的文件数量， 由此提高系统的病毒扫描速度， 节约系统资源； 进一 步， 由于占用系统资源较小的内存扫描方式可以保存前一次扫描的扫描结 果， 因此再次扫描时， 可以通过内存扫描方式确定大部分文件的扫描结果， 从而进一步提升扫描速度。
本发明的各个模块和部件实施例可以以硬件实现， 或者以在一个或者 多个处理器上运行的软件模块实现， 或者以它们的组合实现。 本领域的技 术人员应当理解， 可以在实践中使用微处理器或者数字信号处理器（DSP ) 来实现根据本发明实施例的处理计算机病毒的装置和多杀毒引擎并行杀毒 系统中的一些或者全部部件的一些或者全部功能。 本发明还可以实现为用 于执行这里所描述的方法的一部分或者全部的设备或者装置程序 （例如， 计算机程序和计算机程序产品）。这样的实现本发明的程序可以存储在计算 机可读介质上， 或者可以具有一个或者多个信号的形式。 这样的信号可以 从因特网网站上下载得到， 或者在载体信号上提供， 或者以任何其他形式 提供。
例如， 图 11示出了可以实现根据本发明的处理计算机病毒的方法和多 杀毒引擎并行杀毒方法的服务器， 例如应用服务器。 该服务器传统上包括 处理器 1110和以存储器 1120形式的计算机程序产品或者计算机可读介质。 存储器 1120可以是诸如闪存、 EEPROM (电可擦除可编程只读存储器）、 EPROM,硬盘或者 ROM之类的电子存储器。 存储器 1120具有用于执行上 述方法中的任何方法步骤的程序代码 1131的存储空间 1130。 例如， 用于程 序代码的存储空间 1130可以包括分别用于实现上面的方法中的各种步骤的 各个程序代码 1131。 这些程序代码可以从一个或者多个计算机程序产品中 读出或者写入到这一个或者多个计算机程序产品中。 这些计算机程序产品 包括诸如硬盘， 紧致盘 （CD )、 存储卡或者软盘之类的程序代码载体。 这 样的计算机程序产品通常为如参考图 12所述的便携式或者固定存储单元。 该存储单元可以具有与图 11的服务器中的存储器 1120类似布置的存储段、 存储空间等。 程序代码可以例如以适当形式进行压缩。 通常， 存储单元包 括计算机可读代码 113 Γ , 即可以由例如诸如 1110之类的处理器读取的代 码， 这些代码当由服务器运行时， 导致该服务器执行上面所描述的方法中 的各个步骤。
本文中所称的 "一个实施例"、 "实施例" 或者 "一个或者多个实施例" 意味着， 结合实施例描述的特定特征、 结构或者特性包括在本发明的至少 一个实施例中。 此外， 请注意， 这里 "在一个实施例中" 的词语例子不一 定全指同一个实施例。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理解， 并未详细示出公知的方法、 结构和技术， 以便不模糊对本说明书的理解。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限 制， 并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出 替换实施例。 在权利要求中， 不应将位于括号之间的任何参考符号构造成 对权利要求的限制。 单词 "包含" 不排除存在未列在权利要求中的元件或 步骤。 位于元件之前的单词 "一" 或 "一个" 不排除存在多个这样的元件。 本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算 机来实现。 在列举了若干装置的单元权利要求中， 这些装置中的若干个可 以是通过同一个硬件项来具体体现。 单词第一、 第二、 以及第三等的使用 不表示任何顺序。 可将这些单词解释为名称。
此外， 还应当注意， 本说明书中使用的语言主要是为了可读性和教导 的目的而选择的， 而不是为了解释或者限定本发明的主题而选择的。 因此， 在不偏离所附权利要求书的范围和精神的情况下， 对于本技术领域的普通 技术人员来说许多修改和变更都是显而易见的。 对于本发明的范围， 对本 发明所做的公开是说明性的， 而非限制性的， 本发明的范围由所附权利要 求书限定。

Claims

权 利 要 求
1、 一种多杀毒引擎并行杀毒方法， 所述多杀毒引擎中包括至少一个第 一杀毒引擎和至少一个第二杀毒引擎， 所述方法包括：
调用所述第一杀毒引擎， 对待查杀文件中的第一分类文件进行扫描， 获得第一扫描结果， 所述第一扫描结果中包括所述第一分类文件中的确定 文件；
调用所述第二杀毒引擎， 对所述待查杀文件中除所述第一分类文件中 的确定文件以外的其它文件进行扫描， 获得第二扫描结果；
输出所述第一扫描结果和第二扫描结果。
2、 根据权利要求 1所述的方法， 其中， 所述对待查杀文件中的第一分 类文件进行扫描之前， 还包括：
根据第一分类文件的分类特征识别所述待查杀文件中的第一分类文 件。
3、 根据权利要求 1所述的方法， 其中， 所述对所述待查杀文件中的第 一分类文件进行扫描包括：
顺序获取所述待查杀文件中预设数量的文件；
通过所述第一杀毒引擎对所述预设数量的文件中的第一分类文件进行 扫描， 得到包括所述预设数量的文件中的确定文件的第一扫描结果；
将所述预设数量的文件中除所述确定文件以外的其它文件输入到所述 第二杀毒引擎；
当未扫描完所有待查杀文件时， 返回所述顺序获取所述待查杀文件中 预设数量的文件的步骤， 直至通过所述第一杀毒引擎扫描完所有待查杀文 件。
4、 根据权利要求 1至 3任意一项所述的方法， 其中， 所述第一分类文 件中的确定文件包括： 所述第一分类文件中确定为恶意文件的文件、 和 /或 确定为非恶意文件的文件。
5、 根据权利要求 4所述的方法， 其中，
当所述第一杀毒引擎为云查杀引擎时， 所述调用所述第一杀毒引擎， 对待查杀文件中的第一分类文件进行扫描包括： 调用所述云查杀引擎， 通过所述云查杀引擎保存的黑名单和白名单对 所述待查杀文件中的 PE类型文件进行扫描，过滤与所述黑名单匹配的恶意 文件， 以及与所述白名单匹配的非恶意文件； 将所述待查杀文件中除通过 云查杀引擎过滤的恶意文件和非恶意文件外的其它文件输入所述第二杀毒 引擎；
当所述第一杀毒引擎为 QVM 引擎时， 所述调用所述第一杀毒引擎， 对待查杀文件中的第一分类文件进行扫描包括：
调用所述 QVM引擎，通过所述 QVM引擎保存的黑名单对所述待查杀 文件中的 PE类型文件进行扫描， 过滤与所述黑名单匹配的恶意文件； 将所 述待查杀文件中除通过 QVM 引擎过滤的恶意文件外的其它文件输入所述 第二杀毒引擎。
6、 根据权利要求 4所述的方法， 其中， 当所述第一杀毒引擎为云查杀 引擎和 QVM 引擎时， 所述调用所述第一杀毒引擎， 对待查杀文件中的第 一分类文件进行扫描包括：
调用所述云查杀引擎， 通过所述云查杀引擎保存的黑名单和白名单对 所述待查杀文件中的 PE类型文件进行扫描，过滤与所述黑名单匹配的恶意 文件， 以及与所述白名单匹配的非恶意文件；
将所述待查杀文件中除通过云查杀引擎过滤的恶意文件和非恶意文件 外的其它文件输入所述 QVM引擎；
调用所述 QVM引擎，通过所述 QVM引擎保存的黑名单对所述其它文 件中的 PE类型文件进行扫描， 过滤与所述黑名单匹配的恶意文件；
将所述其它文件中除通过 QVM 引擎过滤的恶意文件外的文件输入所 述第二杀毒引擎。
7、 一种多杀毒引擎并行杀毒装置， 所述多杀毒引擎中包括至少一个第 一杀毒引擎和至少一个第二杀毒引擎， 所述装置包括：
第一调用单元， 用于调用所述第一杀毒引擎；
第一扫描单元， 用于通过所述第一杀毒引擎对待查杀文件中的第一分 类文件进行扫描， 获得第一扫描结果， 所述第一扫描结果中包括所述第一 分类文件中的确定文件； 第二调用单元， 用于调用所述第二杀毒引擎；
第二扫描单元， 用于通过所述第二杀毒引擎对所述待查杀文件中除所 述第一分类文件中的确定文件以外的其它文件进行扫描， 获得第二扫描结 果；
输出单元， 用于输出所述第一扫描结果和第二扫描结果。
8、 根据权利要求 7所述的装置， 其中， 还包括：
识别单元， 用于根据第一分类文件的分类特征识别所述待查杀文件中 的第一分类文件。
9、 根据权利要求 7所述的装置， 其中， 所述第一扫描单元包括： 获取文件子单元， 用于顺序获取所述待查杀文件中预设数量的文件； 扫描文件子单元， 用于通过所述第一杀毒引擎对所述预设数量的文件 中的第一分类文件进行扫描， 得到包括所述预设数量的文件中的确定文件 的第一扫描结果；
输入文件子单元， 用于将所述预设数量的文件中除所述确定文件以外 的其它文件输入到所述第二杀毒引擎；
判断触发子单元， 用于当未扫描完所有待查杀文件时， 返回触发执行 所述获取文件子单元的功能， 直至通过所述第一杀毒引擎扫描完所有待查 杀文件。
10、 根据权利要求 8所述的装置， 其中，
所述第一调用单元， 具体用于当所述第一当所述第一杀毒引擎为云查 杀引擎时， 调用所述云查杀引擎；
所述第一扫描单元， 具体用于通过所述云查杀引擎保存的黑名单和白 名单对所述待查杀文件中的 PE类型文件进行扫描，过滤与所述黑名单匹配 的恶意文件， 以及与所述白名单匹配的非恶意文件； 将所述待查杀文件中 除通过云查杀引擎过滤的恶意文件和非恶意文件外的其它文件输入所述第 二杀毒引擎。
11、 根据权利要求 10所述的装置， 其中，
所述第一调用单元， 具体用于当所述第一杀毒引擎为 QVM 引擎时， 调用所述 QVM引擎； 所述第一扫描单元， 具体用于通过所述 QVM 引擎保存的黑名单对所 述待查杀文件中的 PE类型文件进行扫描，过滤与所述黑名单匹配的恶意文 件； 将所述待查杀文件中除通过 QVM 引擎过滤的恶意文件外的其它文件 输入所述第二杀毒引擎。
12、 一种处理计算机病毒的方法， 其中， 预先设置若干病毒扫描方式， 所述若干病毒扫描方式在进行文件扫描时所占用的系统资源不同， 所述方 法包括：
获取待扫描文件；
按照所述若干病毒扫描方式占用系统资源从小到大的顺序， 调用相应 的病毒扫描方式对所述待扫描文件进行扫描。
13、 根据权利要求 12所述的方法， 其中， 所述若干病毒扫描方式至少 包括第一病毒扫描方式和第二病毒扫描方式， 所述第一病毒扫描方式占用 的系统资源小于所述第二病毒扫描方式；
所述调用相应的病毒扫描方式对所述待扫描文件进行扫描包括： 调用所述第一病毒扫描方式对所述待扫描文件进行扫描， 获得所述待 扫描文件中的确定文件；
调用所述第二病毒扫描方式仅对所述待扫描文件中除所述确定文件以 外的其它文件进行扫描。
14、 根据权利要求 12所述的方法， 其中， 所述若干病毒扫描方式按照 占用系统资源从小到大顺序排列， 包括下述至少两种方式：
根据緩存中保存的已扫描文件的扫描结果进行病毒扫描的内存扫描方 式， 所述扫描结果包括确定为恶意文件或非恶意文件的文件属性信息， 所 述文件属性信息包括文件大小、 文件修改时间和文件路径；
通过预先保存的黑名单和白名单中的至少一种名单进行病毒扫描的名 单扫描方式；
通过杀毒引擎进行病毒扫描的引擎扫描方式。
15、 根据权利要求 14所述的方法， 其中， 所述按照若干病毒扫描方式 占用系统资源从小到大的顺序， 调用相应的病毒扫描方式对待扫描的文件 进行扫描包括： 调用所述内存扫描方式对所述待扫描文件进行扫描， 获得包含第一确 定文件的第一扫描结果；
调用所述名单扫描方式仅对所述待扫描文件中除所述第一确定文件的 其它文件进行扫描， 获得包含第二确定文件的第二扫描结果；
调用所述引擎扫描方式仅对所述其它文件中除所述第二确定文件以外 的剩余文件进行扫描， 获得包含第三确定文件的第三扫描结果。
16、 根据权利要求 15所述的方法， 其中， 釆用内存扫描方式对所述待 扫描文件进行扫描包括：
获取待扫描文件的文件属性信息；
将所述文件属性信息与緩存中保存的文件属性信息进行匹配； 当待扫描文件的文件属性与緩存中保存的文件属性匹配时， 将所述待 扫描文件确定为恶意文件或非恶意文件， 当待扫描文件的文件属性与緩存 中保存的文件属性不匹配时， 将所述待扫描文件确定为通过名单扫描方式 进行扫描的其它文件。
17、 根据权利要求 15所述的方法， 其中，
通过预先保存的黑名单对经过内存扫描方式扫描后的除所述第一确定 文件的其它文件进行扫描包括：
将所述其它文件中的每一个文件的文件名与所述黑名单中预先保存的 文件名进行比较， 当某个文件的文件名与所述预先保存的文件名匹配时， 确定所述某个文件为属于所述第二确定文件的恶意文件；
通过预先保存的白名单对经过内存扫描方式扫描后的除所述第一确定 文件的其它文件进行扫描包括：
将所述其它文件中的每一个文件的文件名与所述白名单中预先保存的 文件名进行比较， 当某个文件的文件名与所述预先保存的文件名匹配时， 确定所述某个文件为属于所述第二确定文件的非恶意文件。
18、 一种处理计算机病毒的装置， 包括：
设置单元， 用于预先设置若干病毒扫描方式， 所述若干病毒扫描方式 在进行文件扫描时所占用的系统资源不同；
获取单元， 用于获取待扫描文件； 扫描单元， 用于按照所述若干病毒扫描方式占用系统资源从小到达的 顺序， 调用相应的病毒扫描方式对所述待扫描文件进行扫描。
19、 根据权利要求 18所述的装置， 其中， 所述设置单元中设置的若干 病毒扫描方式至少包括第一病毒扫描方式和第二病毒扫描方式， 所述第一 病毒扫描方式占用的系统资源小于所述第二病毒扫描方式；
所述扫描单元包括：
第一调用扫描单元， 用于调用所述第一病毒扫描方式对所述待扫描文 件进行扫描， 获得所述待扫描文件中的确定文件；
第二调用扫描单元， 用于调用所述第二病毒扫描方式仅对所述待扫描
20、 根据权利要求 19所述的装置， 其中， 所述设置单元设置的若干病 毒扫描方式按照占用系统资源从小到达顺序排列， 包括下述至少两种方式： 根据緩存中保存的已扫描文件的扫描结果进行病毒扫描的内存扫描方 式， 所述扫描结果包括确定为恶意文件或非恶意文件的文件属性， 所述文 件属性包括文件大小、 文件修改时间和文件路径；
通过预先保存的黑名单和白名单中的至少一种名单进行病毒扫描的名 单扫描方式；
通过少度引擎进行病毒扫描的引擎扫描方式。
21、 根据权利要求 20所述的装置， 其中， 所述扫描单元包括： 第一扫描单元， 用于调用所述内存扫描方式对所述待扫描文件进行扫 描， 获得包含第一确定文件的第一扫描结果；
第二扫描单元， 用于调用所述名单扫描方式仅对所述待扫描文件中除 所述第一确定文件的其它文件进行扫描， 获得包含第二确定文件的第二扫 描结果；
第三扫描单元， 用于调用所述引擎扫描方式仅对所述其它文件中除所 述第二确定文件的剩余文件进行扫描， 获得包含第三确定文件的第三扫描 结果。
22、 一种计算机程序， 包括计算机可读代码， 当所述计算机可读代码 在服务器上运行时， 导致所述服务器执行根据权利要求 1-6 中的任一项所 述的多杀毒引擎并行杀毒方法和 /或执行根据权利要求 12-17中的任一项所 述的处理计算机病毒的方法。
23、 一种计算机可读介质， 其中存储了如权利要求 22所述的计算机程 序。
PCT/CN2012/081574 2011-09-19 2012-09-19 处理计算机病毒的方法和装置 WO2013041016A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US14/345,649 US20150020203A1 (en) 2011-09-19 2012-09-19 Method and device for processing computer viruses
US14/859,791 US10165001B2 (en) 2011-09-19 2015-09-21 Method and device for processing computer viruses

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
CN201110278462.6 2011-09-19
CN2011102784626A CN102279917B (zh) 2011-09-19 2011-09-19 多杀毒引擎并行杀毒方法及系统
CN201110277746.3A CN102346827B (zh) 2011-09-19 2011-09-19 处理计算机病毒的方法及装置
CN201110277746.3 2011-09-19

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US14/345,649 A-371-Of-International US20150020203A1 (en) 2011-09-19 2012-09-19 Method and device for processing computer viruses
US14/859,791 Division US10165001B2 (en) 2011-09-19 2015-09-21 Method and device for processing computer viruses

Publications (1)

Publication Number Publication Date
WO2013041016A1 true WO2013041016A1 (zh) 2013-03-28

Family

ID=47913882

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/081574 WO2013041016A1 (zh) 2011-09-19 2012-09-19 处理计算机病毒的方法和装置

Country Status (2)

Country Link
US (2) US20150020203A1 (zh)
WO (1) WO2013041016A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108804122A (zh) * 2018-06-04 2018-11-13 北京知道创宇信息技术有限公司 信息安全处理系统、虚拟专用服务器及其控制方法
CN111885069A (zh) * 2020-07-28 2020-11-03 郑州市鼎晶信息技术有限公司 一种计算机网络安全系统

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11126720B2 (en) * 2012-09-26 2021-09-21 Bluvector, Inc. System and method for automated machine-learning, zero-day malware detection
KR101480903B1 (ko) * 2013-09-03 2015-01-13 한국전자통신연구원 모바일 악성코드 다중 점검 방법
KR101609124B1 (ko) * 2014-07-07 2016-04-20 주식회사 윈스 모바일 네트워크 환경에서 행위기반 분석 서비스 제공 방법 및 장치
US10116688B1 (en) * 2015-03-24 2018-10-30 Symantec Corporation Systems and methods for detecting potentially malicious files
US9798878B1 (en) 2015-03-31 2017-10-24 Symantec Corporation Systems and methods for detecting text display manipulation attacks
CN104778411B (zh) * 2015-04-22 2017-10-27 百度在线网络技术（北京）有限公司 病毒扫描方法和病毒扫描装置
US9667657B2 (en) * 2015-08-04 2017-05-30 AO Kaspersky Lab System and method of utilizing a dedicated computer security service
RU2617923C2 (ru) * 2015-09-30 2017-04-28 Акционерное общество "Лаборатория Касперского" Система и способ настройки антивирусной проверки
US10423785B2 (en) 2016-06-07 2019-09-24 International Business Machines Corporation Data scanning within distributed computing components
US10902125B2 (en) 2017-04-06 2021-01-26 Walmart Apollo, Llc Infected file detection and quarantine system
US10534912B1 (en) * 2018-10-31 2020-01-14 Capital One Services, Llc Methods and systems for multi-tool orchestration
US11303668B2 (en) * 2019-09-27 2022-04-12 Veeam Software Ag Secure restore
CN111026702B (zh) * 2019-11-22 2023-05-16 安徽三实信息技术服务有限公司 一种windows或linux主机文件的快速巡检方法及装置
CN112214765A (zh) * 2020-09-29 2021-01-12 珠海豹好玩科技有限公司 一种病毒查杀方法、装置、电子设备及存储介质
CN112445760B (zh) * 2020-11-13 2024-05-14 三六零数字安全科技集团有限公司 文件分类方法、设备、存储介质及装置
US11637855B2 (en) 2021-04-26 2023-04-25 Orca Security LTD. Systems and methods for managing cyber vulnerabilities
CN113836533B (zh) * 2021-09-27 2024-05-24 深信服科技股份有限公司 一种文件监测方法、装置、电子设备及可读存储介质

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003010670A1 (en) * 2001-07-26 2003-02-06 Networks Associates Technology, Inc. Scanner api for executing multiple scanning engines
CN101685486A (zh) * 2008-09-23 2010-03-31 联想(北京)有限公司 多杀毒引擎的杀毒方法和系统
CN101795267A (zh) * 2009-12-30 2010-08-04 成都市华为赛门铁克科技有限公司 病毒检测方法、装置和网关设备
CN101894225A (zh) * 2004-11-08 2010-11-24 微软公司 聚集反病毒软件应用程序的知识库的系统和方法
CN102024113A (zh) * 2010-12-22 2011-04-20 北京安天电子设备有限公司 快速检测恶意代码的方法和系统
CN102279917A (zh) * 2011-09-19 2011-12-14 奇智软件（北京）有限公司 多杀毒引擎并行杀毒方法及系统
CN102314571A (zh) * 2011-09-27 2012-01-11 奇智软件（北京）有限公司 处理计算机病毒的方法及装置
CN102346827A (zh) * 2011-09-19 2012-02-08 奇智软件（北京）有限公司 处理计算机病毒的方法及装置
CN102663284A (zh) * 2012-03-21 2012-09-12 南京邮电大学 一种基于云计算的恶意代码识别方法

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5960170A (en) 1997-03-18 1999-09-28 Trend Micro, Inc. Event triggered iterative virus detection
US7216366B1 (en) * 2000-11-17 2007-05-08 Emc Corporation Storage based apparatus for antivirus
CN1153146C (zh) 2001-03-16 2004-06-09 联想(北京)有限公司 网关级计算机网络病毒防范的方法
US20040015440A1 (en) 2002-07-19 2004-01-22 Lai Yu Cheng Network resource management system
US7392543B2 (en) * 2003-06-30 2008-06-24 Symantec Corporation Signature extraction system and method
US7257842B2 (en) * 2003-07-21 2007-08-14 Mcafee, Inc. Pre-approval of computer files during a malware detection
US7398399B2 (en) * 2003-12-12 2008-07-08 International Business Machines Corporation Apparatus, methods and computer programs for controlling performance of operations within a data processing system or network
US7475427B2 (en) * 2003-12-12 2009-01-06 International Business Machines Corporation Apparatus, methods and computer programs for identifying or managing vulnerabilities within a data processing network
US7765410B2 (en) * 2004-11-08 2010-07-27 Microsoft Corporation System and method of aggregating the knowledge base of antivirus software applications
US7620974B2 (en) * 2005-01-12 2009-11-17 Symantec Distributed traffic scanning through data stream security tagging
US20080301796A1 (en) * 2007-05-31 2008-12-04 Microsoft Corporation Adjusting the Levels of Anti-Malware Protection
US20090013405A1 (en) * 2007-07-06 2009-01-08 Messagelabs Limited Heuristic detection of malicious code
US8214895B2 (en) 2007-09-26 2012-07-03 Microsoft Corporation Whitelist and blacklist identification data
US7979906B2 (en) * 2007-10-05 2011-07-12 Research In Motion Limited Method and system for multifaceted scanning
US8813222B1 (en) * 2009-01-21 2014-08-19 Bitdefender IPR Management Ltd. Collaborative malware scanning
US8745743B2 (en) * 2009-06-09 2014-06-03 F-Secure Oyj Anti-virus trusted files database
GB2471716A (en) * 2009-07-10 2011-01-12 F Secure Oyj Anti-virus scan management using intermediate results
CN101651678B (zh) 2009-09-11 2012-07-25 北京锐安科技有限公司 网络中动态合并及分别执行合并pe文件的方法及其系统
US8407790B2 (en) * 2010-02-09 2013-03-26 Webroot, Inc. Low-latency detection of scripting-language-based exploits
US8584235B2 (en) * 2011-11-02 2013-11-12 Bitdefender IPR Management Ltd. Fuzzy whitelisting anti-malware systems and methods

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2003010670A1 (en) * 2001-07-26 2003-02-06 Networks Associates Technology, Inc. Scanner api for executing multiple scanning engines
CN101894225A (zh) * 2004-11-08 2010-11-24 微软公司 聚集反病毒软件应用程序的知识库的系统和方法
CN101685486A (zh) * 2008-09-23 2010-03-31 联想(北京)有限公司 多杀毒引擎的杀毒方法和系统
CN101795267A (zh) * 2009-12-30 2010-08-04 成都市华为赛门铁克科技有限公司 病毒检测方法、装置和网关设备
CN102024113A (zh) * 2010-12-22 2011-04-20 北京安天电子设备有限公司 快速检测恶意代码的方法和系统
CN102279917A (zh) * 2011-09-19 2011-12-14 奇智软件（北京）有限公司 多杀毒引擎并行杀毒方法及系统
CN102346827A (zh) * 2011-09-19 2012-02-08 奇智软件（北京）有限公司 处理计算机病毒的方法及装置
CN102314571A (zh) * 2011-09-27 2012-01-11 奇智软件（北京）有限公司 处理计算机病毒的方法及装置
CN102663284A (zh) * 2012-03-21 2012-09-12 南京邮电大学 一种基于云计算的恶意代码识别方法

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108804122A (zh) * 2018-06-04 2018-11-13 北京知道创宇信息技术有限公司 信息安全处理系统、虚拟专用服务器及其控制方法
CN108804122B (zh) * 2018-06-04 2022-04-29 北京知道创宇信息技术股份有限公司 信息安全处理系统、虚拟专用服务器及其控制方法
CN111885069A (zh) * 2020-07-28 2020-11-03 郑州市鼎晶信息技术有限公司 一种计算机网络安全系统

Also Published As

Publication number Publication date
US20160014144A1 (en) 2016-01-14
US20150020203A1 (en) 2015-01-15
US10165001B2 (en) 2018-12-25

Similar Documents

Publication Publication Date Title
WO2013041016A1 (zh) 处理计算机病毒的方法和装置
JP5094928B2 (ja) 偽装仮想マシン情報を利用したインテリジェントボット対応方法及び装置
US9876812B1 (en) Automatic malware signature extraction from runtime information
US8499167B2 (en) System and method for efficient and accurate comparison of software items
US9241010B1 (en) System and method for network behavior detection
US9935972B2 (en) Emulator-based malware learning and detection
US9135443B2 (en) Identifying malicious threads
KR101880375B1 (ko) 네트워크 활동을 보이는 실행파일들의 분리
EP3420489B1 (en) Cybersecurity systems and techniques
EP2955658B1 (en) System and methods for detecting harmful files of different formats
US9111094B2 (en) Malware detection
CN109583202B (zh) 用于检测进程的地址空间中的恶意代码的系统和方法
CN106384048B (zh) 一种威胁信息处理方法与装置
US9239922B1 (en) Document exploit detection using baseline comparison
JP5963008B2 (ja) コンピュータシステムの分析方法および装置
JP2009543186A5 (zh)
JP2014534531A (ja) ファジーホワイトリスト化アンチマルウェアシステムおよび方法
KR101132197B1 (ko) 악성 코드 자동 판별 장치 및 방법
AU2017201667B2 (en) Secure document importation via portable media
WO2015007224A1 (zh) 基于云安全的恶意程序查杀的方法、装置和服务器
WO2014071867A1 (zh) 程序处理方法和系统，用于程序处理的客户端和服务器
CN102346827B (zh) 处理计算机病毒的方法及装置
WO2015081791A1 (zh) 内核级恶意软件查杀的方法和装置
WO2017084557A1 (zh) 文件扫描方法及装置
WO2014044187A2 (zh) 一种检测和清除计算机病毒的方法和装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12832995

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14345649

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12832995

Country of ref document: EP

Kind code of ref document: A1