WO2015007224A1 - 基于云安全的恶意程序查杀的方法、装置和服务器 - Google Patents

基于云安全的恶意程序查杀的方法、装置和服务器 Download PDF

Info

Publication number
WO2015007224A1
WO2015007224A1 PCT/CN2014/082400 CN2014082400W WO2015007224A1 WO 2015007224 A1 WO2015007224 A1 WO 2015007224A1 CN 2014082400 W CN2014082400 W CN 2014082400W WO 2015007224 A1 WO2015007224 A1 WO 2015007224A1
Authority
WO
WIPO (PCT)
Prior art keywords
file
killing
scanned
server
script
Prior art date
Application number
PCT/CN2014/082400
Other languages
English (en)
French (fr)
Inventor
孔庆龙
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Priority to US14/905,938 priority Critical patent/US10027704B2/en
Publication of WO2015007224A1 publication Critical patent/WO2015007224A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/567—Computer malware detection or handling, e.g. anti-virus arrangements using dedicated hardware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0263—Rule management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to the field of computer security, and in particular, to a method, device, and server for killing malicious programs based on cloud security.
  • the user terminal basically needs to install anti-virus software to scan files in the computer.
  • anti-virus software scans, it requires a lot of CPU operations and disk operations, which makes the scanning process long and affects the system speed.
  • files in a computer there are many files that are the same, such as Windows files, many software installation package files, help files, shrink files, and so on.
  • the traditional technical solution for killing malicious programs is a signature-based killing method.
  • the killing method mainly relies on the feature library mode.
  • the special code consists of the malicious code samples collected by the merchants.
  • the feature code is the distinguishing feature between the malicious program and the security program that the analysis engineer recognizes in the malicious program.
  • the special code can be a similar piece of interception. ⁇ "Search Keyword" program code.
  • a cloud security based malicious program killing method is provided, the method Includes:
  • an apparatus for malicious program killing based on cloud security comprising:
  • a communication unit adapted to send information to the server and receive information returned by the server
  • the scanning unit is adapted to start a scanning task, perform a scanning operation on the object to be scanned, calculate an index identifier of the scanned file, send the index identifier to the server through the communication unit, and receive the scanned file according to the index identifier returned by the receiving server Corresponding script;
  • the killing unit the script suitable for executing the receiving, checks and kills the scanned file.
  • a cloud security based malicious program killing server including:
  • a storage unit suitable for storing a script for checking and killing files
  • a communication unit adapted to receive an index identifier
  • the searching unit is adapted to search for a corresponding script from the storage unit according to the received index identifier
  • the communication unit is further adapted to return the found script.
  • a computer program comprising computer readable code, when the computer readable code is run on a terminal device, causing the terminal device to perform a cloud based operation according to any of the above A safe way to kill malicious programs.
  • a computer readable medium storing a computer program as described above.
  • the ⁇ -moving task performs a scanning operation on the object to be scanned, calculates an index identifier of the scanned file, sends the index identifier to the server, and receives the scanned file according to the index identifier returned by the receiving server.
  • Corresponding scripts execute the received script to kill the scanned files. Therefore, the script can be obtained from the server, and the script can be executed to timely check and kill the malicious program, and the new malicious program can be checked and killed without waiting for the terminal's killing engine to update the version; and the script is based on The index of the file is found.
  • the script corresponds to the file and is targeted to the file. This prevents the system or application in the terminal from working properly after the killing because of the error in the killing operation.
  • the technical solution of the present invention solves the problem that the time consumed by the terminal to kill the engine version update process is The problem that the long-term malicious program spreads, and the system or application in the terminal cannot work normally after the killing due to the error of the malicious program. Moreover, it has obtained the timely killing and killing of malicious programs, reducing the spread of malicious programs, and avoiding the error killing operation of malicious programs, and ensuring the beneficial effects of the system or application in the terminal.
  • the above description is only an overview of the technical solutions of the present invention, and the technical means of the present invention can be more clearly understood, and can be implemented in accordance with the contents of the specification, and the above and other objects, features and advantages of the present invention can be more clearly understood. Specific embodiments of the invention are set forth below.
  • FIG. 1 is a block diagram showing an apparatus for cloud security based malicious program killing according to an embodiment of the present invention
  • FIG. 2 is a diagram showing a cloud security based malicious program killing according to an embodiment of the present invention.
  • FIG. 3 is a structural diagram of a system for cloud security-based malicious program killing according to an embodiment of the present invention;
  • FIG. 4 illustrates a cloud security-based malicious program according to an embodiment of the present invention.
  • FIG. 5 is a flow chart showing a method for cloud-based malicious program killing according to another embodiment of the present invention;
  • FIG. 6 is a schematic diagram showing execution of a method according to the present invention a block diagram of the method's terminal device;
  • FIG. 7 schematically shows a storage unit for holding or carrying program code implementing the method according to the invention.
  • DETAILED DESCRIPTION OF EXEMPLARY EMBODIMENTS Exemplary embodiments of the present disclosure will be described in more detail with reference to the drawings. While the embodiments of the present invention have been shown in the drawings, the embodiments Rather, these embodiments are provided so that this disclosure will be more fully understood, and the scope of the present disclosure can be fully conveyed to those skilled in the art.
  • FIG. 1 a diagram of a device for cloud security-based malicious program killing according to an embodiment of the present invention is shown. Structure.
  • the device 100 includes: a communication unit 110, a scanning unit 120, and a killing unit 130.
  • the communication unit 1 10 is adapted to transmit information to the server 2()() and receive information returned by the server 200.
  • the scanning unit 120 is adapted to start a scanning task, perform a scanning operation on the object to be scanned, calculate an index identifier of the scanned file, send the index identifier to the server 200 through the communication unit 110, and receive the index identifier returned by the server 200.
  • the scan task can be initiated by means of a ⁇ or a user operation trigger. That is, the scanning unit 120 starts the scanning task at a time, or scans the task when receiving the user operation instruction.
  • the scanned objects can be memory, boot sector, BIOS (Basic Input Output System), and so on.
  • BIOS Basic Input Output System
  • the memory feature code is matched by enumerating the process space and the process module, and some memory segments and memory module sums are calculated; when scanning the boot sector, the specific area can be read through the interface API provided by the file system. Block and boot code, matching signatures and computing a summary of specific blocks;
  • BIOS you can use the relevant API provided by the system to read specific blocks and code segments, match the signature and calculate the summary of the specific block.
  • the local engine can determine the infected file.
  • the scanning unit 120 is specifically adapted to calculate an encrypted value of the full text and/or signature of the scanned file, and indexed by the encrypted value.
  • the scanning unit 120 calculates the full text or signature of the file M) 5 (message digest algorithm fifth edition), or the full text of the file or the SHA1 (hash value) of the signature, while performing a scanning operation on the object to be scanned.
  • the M) 5 or SHA1 is an index identifier.
  • the scanning unit 120 may determine whether to calculate the full text or the signed MD5 or SHA1 by the configuration, or calculate the M) 5 or SHA1 for the full text and the signature at the same time.
  • the configuration may be a configuration in a configuration file sent by the server 200, including different configurations such as a file type and a registry location.
  • the server can detect whether the file is infected according to the information in the index identifier, and return a script for killing the infected file. Therefore, when the script corresponding to the file is received, it can be determined that the file is an infected file.
  • the communication unit 110 transmits the MD5 or SM1 of the calculated scanned file to the server 200.
  • the server 200 After receiving the MD5 or SM1, the server 200 searches for the received MD5 or SHA1 in the rule list, and then sends the specified script in the list to the device 100.
  • the action performed by the script is the killing of malicious programs corresponding to MD5 or SHA1.
  • script types that can be implemented in scripting languages or XML (Extensible Markup Language), Jason, etc.
  • the killing operation in the script includes determining whether the scanned file is an infected system file or an application file, and if so, repairing the scanned file, otherwise, deleting the scanned file.
  • Specific repair operations include: Clearing the interception of function calls (also known as the removal system hook), restoring the hard drive master boot (mbr) record, or cleaning up Shell code (shel l code).
  • the operation of deleting the scanned file includes deleting the entire file or deleting the problem part of the file, for example, deleting the hook in the file.
  • the killing unit 130 is adapted to execute the received script to check and scan the scanned file.
  • the killing unit 130 determines that the scanned file is an infected file; and executes the received script to determine whether the scanned file is a system file or an application file according to the path of the scanned file, and if so, Repair the scanned file, otherwise delete the scanned file.
  • the killing unit 130 determines the type of the infected virus of the scanned file, and determines the manner of repairing the scanned file according to the type of the infected virus, including: repairing the system file, repairing the application file, and clearing the interception of the function call , restore the hard drive master boot record, or clean up the shell code.
  • the scanning unit 120 may continue to scan the subsequent file without waiting for the killing unit 130 to receive the script to complete the scanning, and then perform subsequent file scanning. As a result, resources can be effectively utilized, waiting is reduced, and scanning speed is accelerated.
  • a script can be obtained from a server, and the script can be executed to timely detect and kill a malicious program, without waiting for the terminal's killing engine to update the version to be able to kill the newly appeared malicious program;
  • the script is found according to the index of the file.
  • the script corresponds to the file and is targeted to the file. This prevents the system or application in the terminal from working properly after the killing. Therefore, the technical solution of the present invention solves the problem that the malicious program is spread due to the long time consumed by the terminal killing engine version update process, and the system or application in the terminal after the killing operation due to the malicious program killing operation error. The problem is not working properly.
  • it has obtained the timely killing and killing of malicious programs, reducing the spread of malicious programs, and avoiding the error killing and killing of malicious programs, and ensuring the beneficial effects of the system or application in the terminal.
  • the server download script is used to perform file killing, which is beneficial for handling unknown white usage. Malicious programs pretend to be normal files in order to escape the killing are called white exploits. Because the script is highly targeted to the file, it can accurately check and kill the file, so the file in the gray area can be accurately determined, and then the malicious program using white can be checked and killed. In another embodiment of the present invention, in addition to checking and scanning the scanned file through the script file, the scanned file is also checked and killed by the rule.
  • the scanning unit 120 is further adapted to download, by the communication unit 110, a general rule for checking and killing a file from the server 200; matching the scanned file with a general rule, and determining a killing operation in a general rule corresponding to the scanned file. .
  • the general rules are downloaded from the server 200.
  • Pass The rules include: matching features and corresponding killing operations; matching features include: characteristics of information in the file and operational characteristics performed by the file.
  • an operational feature can be a hook, releasing malicious code, and the like.
  • the device 100 is connected to the server 200.
  • the scanning unit 120 transmits a download request to the server 200 through the communication unit 110 to perform an inquiry in the server 200 to download the general rule.
  • the server 200 queries the general rule of the request according to the download request, and sends the queried general rule to the device 100.
  • Universal rules include universal matching rules for all PE files (executables). If a certain feature in the matching rule is defined in the matching rule, the corresponding killing operation is adopted. Matching rules support behavioral characterization, such as the existence of loading DL hook behavior, and also support static characterization, such as file name or file suffix, version information, signature information, and so on.
  • the killing unit 130 is specifically adapted to: when the scanning unit 120 does not receive the script corresponding to the scanned file from the server 200, the scanning file is checked and killed according to the killing operation in the general rule corresponding to the determined scanned file. .
  • the process file svchost by dl l
  • process name Trojan. W32, Agent, svchost. exe
  • Svchost.exe is a system program belonging to the Windows operating system, used to execute DLL files. This program is related to the normal operation of the system.
  • Svchost.exe may also be W32.
  • Welchia. Worm virus which exploits the WindowsLSASS vulnerability to create a buffer overflow, causing the terminal to shut down. It is triggered by the general rules to detect the DLL file loaded by it, and to determine whether the signature information of the DLL is legal. There is a Shel lcode injection.
  • Shel lcode is a piece of code (which can also be padding data), which is used to send code to the server to exploit specific vulnerabilities, and generally can obtain permissions. In addition, Shel lcode can be sent as data to the attacked service. When the judgment is yes, that is, after the matching hits the general rule, the corresponding killing operation is applied to check and kill the file.
  • ⁇ 1% causes the general rule to check and kill the file.
  • the general rules are universal, and the scripts are more specific to the files, so the scripts have higher priority than the general rules.
  • the script corresponding to the file is obtained, the script is directly executed to check and kill the file; when the script corresponding to the file is not obtained, the file is checked and killed by using the general rule.
  • the server 200 includes: a storage unit 210, a communication unit 220, and a lookup unit 230.
  • the storage unit 210 is adapted to store a script for killing files.
  • the communication unit 220 is adapted to receive an index identifier sent by the device 100.
  • the searching unit 230 is adapted to search for a corresponding script from the storage unit 210 according to the received index identifier.
  • the communication unit 220 is further adapted to return the found script to the device 100.
  • the server 200 can issue a script to the device 100, so that the device 100 executes the script to timely detect and kill the malicious program, without waiting for the terminal's killing engine to update the version to be able to attack the new malicious.
  • the program is checked and killed; and the script is found according to the index of the file.
  • the script corresponds to the file, and the file is targeted, which can avoid the error of the killing operation, and the system or application in the terminal cannot be normal after the killing. jobs.
  • the storage unit 210 is also adapted to store general rules.
  • the communication unit 220 is also adapted to receive a download request sent by the device 100.
  • the searching unit 230 is further adapted to find a general rule according to the download request.
  • the communication unit 220 is further adapted to return the found general rules to the device 100.
  • the server can also issue general rules for the device, and the general rules are determined according to various features such as static features and behavior characteristics, and can detect and kill unknown malicious programs, and kill unknown malicious programs to the initial.
  • FIG. 3 there is shown a block diagram of a system for cloud-based malicious program killing in accordance with one embodiment of the present invention.
  • the system includes a server 200 and a plurality of devices 100 as previously described.
  • the server 200 and the device ⁇ 00 may be directly connected or connected through a network, and are not particularly limited herein.
  • FIG 4 there is shown a flow diagram of a method for cloud security based malicious program killing in accordance with one embodiment of the present invention. The method includes the following steps.
  • Step S410 Start a scan task, and perform a scan operation on the object to be scanned.
  • the scanning task can be initiated by means of timing or user operation triggering.
  • the scanned objects can be memory, boot sector, BIOS (Basic Input Output System), and so on.
  • BIOS Basic Input Output System
  • the memory feature code is matched by enumerating the process space and the process module, and some memory segments and memory module sums are calculated; when scanning the boot sector, the specific area can be read through the interface provided by the file system. Block and boot code, matching signatures and computing a summary of specific blocks; When scanning the BIOS, you can use the relevant API provided by the system to read specific blocks and code segments, match the signature and calculate the summary of the specific block. Through the information obtained by the scan, the local engine can determine the infected file.
  • Step S420 Calculate an index identifier of the scanned file, send the index identifier to the server, and receive a script returned by the server according to the index identifier and corresponding to the scanned file.
  • step S420 the full text of the scanned file and/or the encrypted value of the signature are calculated, and the encryption is performed.
  • the value is the index identifier.
  • the MD5 or SHA1 is an index identifier. Specifically, it may be configured to determine whether to calculate the full text or the signed MD5 or SHA1, or calculate the MD5 or SHA 1 for the full text and the signature at the same time. This configuration can be configured in the configuration file delivered by the server, including different configurations such as file type and registry location.
  • the server After receiving the MD5 or SM1, the server searches for the received MD5 or SHA1_ in the rule list. After the server finds it, it sends the specified script to the device.
  • the operation performed by the script is the killing of malicious programs corresponding to MD5 or SM1.
  • script types can be implemented in a scripting language or XML (Extensible Markup Language), Jason, and the like.
  • the index identifier when the full text is used for the calculation of the encrypted value, the index identifier includes the feature code and the summary information. Therefore, the server can detect whether the file is infected according to the information in the index identifier, and return a script for killing the infected file. Therefore, when the script corresponding to the file is received, it can be determined that the file is an infected file.
  • the killing operation in the script includes determining whether the scanned file is an infected system file or an application file, and if so, repairing the scanned file, otherwise, deleting the scanned file.
  • the specific repair operations include: clearing the interception of the function call (also known as the removal system hook), restoring the main bow of the hard disk! Guide (nibr) record, or clean the shell code (shel lcode).
  • the operation of deleting the scanned file includes deleting the entire file or deleting the problem part of the file, for example, deleting the hook in the file.
  • Step S430 executing the received script to check and scan the scanned file.
  • step S430 after receiving the script, determining that the scanned file is an infected file; executing the received script, determining whether the scanned file is a system file or an application file according to the path of the scanned file, and if so, The scanned file is repaired, otherwise the scanned file is deleted.
  • Determine the type of infected virus of the scanned file and determine the way to repair the scanned file according to the type of infected virus, including: repairing the system file, repairing the application file, clearing the interception of the function call, restoring the hard disk master Boot the record, or clean up the shell code.
  • the subsequent file scanning may be continued, and the subsequent file scanning may not be performed after the receiving script completes the killing.
  • resources can be effectively utilized, waiting to be reduced, and scanning speed can be accelerated.
  • a script can be obtained from a server, and the script can be executed to timely detect and kill a malicious program, without waiting for the terminal's killing engine to update the version to be able to kill the newly appeared malicious program;
  • the script is found according to the index of the file.
  • the script corresponds to the file and is targeted to the file. This prevents the system or application in the terminal from working properly after the killing. Therefore
  • the problem that the malicious program is spread due to the long time consumed by the terminal killing engine version update process is solved, and the system or application in the terminal cannot be normal after the killing operation due to the error of the malicious program killing operation.
  • the problem of work Moreover, it has obtained the timely killing and killing of malicious programs, reducing the spread of malicious programs, and avoiding the error killing operation of malicious programs, and ensuring the beneficial effects of the system or application in the terminal.
  • the server download script is used to perform file killing, which is beneficial for handling unknown white usage. Malicious programs pretend to be normal files in order to escape the killing are called white exploits. Because the script is highly specific to the file, it can accurately check and kill the file. Therefore, the file in the gray area can be accurately determined, and then the malicious program using white can be checked and killed. In another embodiment of the present invention, in addition to killing the scanned file through a script file, the scanned file is also checked and killed by the rule.
  • FIG. 5 there is shown a flow diagram of a method for cloud security based malicious program killing in accordance with another embodiment of the present invention.
  • Step S510 starting a scan task, and performing a scan operation on the object to be scanned.
  • Step S520 Download a general rule for checking and killing the file from the server, match the scanned file with a general rule, and determine a killing operation in the general rule corresponding to the scanned file.
  • Matching features include: characteristics of the information in the file and operational characteristics performed by the file.
  • the action feature can be a hook, releasing malicious code, and so on.
  • step S520 the device is connected to the server.
  • the device After the device is authenticated on the server side, the device sends a download request to the server to perform a query in the server to download the general rule.
  • the server queries the general rule of the request according to the download request, and sends the queried general rule to the device.
  • Universal rules include universal matching rules for all PE files (executable files). If a certain feature in the matching rule is defined in the matching rule, the corresponding killing operation is adopted. Matching rules support behavioral characterization, such as loading DLLs, hook behaviors, etc., and also support static characterization, such as file name or file suffix, version information, signature information, and so on.
  • Step S530 Calculate an index identifier of the scanned file, send the index identifier to the server, and receive a script returned by the server according to the index identifier and corresponding to the scanned file.
  • Step S540 Determine whether a script corresponding to the scanned file is received from the server, and if yes, execute step S550; otherwise, execute step S560.
  • step S550 the received script scans and scans the scanned file.
  • Step S560 checking the scan file according to the killing operation in the pass rule corresponding to the determined scanned file kill.
  • svchost. exe is a system program belonging to the Windows operating system, used to execute DLL files. This program is related to the normal operation of the system. Same as ⁇ , svchost.exe may also be W32. Welchia. Worm virus, which exploits the WindowsLSASS vulnerability to create a buffer overflow, causing the terminal to shut down. It is triggered by the general rule to detect the DLL file loaded by it, to determine whether the signature information of the DLL is legal, and whether there is Shel lcode injection.
  • Shel lcode is a piece of code (which can also be padding data) that is used to send code to the server that exploits a specific vulnerability, and generally gets permission.
  • Shel lcode can be sent as data to the attacked service.
  • the file is checked and killed using a general rule.
  • the general rules are universal, and the scripts are more specific to the files, so the scripts have higher priority than the general rules.
  • the script corresponding to the file is obtained, the script is directly executed to check and kill the file; when the script corresponding to the file is not obtained, the file is checked and killed using the general rule.
  • the killing unit is specifically adapted to determine that the scanned file is an infected file after receiving the script; executing the received script, determining whether the scanned file is a system file or an application file according to the path of the scanned file, and if so, The scanned file is repaired, otherwise the scanned file is deleted.
  • the killing unit is specifically configured to determine a type of the infected virus of the scanned file, and determine a manner of repairing the scanned file according to the type of the infected virus, where the manner includes: repairing the system file, repairing the application file, and clearing Intercept the function call, restore the hard disk master boot record, or clean up the shell code.
  • the scanning unit is specifically adapted to download a general rule from the server after being authenticated by the server.
  • the general rules include: matching features and corresponding killing operations;
  • the matching features include: features of the information in the file and operational characteristics performed by the file.
  • a cloud-based malicious program killing server the server includes a storage unit, and is adapted to store a script for checking and killing a file;
  • a communication unit adapted to receive an index identifier
  • the searching unit is adapted to search for a corresponding script from the storage unit according to the received index identifier - the communication unit is further adapted to return the found script.
  • the storage unit is further adapted to store a general rule
  • the communication unit is further adapted to receive a download request
  • the searching unit is further adapted to search for a general rule according to the download request;
  • the communication unit is further adapted to return the found general rule.
  • the algorithms and displays provided herein are not inherently related to any particular computer, virtual system, or other device.
  • Various general-purpose systems can also be used with the teachings herein. According to the above description, the structure required to construct such a system is obvious.
  • the invention is not directed to any particular programming language. It is to be understood that the present invention may be embodied in a variety of programming languages, and the description of the specific language is set forth in the preferred embodiments.
  • modules in the devices of the embodiments can be adaptively modified and placed in one or more devices different from the embodiment.
  • the modules or units or components of the embodiments may be combined into one module or unit or component, and further they may be divided into a plurality of sub-modules or sub-units or sub-components.
  • any combination of features disclosed in the specification, including the accompanying claims, abstracts and drawings, and any such disclosure may be employed.
  • the method or all of the processes or units of the device are combined.
  • Each feature disclosed in this specification (including the appended claims, abstract, and Pf diagrams) may be replaced by alternative features that provide the same, equivalent, or similar purpose, unless explicitly stated otherwise.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof.
  • a microprocessor or digital signal processor can be used in practice to implement a device for a cloud-based malicious program killing device, server, and system in accordance with an embodiment of the present invention.
  • the present invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • Such a program implementing the present invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals can be downloaded from the Internet website, either on the carrier signal or in any other form.
  • Figure 6 schematically shows a block diagram of a terminal device for performing the method according to the invention.
  • the terminal device includes a processor 610 and a computer program product or computer readable medium in the form of a memory 620.
  • Memory 620 can be an electronic memory such as flash memory, EEPROM (Electrically Erasable Programmable Read Only Memory), EP wake up, hard disk or ROM.
  • Memory 620 has a memory space 630 for program code 631_ for performing any of the method steps described above.
  • storage space 630 for program code can include various program code 631 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • Such computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks.
  • Such a computer program product is typically a portable or fixed storage unit as described with reference to Figure 7.
  • the storage unit may have a storage section, a storage space, and the like arranged similarly to the storage 620 in the terminal device of Fig. 6.
  • the program code can be compressed, for example, in an appropriate form.
  • the storage unit includes computer readable code 63, ie, code that can be read by a processor, such as 610, which, when executed by the terminal device, causes the terminal device to perform various steps in the methods described above. .
  • an embodiment or “one or more embodiments” as used herein means that the particular features, structures, or characteristics described in connection with the embodiments are included in at least one embodiment of the invention.
  • the phrase “in one embodiment” herein does not necessarily refer to the same embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • General Business, Economics & Management (AREA)
  • Information Transfer Between Computers (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)
  • Storage Device Security (AREA)

Abstract

公开了一种査杀恶意程序的方法、装置和服务器。方法包括：启动扫描任务，对待扫描的对象执行扫描操作；计算扫描的文件的索引标识，将索引标识发送给服务器，接收服务器返回的依据索引标识所査找到的与扫描的文件相对应的脚本；执行接收的脚本对扫描的文件进行査杀。解决了因为终端査杀引擎版本更新过程消耗时间较长而导致恶意程序扩散的问题，以及因为对恶意程序査杀操作错误而造成査杀后终端中系统或应用无法正常工作的问题。

Description

基于云安全的恶意程序查杀的方法、 装置和服务器
技术领域 本发明涉及计算机安全领域， 具体涉及一种基于云安全的恶意程序査杀的方法、 装 置和服务器。
背景技术 随着 算机的普及，用户端基本上都需要安装杀毒软件对计算机内的文件进行扫描。 在杀毒软件进行扫描时， 需要大量的 CPU运算和磁盘操作， 使得扫描过程漫长而且影响 系统速度。 而对于计算机里的文件， 有很多文件都是相同的， 比如 Windows 的文件， 很 多软件的安装包文件， 帮助文件， ϊΐ缩文件等。
传统的查杀恶意程序的技术方案为基于特征码的查杀方式。 该查杀方式主要依赖于 特征库模式。 特 库由 Γ商收集到的恶意程序样本的特征码组成， 特征码是分析工程师 认恶意程序中分祈得出的恶意程序与安全程序的区别特征， 例如， 该特 码可以为截取 的一段类似亍 "搜索关键词" 的程序代码。 当进行恶意程序判定时， 读取文件， 并将读 取的文件与特征库中的特征码进行匹配， 如果发现文件程序代码被命中， 则判定该文件 程序为恶意程序。
但是， 现今全球恶意程序数量呈几何级增长， 基于这种爆发式的增速， 特征库的生 成往往滞后与网络中恶意程序的增长。
现有技术中， 当出现新的恶意程序后， 需要对新的恶意程序样本进行分析， 根据分 析结果对各个终端的查杀引擎进行版本更新， 该更新过程消耗时间较长， 恶意程序容易 利用该更新时长进行扩散。
此外， 现有技术中当判定文件为恶意程序后， 对恶意程序的查杀， 例如清除等操作, 由终端本地的查杀引擎进行， 该查杀操作通常为通用操作， 对处理的文件没有针对性， 会因为查杀操作错误， 而造成查杀后终端中系统或应用无法正常工作。 发明内容 鉴于上述问题， 提出了本发明以便提供一种克服上述问题或者至少部分地解决上述 问题的查杀恶意程序的方法、 装置和服务器。 依据本发明的一个方面， 提供了一种基于云安全的恶意程序查杀的方法， 所述方法 包括：
启动扫描任务， 对待扫描的对象执行扫描操作；
it算扫描的文件的索引标识， 将索引标识发送给服务器， 接收服务器返回的依据索 引标识所查找到的与扫描的文件相对应的脚本；
执行接收的脚本对扫描的文件进行查杀。
根据本发明的另一方面， 提供了一种基于云安全的恶意程序查杀的装置， 所述装置 包括：
通信单元， 适于向服务器发送信息， 以及接收服务器返回的信息；
扫描单元， 适于启动扫描任务， 对待扫描的对象执行扫描操作， 计算扫描的文件的 索引标识， 通过通信单元将索引标识发送给服务器， 接收服务器返回的依据索引标识所 查找到的与扫描的文件相对应的脚本；
查杀单元， 适于执行接收的脚本对扫描的文件进行查杀。
根据本发明的另一方面， 提供了一种基于云安全的恶意程序查杀的服务器， 所述服 务器包括；
存储单元， 适亍存储用亍查杀文件的脚本；
通信单元， 适亍接收索引标识；
查找单元， 适亍依据接收的索引标识从存储单元中查找对应的脚本；
所述通信单元， 还适于返回查找到的脚本。
根据本发明的又一方面， 提供了一种计算机程序， 包括计算机可读代码， 当所述计 算机可读代码在终端设备上运行时， 导致所述终端设备执行根据上述任一个所述的基于 云安全的恶意程序查杀的方法。
根据本发明的再一方面， 提供了一种计算机可读介质， 其中存储了如上所述的计算 机程序。
根据本发明的技术方案， β动扫描任务， 对待扫描的对象执行扫描操作， 计算扫描 的文件的索引标识， 将索引标识发送给服务器， 接收服务器返回的依据索引标识所查找 到的与扫描的文件相对应的脚本， 执行接收的脚本对扫描的文件进行查杀。 由此， 能够 从服务器获得脚本， 执行该脚本来对恶意程序进行及时查杀， 而无需等待终端的查杀引 擎进行版本更新后才能够对新出现的恶意程序进行查杀； 并 该脚本是根据文件的索引 标识查找到的， 脚本与文件相对应， 对文件具有针对性， 能够避免因为查杀操作错误， 而造成查杀后终端中系统或应用无法正常工作。
因此， 采用本发明中技术方案， 解决了因为终端查杀引擎版本更新过程消耗时间较 长而导致恶意程序扩散的问题， 以及因为对恶意程序查杀操作错误而造成查杀后终端中 系统或应用无法正常工作的问题。 并且， 取得了对恶意程序进行及时查杀， 减少恶意程 序扩散范围， 以及避免对恶意程序进行错误查杀操作， 保证终端中系统或应用正常工作 的有益效果。 上述说明仅是本发明技术方案的概述， 为了能够更清楚了解本发明的技术手段， 而 可依照说明书的内容予以实施， 并且为了让本发明的上述和其它目的、 特征和优点能够 更明显易懂， 以下特举本发明的具体实施方式。 附图说明
通过阅读下文优选实施方式的详细描述， 各种其他的优点和益处对于本领域普 通技术人员将变得清楚明了。 图仅用于示出优选实施方式的目的， 而并不认为是 对本发明的限制。 而且在整个 ^图中， 用相同的参考符号表示相同的部件。 在 图 中- 图 1示出了根据本发明一个实施例的基于云安全的恶意程序查杀的装置的结构图； 图 2示出了根据本发明一个实施例的基于云安全的恶意程序查杀的服务器的结构图； 图 3示出了根据本发明一个实施例的基于云安全的恶意程序查杀的系统的结构图； 图 4示出了根据本发明一个实施例的基于云安全的恶意程序查杀的方法的流程图； 图 5示出了根据本发明另一个实施例的基于云安全的恶意程序查杀的方法的流程图； 图 6示意性地示出了用亍执行根据本发明的方法的终端设备的框图； 以及
图 7示意性地示出了用于保持或者携带实现根据本发明的方法的程序代码的存储单 元。 具体实施例 下靣将参照 图更详细地描述本公开的示例性实施例。 虽然附图中显示了本公开的 示例性实施例， 然而应当理解， 可以以各种形式实现本公开而不应被这里阐述的实施例 所限制。 相反， 提供这些实施例是为了能够更透彻地理解本公开， 并且能够将本公幵的 范围完整的传达给本领域的技术人员。 参见图 1， 示出了根据本发明一个实施例的基于云安全的恶意程序查杀的装置的结 构。 装置 100包括： 通信单元 110、 扫描単元 120和查杀单元 130。
通信单元 1 10, 适于向服务器 2()()发送信息， 以及接收服务器 200返回的信息。 扫描单元 120, 适于启动扫描任务， 对待扫描的对象执行扫描操作， 计算扫描的文件 的索引标识，通过通信单元 110将索引标识发送给服务器 200，接收服务器 200返回的依 据索引标识所查找到的与扫描的文件相对应的脚本。
举例而言， 可以通过定^或用户操作触发等方式启动扫描任务。 即扫描单元 120定 时启动扫描任务， 或在接收到用户操作指示时 动扫描任务。 扫描的对象可以为内存， 引导扇区， BIOS (基本输入输出系统） 等。 对内存扫描时， 通过枚举进程空间和进程模块来匹配内存特征码， 计算某些内存段， 内存模块的摘要； 对引导扇区扫描时， 可以通过文件系统提供的接口 API读取特定的区 块和引导代码， 匹配特征码和计算特定区块的摘要； 对 BIOS扫描时， 可以使用系统提供 的相关 API读取特定的区块和代码段， 得匹配特征码和计算特定区块的摘要。 通过该扫 描所得信息， 本地引擎可以判定出感染的文件。
本发明中还可以通过服务器判定扫描的文件是否被感染， 具体如下所述。
举例而言， 扫描单元 120具体适于计算扫描的文件的全文和 /或签名的加密值， 以所 述加密值为索引标识。 例如， 扫描单元 120在对待扫描的对象执行扫描操作的同时计算 出文件的全文或签名的 M)5 (消息摘要算法第五版）， 或者文件的全文或签名的 SHA1 (哈 希值） 。 该 M)5或 SHA1为索引标识。 具体地， 扫描单元 120可以通过配置确定计算全文 还是签名的 MD5或 SHA1 , 或者对全文和签名同时†算 M)5或 SHA1。 该配置可以是服务器 200下发的配置文件中的配置， 其中包括文件类型和注册表位置等条件进行不同配置。
其中， 对全文进行加密值^算时， 索引标识中包括特征码和摘要信息。 因此， 服务 器可以根据索引标识中信息检测文件是否被感染， 并返回对该感染的文件进行查杀的脚 本。 因此， 当接收到文件对应的脚本 B寸， 能够确定该文件为被感染的文件。
通信单元 110将 ϋ算的扫描的文件的 MD5或 SM1发送给服务器 200。 服务器 200接 收到 MD5或 SM1后， 在规则列表中查找接收到的 MD5或 SHA1 , 查找到后， 将列表中指定 的脚本下发给装置 100。脚本所执行的操作为针对 MD5或 SHA1所对应的恶意程序的查杀。
具体地， 可以通过脚本语言或者 XML (可扩展标记语言） ， Jason等格式实现的脚本 类型。
例如，脚本中的查杀操作包括判断扫描的文件是否为被感染的系统文件或应用文件， 如果是， 则对扫描的文件进行修复， 否则， 删除扫描的文件。 具体的修复操作包括： 清 除对函数调用的拦截 （也被称为摘除系统钩子） ， 恢复硬盘主引导 （mbr) 记录， 或清理 壳代码 （shel l code ) 。 所述删除扫描的文件的操作包括删除整个文件或艄除文件中问题 部分， 例如删除文件中钩子。
查杀单元 130, 适于执行接收的脚本对扫描的文件进行查杀。
具体而言， 查杀单元 130接收到脚本后， 确定扫描的文件为被感染的文件； 执行接 收的脚本， 根据扫描的文件的路径判断扫描的文件是否为系统文件或应用文件， 如果是， 则对扫描的文件进行修复， 否则， 删除扫描的文件。 查杀单元 130确定扫描的文件的感 染的病毒的类型， 根据感染的病毒的类型确定对扫描的文件进行修复的方式， 所述方式 包括： 修复系统文件， 修复应用文件， 清除对函数调用的拦截， 恢复硬盘主引导记录， 或清理壳代码。
其中， 扫描单元 120在计算出扫描的文件的加密值后， 可以继续进行后续的文件的 扫描， 无需等到查杀单元 130接收脚本完成查杀后， 再进行后续的文件扫描。 由此， 可 以有效的利用资源， 减少等待， 加快扫描速度。
根据本发明的实施例， 能够从服务器获得脚本， 执行该脚本来对恶意程序进行及时 查杀，而无需等待终端的查杀引擎进行版本更新后才能够对新出现的恶意程序进行查杀； 并且该脚本是根据文件的索引标识查找到的， 脚本与文件相对应， 对文件具有针对性， 能够避免因为查杀操作错误， 而造成查杀后终端中系统或应用无法正常工作。 因此， 采 用本发明中技术方案， 解决了因为终端查杀引擎版本更新过程消耗时间较长而导致恶意 程序扩散的问题， 以及因为对恶意程序查杀操作错误而造成查杀后终端中系统或应用无 法正常工作的问题。 并且， 取得了对恶意程序进行及时查杀， 减少恶意程序扩散范園， 以及避免对恶意程序进行错误查杀操作， 保证终端中系统或应用正常工作的有益效果。
此外， 采用服务器下载脚本的方式进行文件查杀， 利于处理未知的白利用。 恶意程 序伪装成正常的文件以便躲过查杀被称为白利用。 因为， 脚本对亍文件的针对性强， 能 够对文件进行精确查杀操作， 因此对将处于灰色地带的文件进行精确判定， 进而能够对 采用白利用的恶意程序进行查杀。 在本发明的另一个实施例中， 除了通过脚本文件对扫描的文件进行查杀外， 还通过 通^规则对扫描的文件进行查杀。
扫描单元 120 ,还适于通过通信单元 110从服务器 200下载^于对文件进行查杀的通 用规则； 将扫描的文件与通用规则进行匹配， 确定扫描的文件所对应的通用规则中的查 杀操作。
举例而言， 扫描单元 120通过服务器 200认证后， 从服务器 200下载通用规则。 通 用规则包括： 匹配特征和对应的查杀操作； 匹配特征包括： 文件中信息的特征和文件所 执行的操作特征。 例如， 操作特征可以为挂钩子， 释放恶意代码等操作。
例如， 装置 100与服务器 200连接， 在装置 100在服务器 200侧通过认证后, 扫描 单元 120通过通信单元 110向服务器 200发送下载请求， 以在服务器 200中进行查询， 下载通用规则。 服务器 200根据下载请求查询到请求的通用规则， 将查询到的通用规则 发送给装置 100。 通用规则中包括针对所有 PE文件 （可执行文件） 的普适性匹配规则。 匹配规则中定义匹配中某种特征则采用对应的查杀操作。 匹配规则支持行为特征描述， 如存在加载 DL 钩子行为等， 还支持静态特征描述， 如文件名或文件后缀、 版本信息、 签名信息等。
查杀单元 130，具体适亍当扫描单元 120没有从服务器 200接收到与扫描的文件相对 应的脚本时，按确定的扫描的文件所对应的通用规则中的查杀操作对扫描文件进行查杀。
以下对于使用通过规则进行文件查杀进行举例说明。
扫描到 svchost进程。其中，进程文件： svchost„ dl l，进程名称： Trojan. W32, Agent , svchost. exe是一个属亍 Windows操作系统的系统程序，用于执行 DLL文件。该程序关系 到系统的正常运行。 同时， svchost. exe也有可能是 W32. Welchia. Worm病毒， 它利用 WindowsLSASS漏洞，制造缓冲区溢出，导致终端关机。由通用规则触发对其所加载的 DLL 文件进行检测，判断 DLL的签名信息是否合法，是否存在 Shel lcode注入。所述 Shel lcode 是一段代码 （也可以是填充数据） ， 用来发送到服务器利用特定漏洞的代码， 一般可以 获取权限。 另夕卜， Shel lcode可以作为数据发送给受攻击服务。 当判断为是， 即匹配命中 通用规则后， 应用对应的查杀操作对文件进行查杀。
在本实施例中， 当没有査找到对应的脚本 ^1% 使^通用规则对文件进行查杀。 其中， 通用规则具有普适性， 脚本对于文件更具有针对性， 因此脚本的优先级比通用规则更高。 当获取到文件对应的脚本， 则直接执行该脚本对文件进行查杀； 当没有获取到文件对应 的脚本时， 使用通用规则对文件进行查杀。
在本实施例中， 通用规则依照静态特征、 行为特征等各种手段进行判断， 可以对未 知恶意程序进行查杀， 把未知恶意程序扼杀于初始传播阶段。 参见图 2,示出了根据本发明一个实施例的基于云安全的恶意程序查杀的服务器 200 的结构图。 服务器 200包括； 存储单元 210、 通信单元 220和查找单元 230。
存储单元 210， 适于存储用于查杀文件的脚本。
通信单元 220， 适于接收装置 100发送的索引标识。 查找单元 230, 适于依据接收的索引标识从存储单元 210中查找对应的脚本。
通信单元 220, 还适于将查找到的脚本返回给装置 100。
本实施 ί到中， 服务器 200能够向装置 100下发脚本， 使得装置 100执行该脚本来对 恶意程序进行及时查杀， 而无需等待终端的查杀引擎进行版本更新后才能够对新出现的 恶意程序进行查杀； 并且该脚本是根据文件的索引标识查找到的， 脚本与文件相对应， 对文件具有针对性， 能够避免因为查杀操 错误， 而造成查杀后终端中系统或应用无法 正常工作。
在另一实施例中， 存储单元 210， 还适亍存储通用规则。 通信单元 220， 还适亍接收 装置 100发送的下载请求。查找单元 230, 还适于根据下载请求查找通用规则。通信单元 220 , 还适于将查找到的通用规则返回给装置 100。
在本实施例中， 服务器还能够为装置下发通用规则， 通用规则依照静态特征、 行为 特征等各种手段进行判断， 可以对未知恶意程序进行查杀， 把未知恶意程序扼杀于初始
参见图 3，示出了根据本发明一个实施例的基亍云安全的恶意程序查杀的系统的结构 图。该系统包括如前所述的服务器 200和多个装置 100。本实施例中， 服务器 200和装置 丄00间可以直接连接， 也可以通过网络连接， 在此没有特别限制。 参见图 4,示出了根据本发明一个实施例的基于云安全的恶意程序查杀的方法的流程 图。 方法包括如下步骤。
步骤 S410, 启动扫描任务， 对待扫描的对象执行扫描操作。
举例而言， 可以通过定时或用户操作触发等方式启动扫描任务。
扫描的对象可以为内存， 引导扇区， BIOS (基本输入输出系统） 等。
对内存扫描时， 通过枚举进程空间和进程模块来匹配内存特征码， 计算某些内存段， 内存模块的摘要； 对引导扇区扫描时， 可以通过文件系统提供的接口 ΑΡΓ读取特定的区 块和引导代码， 匹配特征码和计算特定区块的摘要； 对 BIOS扫描时， 可以使用系统提供 的相关 API读取特定的区块和代码段， 得匹配特征码和计算特定区块的摘要。 通过该扫 描所得信息， 本地引擎可以判定出感染的文件。
本发明中还可以通过服务器判定扫描的文件是否被感染， 具体如下所述。
歩骤 S420, 计算扫描的文件的索引标识， 将索引标识发送给服务器， 接收服务器返 回的依据索引标识所查找到的与扫描的文件相对应的脚本。
举例而言， 在歩骤 S420中计算扫描的文件的全文和 /或签名的加密值， 以所述加密 值为索引标识。 例如， 在对待扫描的对象执行扫描操作的同^计算出文件的全文或签名 的 MD5 (消息摘要算法第五版） ， 或者文件的全文或签名的 SHA1 (哈希值） 。 该 MD5或 SHA1为索引标识。 具体地， 可以通过配置确定 t算全文还是签名的 MD5或 SHA1 , 或者对 全文和签名同时计算 MD5或 SHA 1。 该配置可以是服务器下发的配置文件中的配置， 其中 包括文件类型和注册表位置等条件进行不同配置。将计算的扫描的文件的 MD5或 SHA1发 送给服务器。服务器接收到 MD5或 SM1后， 在规则列表中查找接收到的 MD5或 SHA1_， 查 找到后， 将列表中指定的脚本下发给装置。 脚本所执行的操作为针对 MD5或 SM1所对应 的恶意程序的查杀。 具体地， 可以通过脚本语言或者 XML (可扩展标记语言） , Jason等 格式实现脚本类型。
其中， 对全文进行加密值计算时， 索引标识中包括特征码和摘要信息。 因此， 服务 器可以根据索引标识中信息检测文件是否被感染， 并返回对该感染的文件进行查杀的脚 本。 因此， 当接收到文件对应的脚本^ , 能够确定该文件为被感染的文件。
例如，脚本中的查杀操作包括判断扫描的文件是否为被感染的系统文件或应用文件， 如果是， 则对扫描的文件进行修复， 否则， 删除扫描的文件。 具体的修复操作包括； 清 除对函数调用的拦截 （也被称为摘除系统钩子） ， 恢复硬盘主弓！导 （nibr) 记录， 或清理 壳代码（shel lcode ) 。 所述删除扫描的文件的操 包括删除整个文件或删除文件中问题 部分， 例如删除文件中钩子。
歩骤 S430, 执行接收的脚本对扫描的文件进行查杀。
具体而言， 在步骤 S430中， 接收到脚本后， 确定扫描的文件为被感染的文件； 执行 接收的脚本， 根据扫描的文件的路径判断扫描的文件是否为系统文件或应用文件， 如果 是， 则对扫描的文件进行修复， 否则， 删除扫描的文件。 确定扫描的文件的感染的病毒 的类型， 根据感染的病毒的类型确定对扫描的文件进行修复的方式， 所述方式包括： 修 复系统文件， 修复应用文件， 清除对函数调用的拦截， 恢复硬盘主引导记录， 或清理壳 代码。
其中， 在计算出扫描的文件的加密值后， 可以继续进行后续的文件的扫描， 无需等 到接收脚本完成查杀后， 再进行后续的文件扫描。 由此， 可以有效的利用资源， 减少等 待， 加快扫描速度。
根据本发明的实施例， 能够从服务器获得脚本， 执行该脚本来对恶意程序进行及时 查杀，而无需等待终端的查杀引擎进行版本更新后才能够对新出现的恶意程序进行查杀； 并且该脚本是根据文件的索引标识查找到的， 脚本与文件相对应， 对文件具有针对性， 能够避免因为查杀操作错误， 而造成查杀后终端中系统或应用无法正常工作。 因此， 采 用本发明中技术方案， 解决了因为终端查杀引擎版本更新过程消耗时间较长而导致恶意 程序扩散的问题， 以及因为对恶意程序查杀操作错误而造成查杀后终端中系统或应用无 法正常工作的问题。 并且， 取得了对恶意程序进行及时查杀， 减少恶意程序扩散范圈， 以及避免对恶意程序进行错误查杀操作， 保证终端中系统或应用正常工作的有益效果。
此外， 采用服务器下载脚本的方式进行文件查杀， 利于处理未知的白利用。 恶意程 序伪装成正常的文件以便躲过查杀被称为白利用。 因为， 脚本对于文件的针对性强， 能 够对文件进行精确查杀操作， 因此对将处亍灰色地带的文件进行精确判定， 进而能够对 采用白利用的恶意程序进行查杀。 在本发明的另一个实施例中， 除了通过脚本文件对扫描的文件进行查杀外， 还通过 通] ¾规则对扫描的文件进行查杀。
参见图 5，示出了根据本发明另一个实施例的基于云安全的恶意程序查杀的方法的流 程图。
步骤 S510 , 启动扫描任务， 对待扫描的对象抉行扫描操作。
步骤 S520 , 从服务器下载用于对文件进行查杀的通用规则， 将扫描的文件与通用规 则进行匹配， 确定扫描的文件所对应的通用规则中的查杀操 。
举例而言， 通用规则包括： 匹配特征和对应的查杀操作。 匹配特征包括： 文件中信 息的特征和文件所执行的操作特征。
例如， 操 特征可以为挂钩子， 释放恶意代码等操作。
在步骤 S520中， 装置与服务器连接， 在装置在服务器侧通过认证后， 装置向服务器 发送下载请求， 以在服务器中进行查询， 下载通用规则。 服务器根据下载请求查询到请 求的通用规则， 将查询到的通用规则发送给装置。 通用规则中包括针对所有 PE文件 （可 执行文件） 的普适性匹配规则。 匹配规则中定义匹配中某种特征则采用对应的查杀操作。 匹配规则支持行为特征描述， 如存在加载 DLL、 钩子行为等， 还支持静态特征描述， 如文 件名或文件后缀、 版本信息、 签名信息等。
步骤 S530 , 计算扫描的文件的索引标识， 将索引标识发送给服务器， 接收服务器返 回的依据索引标识所查找到的与扫描的文件相对应的脚本。
步骤 S540 , 判断是否从服务器接收到与扫描的文件相对应的脚本， 如果是， 则执行 步骤 S550 , 否则， 执行步骤 S560。
步骤 S550 , 抉行接收的脚本对扫描的文件进行查杀。
步骤 S560 , 按确定的扫描的文件所对应的通 ^规则中的查杀操作对扫描文件进行查 杀。
以下对于使用通过规则进行文件查杀进行举 ί到说明。
扫描到 svchost进程。其中，进程文件 svchost. dl !. ,进程名称: Trojan. W32. Agent, svchost. exe是一个属于 Windows操作系统的系统程序，用亍执行 DLL文件。该程序关系 到系统的正常运行。 同^ , svchost. exe也有可能是 W32. Welchia. Worm病毒， 它利用 WindowsLSASS漏洞，制造缓冲区溢出，导致终端关机。由通用规则触发对其所加载的 DLL 文件进行检测，判断 DLL的签名信息是否合法，是否存在 Shel lcode注入。所述 Shel lcode 是一段代码 （也可以是填充数据） ， 用来发送到服务器利用特定漏洞的代码， 一般可以 获取权限。 另外， Shel lcode可以作为数据发送给受攻击服务。 当判断为是， 即匹配命中 通用规则后， 应用对应的查杀操作对文件进行查杀。
在本实施例中， 当没有查找到对应的脚本 B寸， 使用通用规则对文件进行查杀。 其中， 通用规则具有普适性， 脚本对于文件更具有针对性， 因此脚本的优先级比通用规则更高。 当获取到文件对应的脚本， 则直接执行该脚本对文件进行查杀； 当没有获取到文件对应 的脚本 ff†, 使用通用规则对文件进行查杀。
根据本发明实施例中所述的装置， 其中，
所述查杀单元， 具体适亍接收到脚本后， 确定扫描的文件为被感染的文件； 执行接 收的脚本， 根据扫描的文件的路径判断扫描的文件是否为系统文件或应用文件， 如果是， 则对扫描的文件进行修复， 否则， 删除扫描的文件。
根据本发明实施例中所述的装置， 其中，
所述查杀单元， 具体适于确定扫描的文件的感染的病毒的类型， 根据感染的病毒的 类型确定对扫描的文件进行修复的方式， 所述方式包括： 修复系统文件， 修复应用文件， 清除对函数调用的拦截， 恢复硬盘主引导记录， 或清理壳代码。
根据本发明实施例中所述的装置， 其中，
所述扫描单元， 具体适亍通过服务器认证后， 从服务器下载通用规则。
根据本发明实施例中所述的装置， 其中，
所述通用规则包括： 匹配特征和对应的查杀操作；
所述匹配特征包括： 文件中信息的特征和文件所执行的操作特征。
根据本发明实施例的基亍云安全的恶意程序查杀的服务器， 所述服务器包括- 存储单元， 适亍存储用亍查杀文件的脚本；
通信单元， 适亍接收索引标识；
― 1 ()― 查找单元， 适于依据接收的索引标识从存储单元中查找对应的脚本- 所述通信单元， 还适于返回查找到的脚本。
根据本发明实施 ί到中所述的服务器， 其中，
所述存储单元， 还适于存储通用规则；
所述通信单元， 还适于接收下载请求；
所述查找单元， 还适于根据下载请求查找通用规则；
所述通信单元， 还适于返回查找到的通用规则。 在此提供的算法和显示不与任何特定计算机、 虚拟系统或者其它设备固有相关。 各 种通用系统也可以与基亍在此的示教一起使用。 根据上面的描述， 构造这类系统所要求 的结构是显而易见的。 此外， 本发明也不针对任何特定编程语言。 应当明白， 可以利用 各种编程语言实现在此描述的本发明的内容， 并— 上面对特定语言所做的描述是为了披 露本发明的最佳实施方式。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理解， 本发明的实施 例可以在没有这些具体细节的情况下实践。 在一些实例中， 并未详细示出公知的方法、 结构和技术， 以便不模糊对本说明书的理解。
类似地， 应当理解， 为了精简本公开并帮助理解各个发明方面中的一个或多个， 在 上面对本发明的示例性实施例的描述中， 本发明的各个特征有时被一起分组到单个实施 例、 图、 或者对其的描述中。 然而， 并不应将该公开的方法解释成反映如下意图： 即所 要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说， 如下面的权利要求书所反映的那样， 发明方面在于少于前面公开的单个实施例的所有特 征。 因此， 遵循具体实施方式的权利要求书由此明确地并入该具体实施方式， 其中每个 权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解， 可以对实施例中的设备中的模块进行自适应性地改 变并 ϋ把它们设置在与该实施例不同的一个或多个设备中。 可以把实施例中的模块或单 元或组件组合成一个模块或单元或组件， 以及此外可以把它们分成多个子模块或子单元 或子组件。 除了这样的特 ¾Ε和 /或过程或者单元中的至少一些是相互排斥之外， 可以采^ 任何组合对本说明书 （包括伴随的权利要求、 摘要和附图） 中公开的所有特征以及如此 公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书（包 括俘随的权利要求、 摘要和 Pf†图） 中公开的每个特征可以由提供相同、 等同或相似目的 的替代特 ¾E来代替。
- i 1 - 此外， 本领域的技术人员能够理解， 尽管在此所述的一些实施例包括其它实施例中 所包括的某些特征而不是其它特征， 但是不同实施例的特征的组合意味着处于本发明的 范围之内并且形成不同的实施例。 例如， 在下面的权利要求书中， 所要求保护的实施 ί到 的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现， 或者以在一个或者多个处理器上运行的 软件模块实现， 或者以它们的组合实现。 本领域的技术人员应当理解， 可以在实践中使 用微处理器或者数字信号处理器（DSP )来实现根据本发明实施例的基于云安全的恶意程 序查杀的装置、 服务器和系统的设备中的一些或者全部部件的一些或者全部功能。 本发 明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序 （例 如， ϋ算机程序和计算机程序产品） 。 这样的实现本发明的程序可以存储在计算机可读 介质上， 或者可以具有一个或者多个信号的形式。 这样的信号可以从因特网网站上下载 得到， 或者在载体信号上提供， 或者以任何其他形式提供。
例如， 图 6示意性地示出了用于执行根据本发明的方法的终端设备的框图。 该终端 设备包括处理器 610和以存储器 620形式的计算机程序产品或者计算机可读介质。 存储 器 620可以是渚如闪存、 EEPROM (电可擦除可编程只读存储器） 、 EP醒、 硬盘或者 ROM 之类的电子存储器。存储器 620具有用于执行上述方法中的任何方法步骤的程序代码 631_ 的存储空间 630。例如，用于程序代码的存储空间 630可以包括分别用于实现上面的方法 中的各种步骤的各个程序代码 631。这些程序代码可以从一个或者多个†算机程序产品中 读出或者写入到这一个或者多个计算机程序产品中。这些计算机程序产品包括诸如硬盘， 紧致盘 （CD ) 、 存储卡或者软盘之类的程序代码载体。 这样的计算机程序产品通常为如 参考图 7所述的便携式或者固定存储单元。 该存储单元可以具有与图 6的终端设备中的 存储器 620类似布置的存储段、 存储空间等。 程序代码可以例如以适当形式进行压缩。 通常，存储单元包括计算机可读代码 63Γ ， 即可以由例如诸如 610之类的处理器读取的 代码， 这些代码当由终端设备运行时， 导致该终端设备执行上面所描述的方法中的各个 步骤。
本文中所称的 "一个实施例" 、 "实施例"或者 "一个或者多个实施例"意味着， 结合实施例描述的特定特征、 结构或者特性包括在本发明的至少一个实施例中。 此外， 请注意， 这里 "在一个实施例中" 的词语例子不一定全指同一个实施例。
在此处所提供的说明书中， 说明了大量具体细节。 然而， 能够理解， 本发明的实 施例可以在没有这些具体细节的情况下被实践。 在一些实例中， 并未详细示出公知的方 法、 结构和技术， 以便不模糊对本说明书的理解。
1 0 应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并— 本领域 技术人员在不脱离所 权利要求的范围的情况下可设计 ¾替换实施例。 在权利要求中， 不应将位于括号之间的任何参考符号构造成对权利要求的限制。 单词 "包含"不排除存 在未列在权利要求中的元件或步骤。 位于元件之前的单词 "一"或 "一个"不排除存在 多个这样的元件。 本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的 计算机来实现。 在列举了若千装置的单元权利要求中， 这些装置中的若干个可以是通过 同一个硬件项来具体体现。 单词第一、 第二、 以及第三等的使用不表示任何顺序。 可将 这些单词解释为名称。
此外， 还应当注意， 本说明书中使用的语言主要是为了可读性和教导的目的而选择 的， 而不是为了解释或者限定本发明的主题而选择的。 因此， 在不偏离所附权利要求书 的范围和精神的情况下， 对亍本技术领域的普通技术人员来说许多修改和变更都是显而 易见的。 对于本发明的范围， 对本发明所做的公开是说明性的， 而非限制性的， 本发明 的范围由所附权利要求书限定。

Claims

权 利 要 求 一种基于云安全的恶意程序查杀的方法， 所述方法包括：
动扫描任务， 对待扫描的对象执行扫描操作；
^算扫描的文件的索引标识， 将索引标识发送给服务器， 接收服务器返回的依据索 引标识所查找到的与扫描的文件相对应的脚本；
执行接收的脚本对扫描的文件进行查杀。
2、 根据权利要求 1所述的方法， 其中，
所述启动扫描任务， 对待扫描的对象执行扫描操作后还包括：
丛服务器下载用于对文件进行查杀的通用规则；
将扫描的文件与通用规则进行匹配， 确定扫描的文件所对应的通用规则中的查杀操 作；
所述执行接收的脚本对扫描的文件进行查杀具体包括：
当没有从服务器接收到与扫描的文件相对应的脚本^, 按确定的扫描的文件所对应 的通用规则中的查杀操作对扫描文件进行查杀。
3、 根据权利要求 ί所述的方法， 其中，
所述 t算扫描的文件的索引标识具体包括；
算扫描的文件的全文和 /或签名的加密值， 以所述加密值为索引标识。
4、 根据权利要求 ί所述的方法， 其中，
所述执行接牧的脚本对扫描的文件进行查杀具体包括：
接收到脚本后， 确定扫描的文件为被感染的文件；
执行接收的脚本， 根据扫描的文件的路径判断扫描的文件是否为系统文件或应用文 件， 如果是， 则对扫描的文件进行修复， 否则， 删除扫描的文件。
5、 根据权利要求 4所述的方法， 其中，
所述对扫描的文件进行修复具体包括：
确定扫描的文件的感染的病毒的类型， 根据感染的病毒的类型确定对扫描的文件进 行修复的方式， 所述方式包括： 修复系统文件， 修复应用文件， 清除对函数调用的拦截， 恢复硬盘主引导记录， 或清理壳代码。
6、 根据权利要求 2所述的方法， 其中，
所述丛服务器下载用于对文件进行查杀的通用规则具体包括- 通过服务器认证后， 从服务器下载通用规则。
7、 根据权利要求 2所述的方法， 其中，
所述通用规则包括； 匹配特征和对应的查杀操作- 所述匹配特征包括： 文件中信息的特征和文件所执行的操作特征。
8、 一种基于云安全的恶意程序查杀的装置， 所述装置包括：
通信单元， 适于向服务器发送信息， 以及接收服务器返回的信息；
扫描单元， 适于启动扫描任务， 对待扫描的对象执行扫描操作， 计算扫描的文件的 索引标识， 通过通信单元将索引标识发送给服务器， 接收服务器返回的依据索引标识所 查找到的与扫描的文件相对应的脚本；
查杀单元， 适于执行接收的脚本对扫描的文件进行查杀。
9、 根据权利要求 8所述的装置， 其中，
所述扫描单元，还适于通过通信单元从服务器 载用于对文件进行查杀的通用规则； 将扫描的文件与通用规则进行匹配， 确定扫描的文件所对应的通用规则中的查杀操作； 所述查杀单元， 具体适亍当扫描单元没有从服务器接收到与扫描的文件相对应的脚 本时， 按确定的扫描的文件所对应的通用规则中的查杀操作对扫描文件进行查杀。
丄0、 根据权利要求 8所述的装置， 其中，
所述扫描单元， 具体适于 算扫描的文件的全文和 /或签名的加密值， 以所述加密值 为索引标识。
1 K 根据权利要求 8所述的装置， 其中，
所述查杀单元， 具体适于接收到脚本后， 确定扫描的文件为被感染的文件； 执行接 收的脚本， 根据扫描的文件的路径判断扫描的文件是否为系统文件或应用文件， 如果是, 则对扫描的文件进行修复， 否则， 删除扫描的文件。
12、 根据权利要求 11所述的装置， 其中，
所述查杀单元， 具体适亍确定扫描的文件的感染的病毒的类型， 根据感染的病毒的 类型确定对扫描的文件进行修复的方式， 所述方式包括： 修复系统文件， 修复应用文件， 清除对函数调用的拦截， 恢复硬盘主引导记录， 或清理壳代码。
13、 根据权利要求 9所述的装置， 其中，
所述扫描单元， 具体适亍通过服务器认证后， 从服务器下载通用规则。
14、 根据权利要求 9所述的装置， 其中，
所述通用规则包括： 匹配特征和对应的查杀操作； 所述匹配特征包括； 文件中信息的特征和文件所执行的操作特征。
15、 一种基于云安全的恶意程序查杀的服务器， 所述服务器包括；
存储单元， 适于存储用于查杀文件的脚本；
通信单元， 适于接收索引标识；
查找单元， 适于依据接收的索引标识丛存储单元中查找对应的脚本；
所述通信单元， 还适于返回查找到的脚本。
16、 根据权利要求 15所述的服务器， 其中，
所述存储单元， 还适于存储通用规则；
所述通信单元， 还适于接收下载请求；
所述查找单元， 还适于根据下载请求查找通用规则；
所述通信单元， 还适于返回查找到的通用规则。
17、 一种计算机程序， 包括 ϋ算机可读代码， 当所述计算机可读代码在终端设备上 运行时， 导致所述终端设备执行根据权利要求 1 7 中的任一个所述的基于云安全的恶意 程序查杀的方法。
18、 一种计算机可读介质， 其中存储了如权利要求 17所述的计算机程序。
PCT/CN2014/082400 2013-07-18 2014-07-17 基于云安全的恶意程序查杀的方法、装置和服务器 WO2015007224A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/905,938 US10027704B2 (en) 2013-07-18 2014-07-17 Malicious program finding and killing device, method and server based on cloud security

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310303814.8A CN103390130B (zh) 2013-07-18 2013-07-18 基于云安全的恶意程序查杀的方法、装置和服务器
CN201310303814.8 2013-07-18

Publications (1)

Publication Number Publication Date
WO2015007224A1 true WO2015007224A1 (zh) 2015-01-22

Family

ID=49534399

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/082400 WO2015007224A1 (zh) 2013-07-18 2014-07-17 基于云安全的恶意程序查杀的方法、装置和服务器

Country Status (3)

Country Link
US (1) US10027704B2 (zh)
CN (1) CN103390130B (zh)
WO (1) WO2015007224A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113032784A (zh) * 2021-03-26 2021-06-25 哈尔滨安天科技集团股份有限公司 一种威胁处置方法、威胁处置工具和计算机可读介质

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103390130B (zh) * 2013-07-18 2017-04-05 北京奇虎科技有限公司 基于云安全的恶意程序查杀的方法、装置和服务器
CN104462974A (zh) * 2014-12-19 2015-03-25 北京奇虎科技有限公司 一种程序清理方法、装置及系统
CN104680066A (zh) * 2015-01-26 2015-06-03 安一恒通（北京）科技有限公司 用于杀毒软件防误判的方法及装置
CN104834861B (zh) * 2015-05-12 2018-10-02 腾讯科技（深圳）有限公司 木马的查杀方法和装置
CN105631327A (zh) * 2015-12-16 2016-06-01 北京奇虎科技有限公司 病毒查杀方法和系统、及客户端
CN106657102A (zh) * 2016-12-29 2017-05-10 北京奇虎科技有限公司 一种基于局域网的威胁处理方法和装置
CN109039781B (zh) * 2018-09-21 2021-08-17 锐捷网络股份有限公司 一种网络设备故障诊断方法、执行节点、服务器和系统
CN110941478B (zh) * 2018-09-21 2024-03-01 北京奇虎科技有限公司 文件扫描任务的执行方法、装置及计算设备
CN112579250B (zh) * 2019-09-30 2024-02-02 奇安信安全技术(珠海)有限公司 中间件的管理方法及装置、修复引擎系统
CN112749130B (zh) * 2019-10-30 2023-10-03 腾讯科技（深圳）有限公司 一种清除信息的方法及装置
TWI758865B (zh) * 2020-09-16 2022-03-21 英業達股份有限公司 基本輸入輸出系統選項修改方法、系統及裝置
CN112199679A (zh) * 2020-09-29 2021-01-08 珠海豹好玩科技有限公司 一种Linux系统下的病毒查杀方法及装置
CN112511571B (zh) * 2021-02-07 2021-06-22 连连（杭州）信息技术有限公司 一种Web漏洞扫描方法、装置、系统、设备及存储介质
CN116506222B (zh) * 2023-06-26 2023-09-08 北京安天网络安全技术有限公司 一种安全防护系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102915421A (zh) * 2011-08-04 2013-02-06 腾讯科技（深圳）有限公司 文件的扫描方法及系统
CN102982284A (zh) * 2012-11-30 2013-03-20 北京奇虎科技有限公司 用于恶意程序查杀的扫描设备、云端管理设备及方法和系统
CN103390130A (zh) * 2013-07-18 2013-11-13 北京奇虎科技有限公司 基于云安全的恶意程序查杀的方法、装置和服务器

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101212469A (zh) * 2006-12-28 2008-07-02 朗迅科技公司 Ims网的抗病毒系统
CN101978379B (zh) * 2008-03-26 2013-12-04 富士通株式会社 信息处理装置、病毒管理功能装置以及病毒驱除方法
US9292689B1 (en) * 2008-10-14 2016-03-22 Trend Micro Incorporated Interactive malicious code detection over a computer network
US8844039B2 (en) * 2010-06-30 2014-09-23 F-Secure Corporation Malware image recognition
CN102799811B (zh) * 2012-06-26 2014-04-16 腾讯科技（深圳）有限公司 扫描方法和装置
KR101398852B1 (ko) * 2013-02-13 2014-06-27 주식회사 잉카인터넷 스크립트를 이용한 멀웨어 치료 시스템 및 방법
CN103152356B (zh) * 2013-03-20 2016-05-25 北京奇虎科技有限公司 检测文件样本安全性的方法、服务器和系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102915421A (zh) * 2011-08-04 2013-02-06 腾讯科技（深圳）有限公司 文件的扫描方法及系统
CN102982284A (zh) * 2012-11-30 2013-03-20 北京奇虎科技有限公司 用于恶意程序查杀的扫描设备、云端管理设备及方法和系统
CN103390130A (zh) * 2013-07-18 2013-11-13 北京奇虎科技有限公司 基于云安全的恶意程序查杀的方法、装置和服务器

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113032784A (zh) * 2021-03-26 2021-06-25 哈尔滨安天科技集团股份有限公司 一种威胁处置方法、威胁处置工具和计算机可读介质

Also Published As

Publication number Publication date
US20160164887A1 (en) 2016-06-09
US10027704B2 (en) 2018-07-17
CN103390130B (zh) 2017-04-05
CN103390130A (zh) 2013-11-13

Similar Documents

Publication Publication Date Title
WO2015007224A1 (zh) 基于云安全的恶意程序查杀的方法、装置和服务器
JP5963008B2 (ja) コンピュータシステムの分析方法および装置
JP6188704B2 (ja) ファジーホワイトリスト化アンチマルウェアシステムおよび方法
US11068591B2 (en) Cybersecurity systems and techniques
RU2531861C1 (ru) Система и способ оценки вредоносности кода, исполняемого в адресном пространстве доверенного процесса
US9135443B2 (en) Identifying malicious threads
US9948670B2 (en) Cloud security-based file processing by generating feedback message based on signature information and file features
US8087086B1 (en) Method for mitigating false positive generation in antivirus software
US8302193B1 (en) Methods and systems for scanning files for malware
JP5976020B2 (ja) アンチマルウェアメタデータのルックアップを行うためのシステム及び方法
US20180089430A1 (en) Computer security profiling
WO2014071867A1 (zh) 程序处理方法和系统，用于程序处理的客户端和服务器
US8656494B2 (en) System and method for optimization of antivirus processing of disk files
US9910983B2 (en) Malware detection
WO2014082599A1 (zh) 用于恶意程序查杀的扫描设备、云端管理设备及方法和系统
JP6023282B2 (ja) マルウェアリスクスキャナー
US8448243B1 (en) Systems and methods for detecting unknown malware in an executable file

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14827126

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 14905938

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 14827126

Country of ref document: EP

Kind code of ref document: A1