WO2015062541A1 - 对抗免杀测试的云查杀方法、装置及系统 - Google Patents

对抗免杀测试的云查杀方法、装置及系统 Download PDF

Info

Publication number
WO2015062541A1
WO2015062541A1 PCT/CN2014/090030 CN2014090030W WO2015062541A1 WO 2015062541 A1 WO2015062541 A1 WO 2015062541A1 CN 2014090030 W CN2014090030 W CN 2014090030W WO 2015062541 A1 WO2015062541 A1 WO 2015062541A1
Authority
WO
WIPO (PCT)
Prior art keywords
cloud
killing
request
test
cloud killing
Prior art date
Application number
PCT/CN2014/090030
Other languages
English (en)
French (fr)
Inventor
张旭
Original Assignee
北京奇虎科技有限公司
奇智软件（北京）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京奇虎科技有限公司, 奇智软件（北京）有限公司 filed Critical 北京奇虎科技有限公司
Priority to US15/033,566 priority Critical patent/US9876817B2/en
Publication of WO2015062541A1 publication Critical patent/WO2015062541A1/zh
Priority to US15/857,977 priority patent/US10257222B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection

Definitions

  • the present invention relates to the field of network security technologies, and in particular, to a cloud killing method, apparatus and system for combating a kill test.
  • the virus identification method of traditional anti-virus software has encountered challenges. No matter how sophisticated anti-virus software is designed, the scan results for specific software are fixed—either viruses or viruses. In this way, the Trojan's production "company” can find a way to bypass the detection of anti-virus software, and make a Trojan that cannot be recognized by any anti-virus software, and spread it on the Internet.
  • the present invention has been made in order to provide a cloud killing method, apparatus and system for combating the killing test that overcomes the above problems or at least partially solves the above problems.
  • a cloud killing method for combating a kill test wherein the cloud killing system includes a cloud and a client, and the method includes: the cloud receiving a cloud sent by the client to perform virus checking on the sample The cloud killing request, the cloud parsing the cloud killing request, determining whether the cloud killing request is a cloud killing request of the killing test; if the cloud killing request is a cloud killing request of the killing test, the The cloud returns a cloud killing result of the sample not carrying the virus to the client; if the cloud killing request is not a cloud killing request of the killing test, comparing the sample with the virus database of the cloud to determine whether the sample carries the virus And carry out the corresponding virus killing.
  • a cloud killing device for combating a killing test.
  • the cloud killing system includes a cloud and a client, and the device is located in the cloud, including a recognition engine and a virus database.
  • the device further includes a kill test identification module; the kill test identification module parses the cloud killing request sent by the client for virus detection and killing, and determines whether the cloud killing request is a kill test The cloud killing request; if it is determined that the cloud killing request is a cloud killing request for killing the test, returning to the client the cloud killing result of the sample not carrying the virus; if it is determined that the cloud killing request is not free of killing
  • the cloud killing request of the test passes the cloud killing request of the non-kill test to the recognition engine; the recognition engine compares the sample with the virus database of the cloud to determine whether the sample carries the virus and performs corresponding virus check kill.
  • a cloud killing system for combating a kill test
  • the cloud killing system includes a cloud and a client
  • the cloud includes a recognition engine and a virus database
  • the cloud further includes a killing Testing the identification module
  • the killing test identification module parses the cloud killing request sent by the client for virus detection and killing, and determining whether the cloud killing request is a cloud killing request of the killing test; Determining that the cloud killing request is a cloud killing request of the killing test, and returning, to the client, the cloud killing result of the sample not carrying the virus; if it is determined that the cloud killing request is not a cloud killing request of the killing test Passing the cloud killing request of the non-kill test to the recognition engine; the recognition engine compares the sample with the virus database of the cloud to determine whether the sample carries the virus and performs corresponding virus killing.
  • the cloud killing result of the sample not carrying the virus is directly returned, so that the result of the cloud killing is not recognized as a virus; If it is a normal user request, it is passed to the recognition engine, and the cloud detection result determined by the recognition engine through the virus database is returned. Therefore, for the cloud-killing request of the "free test", the virus test results of the returned virus are returned, so that the virus testers such as Trojans mistakenly believe that the test is not passed, and then released.
  • the cloud killing system can be normally killed and killed.
  • the cloud killing will not return the virus information, thereby allowing the kill test to pass; and when the Trojan is actually circulating on the Internet, the cloud killing will return the correct result, let Antivirus software will kill the Trojan.
  • Figure 1 shows a schematic diagram of the kill test
  • FIG. 2 shows a block diagram of a cloud killing system against a kill test in accordance with one embodiment of the present invention
  • FIG. 3 is a flow chart showing a cloud killing method against a kill test according to an embodiment of the present invention.
  • Figure 4 shows a block diagram of an intelligent electronic device for performing the method according to the invention
  • Figure 5 shows a schematic diagram of a memory unit for holding or carrying program code implementing the method according to the invention.
  • a complete Trojan horse package consists of two parts: the server (server part) and the client (control part).
  • the server is implanted on the other side of the computer, and the hacker uses the client to enter the computer running the server. After running the server of the Trojan, it will generate a process with a name that easily confuses the user, secretly open the port, send data to the specified location (such as passwords for online games, instant messaging software passwords, and user passwords), hackers even These open ports can be used to access the computer system.
  • the inventors of the present invention have found that if the time of "testing for viruses with anti-virus software" can be reasonably extended, the entire “kill-free test” process takes a very long time, greatly increasing the time cost and reducing the Trojan horse. Economic benefits. However, for the average user, the anti-virus software is required to prompt the virus as soon as possible. Therefore, the key point of this patent is that for ordinary users, it is necessary to return the results immediately; for the Trojan production "company", the test time should be greatly extended.
  • the so-called cloud killing refers to putting a virus sample into the server and automatically detecting whether the file is a virus by intelligent detection by hundreds of servers. It can be seen that the cloud killing system includes the cloud and the client. Cloud killing must be networked to be effective, because only the network can be connected to the anti-virus software server, so as to achieve rapid killing and reduce manslaughter.
  • the cloud and the client communicate through the network connection.
  • the identification engine and the virus database are further mainly included, and the recognition engine passes the target file (also referred to as a sample). Compare the virus database with the virus database to determine whether the target file carries the virus.
  • a kill-free test identification module is added in front of the "recognition engine" in the cloud of the cloud killing system.
  • FIG. 2 a block diagram of a cloud killing system against a kill test according to an embodiment of the present invention.
  • the cloud killing system includes a client 201 and a cloud 202, and the client 201 and the cloud 202 are connected through a network.
  • the client refers to a user terminal, such as a smart phone terminal, a PC terminal, and the like.
  • the cloud 202 includes a kill test identification module 2021, a recognition engine 2022, and a virus database 2023.
  • the killing test identification module 2021 is mainly used to identify whether the cloud killing request is a cloud killing request of the killing test, and if so, returning "unknown” or "safe” to the client 201 directly through the network, indicating that the target file is non-viral If the kill test identification module 2021 recognizes that the cloud kill request is not a cloud kill request of the kill test, but a kill request sent by the ordinary user, the kill request is further transmitted to the recognition engine 2022. The recognition engine 2022 determines whether the target file carries the virus and returns the killing result to the client 201 by querying the virus database 2023 according to the original process.
  • the present invention if it is identified that the cloud killing request is being performed, the "unknown” and “safe” values are directly returned, so that the result of the cloud killing is not recognized as a virus; if it is normal The user request is passed to the recognition engine, returning the value of the recognition engine itself.
  • the virus testers such as Trojans mistakenly believe that the kill test passed, and then released.
  • the cloud killing system can be normally killed and killed.
  • kill test identification module 2021 To identify whether the cloud kill request is a cloud kill request for the kill test.
  • the kill test identification module 2021 can count the number of times requested by an IP, IP segment, and IP corresponding unit time (for example, within 1 day). If the number of times exceeds a reasonable number, it is possible that a professional tester is checking the interface. The test is performed, so the IP is automatically added to the blacklist, and all the result of the request does not return the virus information;
  • the cloud killing is initiated by the anti-virus software client.
  • the anti-virus software client can usually collect the identification number of the user equipment (such as the MAC address of the PC, the IMEI number of the mobile phone, etc.), similar to the IP blacklist, if the same device identification number When the request exceeds a reasonable number of times in a unit of time, it is automatically added to the blacklist.
  • the kill test identification module 2021 records the unique identification feature of the sample (for example, the file MD5) and the requested IP for each sample requested; periodically analyzes the above record, and according to the number and distribution of the requested IP, the screening is less than the setting. A sample of the value.
  • the IP is within the set conditions, for example, the setting condition is: the IP distribution neighboring and the total requested IP number is less than or equal to 10, then it can be determined that the cloud killing request for the specific sample is the cloud killing request of the kill test. .
  • FIG. 3 is a flowchart of a cloud killing method against a kill test according to an embodiment of the present invention.
  • the cloud killing system includes a cloud and a client, and the method includes the following steps:
  • S301 The cloud receives a cloud killing request sent by the client for virus detection and killing of the sample;
  • S302 The cloud parses the cloud killing request, determines whether the cloud killing request is a cloud killing request of the killing test, and if it is a cloud killing request of the killing test, executing S303, otherwise executing S304;
  • S304 If the cloud killing request is not a cloud killing request of the killing test, compare the sample with the virus database of the cloud to determine whether the sample carries the virus and perform corresponding virus checking and killing.
  • one way is to record the IP of the cloud killing request, and determine whether the IP of the cloud killing request is in the preset IP blacklist, and if so, determine that the cloud killing request is a cloud free of test. Kill the request.
  • the IP blacklist is preset.
  • the preset method is to first create an empty list and add the "black IP" in accordance with the statistical judgment. Specifically, the number of times that the IP address is sent by the IP address in the unit time is counted; if the number of times the IP address is sent by the IP address is greater than the preset request threshold, the IP is added to the IP blacklist.
  • the method is: recording the client identification number of the cloud killing request; and determining whether the IP of the cloud killing request is in the preset device identification number blacklist, and if yes, determining the cloud killing
  • the request is a cloud kill request for the kill test.
  • the blacklist of the device identification number is preset.
  • the preset method is to first create an empty list and add the black client identification number according to the statistical judgment. Specifically, the number of times of the cloud killing request sent by the client corresponding to a device identification number in a statistical unit time; if the number of cloud killing requests sent by the client corresponding to the device identification number per unit time is large At the preset request threshold, the device identification number is added to the device identification number blacklist.
  • the cloud killing request is a cloud killing request of the killing test.
  • the cloud killing will not return the virus information, thereby allowing the kill test to pass; and when the Trojan is actually circulating on the Internet, the cloud killing will return the correct result. Let the anti-virus software kill the Trojan.
  • the present invention also provides a cloud killing device for combating the kill test.
  • the cloud killing system includes a cloud and a client, and the device provided by the present invention is located in the cloud, including a recognition engine and a virus database, and in particular, an kill test identification module.
  • the kill test identification module is used to parse the cloud killing request sent by the client for virus detection and killing, and determine whether the cloud killing request is a cloud killing request for killing test; if it is determined that the cloud killing request is free Killing the test cloud killing request, returning to the client the cloud killing result of the sample not carrying the virus; if it is determined that the cloud killing request is not a cloud killing request of the killing test, the cloud check of the non-kill test is performed a kill request is passed to the recognition engine;
  • the recognition engine compares the sample with the virus database in the cloud to determine whether the sample carries the virus and performs corresponding virus detection and killing.
  • the kill test identification module has a plurality of ways to determine whether the cloud killing request is a cloud killing request for the kill test.
  • the killing test identification module includes: an IP blacklist setting unit, configured to set and save an IP blacklist; a recording unit, configured to record an IP that sends the cloud killing request; and a determining unit, configured to determine the cloud Whether the IP of the killing request is in the IP blacklist, and if so, it is determined that the cloud killing request is a cloud killing request of the killing test.
  • the IP blacklist setting unit is configured to count the number of cloud killing requests sent by an IP in a unit time; if the number of cloud killing requests sent by the IP in a unit time is greater than a preset request threshold, the IP is used. Add to the IP blacklist.
  • the cloud identification request of the kill test is determined by the device identification number blacklist.
  • the killing test identification module includes: a device identification number blacklist setting unit, configured to set and save a device identification number blacklist; and a recording unit, configured to record a client identification number for sending the cloud killing request; And determining whether the IP of the cloud killing request is in the device identification number blacklist, and if yes, determining that the cloud killing request is a cloud killing request of the killing test.
  • the setting unit of the device identification number blacklist is used to collect the cloud detection kill sent by the client corresponding to a device identification number in a unit time. The number of requests; if the number of times the cloud detection request sent by the client corresponding to the device identification number is greater than the preset request threshold, the device identification number is added to the device identification number blacklist.
  • the kill test identification module includes: a record unit for recording a unique identification feature of the sample; a monitoring and statistics unit, configured to monitor a cloud killing request sent for the unique identification feature, and the statistics are for the unique identification The number and distribution of IPs of the cloud search request sent by the feature; the determining unit, if the number of IPs obtained by the monitoring and statistics unit and the distribution statistics result fall within the preset condition, determining the cloud killing The request is a cloud kill request for the kill test.
  • the cloud killing result of the sample not carrying the virus is directly returned, so that the result of the cloud killing is not recognized as a virus; If it is a normal user request, it is passed to the recognition engine, and the cloud detection result determined by the recognition engine through the virus database is returned. Therefore, for the cloud-killing request of the "free test", the virus test results of the returned virus are returned, so that the virus testers such as Trojans mistakenly believe that the test is not passed, and then released.
  • the cloud killing system can be normally killed and killed.
  • the cloud killing will not return the virus information, thereby allowing the kill test to pass; and when the Trojan is actually circulating on the Internet, the cloud killing will return the correct result. Let the anti-virus software kill the Trojan.
  • modules in the devices of the embodiments can be adaptively changed and placed in one or more devices different from the embodiment.
  • the modules or units or components of the embodiments may be combined into one module or unit or component, and further they may be divided into a plurality of sub-modules or sub-units or sub-components.
  • any combination of the features disclosed in the specification, including the accompanying claims, the abstract and the drawings, and any methods so disclosed, or All processes or units of the device are combined.
  • Each feature disclosed in this specification (including the accompanying claims, the abstract and the drawings) may be replaced by alternative features that provide the same, equivalent or similar purpose.
  • the various component embodiments of the present invention may be implemented in hardware, or in a software module running on one or more processors, or in a combination thereof. It will be understood by those skilled in the art that a microprocessor or digital signal processor (DSP) may be used in practice to implement some or some of the components of the cloud killing device against the kill test according to an embodiment of the present invention or All features.
  • DSP digital signal processor
  • the invention can also be implemented as a device or device program (e.g., a computer program and a computer program product) for performing some or all of the methods described herein.
  • Such a program implementing the invention may be stored on a computer readable medium or may be in the form of one or more signals. Such signals may be downloaded from an Internet website, provided on a carrier signal, or provided in any other form.
  • FIG. 4 illustrates an intelligent electronic device that can implement a method of implementing cloud killing against a kill test in accordance with the present invention.
  • the intelligent electronic device conventionally includes a processor 410 and a computer program product or computer readable medium in the form of a memory 420.
  • the memory 420 may be an electronic memory such as a flash memory, an EEPROM (Electrically Erasable Programmable Read Only Memory), an EPROM, a hard disk, or a ROM.
  • Memory 420 has a memory space 430 for program code 431 for performing any of the method steps described above.
  • storage space 430 for program code may include various program code 431 for implementing various steps in the above methods, respectively.
  • the program code can be read from or written to one or more computer program products.
  • These computer program products include program code carriers such as hard disks, compact disks (CDs), memory cards or floppy disks. Such computer program products are typically portable or fixed storage units as described with reference to FIG.
  • the storage unit may have a storage section or a storage space or the like arranged similarly to the storage 420 in the intelligent electronic device of FIG.
  • the program code can for example Compress in the appropriate form.
  • the storage unit comprises a program 431' for performing the steps of the method according to the invention, ie code that can be read by a processor, such as 410, which, when run by the intelligent electronic device, causes the intelligent electronic device Perform the various steps in the method described above.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

本发明公开了一种对抗免杀测试的云查杀方法、装置及系统。其中的方法包括：云端接收客户端发送的对样本进行病毒查杀的云查杀请求；云端解析所述云查杀请求，判断所述云查杀请求是否为免杀测试的云查杀请求；如果所述云查杀请求是免杀测试的云查杀请求，所述云端向客户端返回所述样本未携带病毒的云查杀结果；如果所述云查杀请求不是免杀测试的云查杀请求，将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。通过本发明，"免杀测试"时，云查杀不会返回病毒信息，从而让免杀测试通过；而当木马真正在互联网上流传时，云查杀就会返回正确的结果，让杀毒软件将木马杀灭。

Description

对抗免杀测试的云查杀方法、装置及系统 技术领域
本发明涉及网络安全技术领域，具体涉及一种对抗免杀测试的云查杀方法、装置及系统。
背景技术
如今的木马，在经济利益的驱使下，已经呈产业化运作趋势，不少木马，由专业的“公司”制作，形成了完整的开发->测试->市场推广的完整组织链条。而随着用户上网安全意识的提高，如今大多数用户都已经安装了杀毒软件，木马一旦被杀毒软件捕获，即被删除，木马“公司”为了维护自己的经济利益，就会想尽一切办法来逃避杀毒软件的查杀。其中一种手段就是“免杀测试”，也就是说，木马由“公司”的开发团队开发出来以后，通常会由测试团队负责，用主流的杀毒软件进行扫描，如果扫描提示病毒，那么测试不通过，开发团队会重新对木马进行修改，直到杀毒软件都不提示为止。
在这种情况下，传统杀毒软件的病毒识别方法就遇到了挑战。无论设计多么精巧的杀毒软件，其对特定软件的扫描结果都是固定的——要么是病毒，要么不是病毒。这样，木马的制作“公司”只要经过多次尝试，总能找到绕过杀毒软件检测的方法，制作出任何杀毒软件都不能识别的木马，并在互联网上传播。
因此，亟待提出一套与免杀测试对抗的方案，使免杀测试无效。
发明内容
鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的对抗免杀测试的云查杀方法、装置及系统。
依据本发明的一个方面，提供一种对抗免杀测试的云查杀方法，其中云查杀系统包括云端和客户端，所述方法包括：云端接收客户端发送的对样本进行病毒查杀的云查杀请求；云端解析所述云查杀请求，判断所述云查杀请求是否为免杀测试的云查杀请求；如果所述云查杀请求是免杀测试的云查杀请求，所述云端向客户端返回所述样本未携带病毒的云查杀结果；如果所述云查杀请求不是免杀测试的云查杀请求，将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。
依据本发明的另一个方面，提供一种对抗免杀测试的云查杀装置，云查杀系统包括云端和客户端，所述装置位于所述云端，包括识别引擎和病毒库，所 述装置还包括免杀测试识别模块；所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求，判断所述云查杀请求是否为免杀测试的云查杀请求；如果确定所述云查杀请求是免杀测试的云查杀请求，向客户端返回所述样本未携带病毒的云查杀结果；如果确定所述云查杀请求不是免杀测试的云查杀请求，将非免杀测试的云查杀请求传递给所述识别引擎；所述识别引擎将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。
依据本发明的另一个方面，提供一种对抗免杀测试的云查杀系统，所述云查杀系统包括云端和客户端，所述云端包括识别引擎和病毒库，所述云端还包括免杀测试识别模块；所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求，判断所述云查杀请求是否为免杀测试的云查杀请求；如果确定所述云查杀请求是免杀测试的云查杀请求，向客户端返回所述样本未携带病毒的云查杀结果；如果确定所述云查杀请求不是免杀测试的云查杀请求，将非免杀测试的云查杀请求传递给所述识别引擎；所述识别引擎将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。
可见，通过本发明，如果识别到是正在进行“免杀测试”的云查杀请求，则直接返回所述样本未携带病毒的云查杀结果，使得云查杀的结果不识别为病毒；如果是正常的用户请求，则传递给识别引擎，返回识别引擎通过病毒库确定的云查杀结果。由此，对于“免杀测试”的云查杀请求，通过返回的未携带病毒的云查杀结果，使得木马等病毒测试人员误以为免杀测试通过，继而发布。而当后续该病毒被普通用户客户端携带而进行查杀时，云查杀系统可正常查杀。通过本发明的方法，“免杀测试”时，云查杀不会返回病毒信息，从而让免杀测试通过；而当木马真正在互联网上流传时，云查杀就会返回正确的结果，让杀毒软件将木马杀灭。
上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1示出了免杀测试的示意图；
图2示出了根据本发明一个实施例的对抗免杀测试的云查杀系统框图；以及
图3示出了根据本发明一个实施例的对抗免杀测试的云查杀方法的流程图；
图4示出了用于执行根据本发明的方法的智能电子设备的框图；以及
图5示出了用于保持或者携带实现根据本发明的方法的程序代码的存储单元示意图。
具体实施方式
下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。
一个完整的特洛伊木马套装程序含了两部分：服务端(服务器部分)和客户端(控制器部分)。植入对方电脑的是服务端，而黑客正是利用客户端进入运行了服务端的电脑。运行了木马程序的服务端以后，会产生一个有着容易迷惑用户的名称的进程，暗中打开端口，向指定地点发送数据(如网络游戏的密码，即时通信软件密码和用户上网密码等)，黑客甚至可以利用这些打开的端口进入电脑系统。
参见图1，为免杀测试流程示意图。传统杀毒软件，识别病毒都是毫秒级的，也就是说，利用制作好的木马，“用杀毒软件测试是否提示病毒”几乎立即就可以得到结果；然后木马开发者修改木马，修改完之后立即可以重新测试，这样反复试几次的时间成本并不高。
基于上述分析，本发明发明人发现，如果能合理延长“用杀毒软件测试是否提示病毒”环节的时间，就使得整个“免杀测试”流程的时间非常长，极大提高其时间成本，减少木马的经济利益。但是，对普通用户而言，则要求杀毒软件提示病毒的时间越快越好。所以本专利的关键，就在于，对普通的用户，需要立即返回结果；而对于木马制作“公司”，则应大幅延长其测试时间。
所谓云查杀，是指将病毒样本放入服务器，通过成千上百的服务器智能检测，自动判断文件是否病毒。可见，云查杀系统包括云端和客户端，。云查杀必须联网才有效，，因为只有联网后才能与杀毒软件的服务器相连接，从而达到快速查杀而减低误杀。
传统的云查杀系统中，云端与客户端通过网络连接通信，在云端，又进一步主要包括识别引擎以及病毒库，识别引擎通过将目标文件(也称为：样本) 与病毒库进行比对判断，确定目标文件是否携带病毒。
本发明中，在云查杀系统的云端的“识别引擎”前增加一个免杀测试识别模块。参见图2，为根据本发明一个实施例的对抗免杀测试的云查杀系统框图。云查杀系统包括客户端201和云端202，客户端201与云端202通过网络连接。其中，客户端是指用户终端，例如智能手机终端、PC机终端等等。云端202包括免杀测试识别模块2021、识别引擎2022和病毒库2023。
免杀测试识别模块2021主要用于识别云查杀请求是否是免杀测试的云查杀请求，如果是，则直接通过网络向客户端201返回“未知”或“安全”等表明目标文件非病毒的查杀结果；如果免杀测试识别模块2021识别出云查杀请求不是免杀测试的云查杀请求，而是普通用户发来的查杀请求，则将查杀请求进一步传递给识别引擎2022，识别引擎2022按照原有流程通过查询病毒库2023而确定目标文件是否携带病毒并将查杀结果返回给客户端201.
可见，通过本发明，如果识别到是正在进行“免杀测试”的云查杀请求，则直接返回“未知”“安全”等值，使得云查杀的结果不识别为病毒；如果是正常的用户请求，则传递给识别引擎，返回识别引擎本身的值。
由此，对于“免杀测试”的云查杀请求，通过返回的“未知”“安全”等值，使得木马等病毒测试人员误以为免杀测试通过，继而发布。而当后续该病毒被普通用户客户端携带而进行查杀时，云查杀系统可正常查杀。
免杀测试识别模块2021识别云查杀请求是否是免杀测试的云查杀请求的方式有多种。
下面详细介绍如何判断正在进行的是“免杀测试”云查杀请求。
(1)IP黑名单
免杀测试识别模块2021可以统计单位时间(例如1天内)某IP、IP段、IP所对应的区域所请求的次数，如果超过合理的次数，有可能是专业的测试人员正在对云查杀接口进行测试，所以自动将IP加入黑名单，其所有的请求结果都不返回病毒信息；
(2)设备识别号黑名单
云查杀是由杀毒软件客户端发起的，杀毒软件客户端通常可以收集用户设备的识别号(例如PC的MAC地址，手机的IMEI号等)，与IP黑名单类似，如果相同的设备识别号在单位时间内请求超过了合理的次数，也将其自动加入黑名单。
(3)请求样本的请求次数和分布特征
一款正在测试中的软件，还没有对外大规模发布，所以统计到的请求总次数会比较小。例如，正在测试的木马，可能也就只有几个测试人员在测，所以 统计到该样本的请求次数可能只有几次。而真正对外发布的应用，其请求应该分布在全国各地(通过请求IP可以查到)，而且请求的次数也要多得多。具体做法：免杀测试识别模块2021对于每个请求的样本，记录样本的唯一识别特征(例如文件MD5)和请求的IP；定期分析上述记录，根据请求IP的个数、分布，筛除小于设定值的样本。例如，对于一个新木马的测试，往往只有几个IP分布邻近的终端发来的有限数目的云查杀请求，假如针对一个特定样本(唯一识别特征识别该特定样本)，其云查杀的请求IP在设定条件内，比如设定条件是：各IP分布邻近以及总请求的IP个数小于或等于10，那么可认定针对该特定样本的云查杀请求是免杀测试的云查杀请求。
通过上面的方式，“免杀测试”时，云查杀都不会返回病毒信息，从而让免杀测试通过；而当木马真正在互联网上流传时，云查杀就会返回正确的结果，让杀毒软件将木马杀灭。
参见图3，为本发明一个实施例提供的一种对抗免杀测试的云查杀方法的流程图。如前所述，云查杀系统包括云端和客户端，该方法包括以下步骤：
S301：云端接收客户端发送的对样本进行病毒查杀的云查杀请求；
S302：云端解析云查杀请求，判断云查杀请求是否为免杀测试的云查杀请求，若是免杀测试的云查杀请求，则执行S303，否则执行S304；
S303：如果云查杀请求是免杀测试的云查杀请求，云端向客户端返回样本未携带病毒的云查杀结果；
S304：如果云查杀请求不是免杀测试的云查杀请求，将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。
其中，判断所述云查杀请求是否为免杀测试的云查杀请求的方式有多种。
例如，一种方式是，通过记录发送云查杀请求的IP，并判断云查杀请求的IP是否在预置的IP黑名单中，如果是，则确定云查杀请求是免杀测试的云查杀请求。其中，IP黑名单是预置的，其预置方法为，先建立一个空的名单，通过统计判断，将符合“黑IP”添加进去。具体的，统计单位时间内某IP发送的云查杀请求的次数；如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值，则将该IP添加到IP黑名单中。
又如，又一种方式是，通过记录发送云查杀请求的客户端识别号；再判断云查杀请求的IP是否在预置的设备识别号黑名单中，如果是，则确定云查杀请求是免杀测试的云查杀请求。其中，设备识别号黑名单是预置的，其预置方法为，先建立一个空的名单，通过统计判断，将符合“黑客户端识别号”添加进去。具体的，统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数；如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大 于预置的请求阈值，则将该设备识别号添加到设备识别号黑名单中。
再如，另一种方式是，通过记录样本的唯一识别特征，并监测针对所述唯一识别特征发送的云查杀请求，统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布，如果统计结果落在预置条件内，则确定所述云查杀请求是免杀测试的云查杀请求。
通过本发明的方法，“免杀测试”时，云查杀都不会返回病毒信息，从而让免杀测试通过；而当木马真正在互联网上流传时，云查杀就会返回正确的结果，让杀毒软件将木马杀灭。
与上述方法相对应，本发明还提供一种对抗免杀测试的云查杀装置。如前所述，云查杀系统包括云端和客户端，本发明提供的装置位于所述云端，包括识别引擎和病毒库，特别的，还包括免杀测试识别模块。
其中：
免杀测试识别模块，用于解析客户端发来的对样本进行病毒查杀的云查杀请求，判断云查杀请求是否为免杀测试的云查杀请求；如果确定云查杀请求是免杀测试的云查杀请求，向客户端返回所述样本未携带病毒的云查杀结果；如果确定所述云查杀请求不是免杀测试的云查杀请求，将非免杀测试的云查杀请求传递给所述识别引擎；
识别引擎，将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。
优选的，免杀测试识别模块判断云查杀请求是否为免杀测试的云查杀请求的方式有多种。
一种方式是，通过IP黑名单判断出免杀测试的云查杀请求。此时，免杀测试识别模块包括：IP黑名单设置单元，用于设置并保存IP黑名单；记录单元，用于记录发送所述云查杀请求的IP；判断单元，用于判断所述云查杀请求的IP是否在IP黑名单中，如果是，则确定所述云查杀请求是免杀测试的云查杀请求。其中，IP黑名单设置单元，用于统计单位时间内某IP发送的云查杀请求的次数；如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值，则将该IP添加到IP黑名单中。
又一种方式是，通过设备识别号黑名单判断出免杀测试的云查杀请求。此时，免杀测试识别模块包括：设备识别号黑名单设置单元，用于设置并保存设备识别号黑名单；记录单元，用于记录发送所述云查杀请求的客户端识别号；判断单元，用于判断所述云查杀请求的IP是否在设备识别号黑名单中，如果是，则确定所述云查杀请求是免杀测试的云查杀请求。其中，所述设备识别号黑名单的设置单元，用于统计单位时间内某设备识别号对应的客户端发送的云查杀 请求的次数；如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值，则将该设备识别号添加到设备识别号黑名单中。
另一种方式是，通过样本唯一识别特征及统计IP个数及分布判断出免杀测试的云查杀请求。此时，免杀测试识别模块包括：记录单元，用于记录所述样本的唯一识别特征；监测及统计单元，用于监测针对所述唯一识别特征发送的云查杀请求，统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布；判断单元，如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内，则确定所述云查杀请求是免杀测试的云查杀请求。
可见，通过本发明，如果识别到是正在进行“免杀测试”的云查杀请求，则直接返回所述样本未携带病毒的云查杀结果，使得云查杀的结果不识别为病毒；如果是正常的用户请求，则传递给识别引擎，返回识别引擎通过病毒库确定的云查杀结果。由此，对于“免杀测试”的云查杀请求，通过返回的未携带病毒的云查杀结果，使得木马等病毒测试人员误以为免杀测试通过，继而发布。而当后续该病毒被普通用户客户端携带而进行查杀时，云查杀系统可正常查杀。
通过本发明的方法，“免杀测试”时，云查杀都不会返回病毒信息，从而让免杀测试通过；而当木马真正在互联网上流传时，云查杀就会返回正确的结果，让杀毒软件将木马杀灭。
在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。
在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。
类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。
本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。
此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。
本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的对抗免杀测试的云查杀装置中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。
例如，图4示出了可以实现根据本发明的实现对抗免杀测试的云查杀的方法的智能电子设备。该智能电子设备传统上包括处理器410和以存储器420形式的计算机程序产品或者计算机可读介质。存储器420可以是诸如闪存、EEPROM(电可擦除可编程只读存储器)、EPROM、硬盘或者ROM之类的电子存储器。存储器420具有用于执行上述方法中的任何方法步骤的程序代码431的存储空间430。例如，用于程序代码的存储空间430可以包括分别用于实现上面的方法中的各种步骤的各个程序代码431。这些程序代码可以从一个或者多个计算机程序产品中读出或者写入到这一个或者多个计算机程序产品中。这些计算机程序产品包括诸如硬盘，紧致盘(CD)、存储卡或者软盘之类的程序代码载体。这样的计算机程序产品通常为如参考图5所述的便携式或者固定存储单元。该存储单元可以具有与图4的智能电子设备中的存储器420类似布置的存储段或者存储空间等。程序代码可以例如以 适当形式进行压缩。通常，存储单元包括用于执行根据本发明的方法步骤的程序431’，即可以由例如诸如410之类的处理器读取的代码，这些代码当由智能电子设备运行时，导致该智能电子设备执行上面所描述的方法中的各个步骤。
应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims (20)

  1. 一种对抗免杀测试的云查杀方法，其特征在于，云查杀系统包括云端和客户端，所述方法包括：
    云端接收客户端发送的对样本进行病毒查杀的云查杀请求；
    云端解析所述云查杀请求，判断所述云查杀请求是否为免杀测试的云查杀请求；
    如果所述云查杀请求是免杀测试的云查杀请求，所述云端向客户端返回所述样本未携带病毒的云查杀结果；
    如果所述云查杀请求不是免杀测试的云查杀请求，将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。
  2. 如权利要求1所述的方法，其特征在于，所述判断所述云查杀请求是否为免杀测试的云查杀请求包括：
    记录发送所述云查杀请求的IP；
    判断所述云查杀请求的IP是否在预置的IP黑名单中，如果是，则确定所述云查杀请求是免杀测试的云查杀请求。
  3. 如权利要求2所述的方法，其特征在于，所述IP黑名单的设置方法包括：
    统计单位时间内某IP发送的云查杀请求的次数；
    如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值，则将该IP添加到IP黑名单中。
  4. 如权利要求1所述的方法，其特征在于，所述判断所述云查杀请求是否为免杀测试的云查杀请求包括：
    记录发送所述云查杀请求的客户端识别号；
    判断所述云查杀请求的IP是否在预置的设备识别号黑名单中，如果是，则确定所述云查杀请求是免杀测试的云查杀请求。
  5. 如权利要求4所述的方法，其特征在于，所述设备识别号黑名单的设置方法包括：
    统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数；
    如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值，则将该设备识别号添加到设备识别号黑名单中。
  6. 如权利要求1所述的方法，其特征在于，所述判断所述云查杀请求是否为免杀测试的云查杀请求包括：
    记录所述样本的唯一识别特征；
    监测针对所述唯一识别特征发送的云查杀请求，统计针对该唯一识别特征 而发送的云查杀请求的IP的个数及分布；
    如果统计结果落在预置条件内，则确定所述云查杀请求是免杀测试的云查杀请求。
  7. 一种对抗免杀测试的云查杀装置，云查杀系统包括云端和客户端，所述装置位于所述云端，包括识别引擎和病毒库，其特征在于，所述装置还包括免杀测试识别模块；
    所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求，判断所述云查杀请求是否为免杀测试的云查杀请求；如果确定所述云查杀请求是免杀测试的云查杀请求，向客户端返回所述样本未携带病毒的云查杀结果；如果确定所述云查杀请求不是免杀测试的云查杀请求，将非免杀测试的云查杀请求传递给所述识别引擎；
    所述识别引擎将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。
  8. 如权利要求7所述的装置，其特征在于，所述免杀测试识别模块包括：
    IP黑名单设置单元，用于设置并保存IP黑名单；
    记录单元，用于记录发送所述云查杀请求的IP；
    判断单元，用于判断所述云查杀请求的IP是否在IP黑名单中，如果是，则确定所述云查杀请求是免杀测试的云查杀请求。
  9. 如权利要求8所述的装置，其特征在于，所述IP黑名单设置单元，用于统计单位时间内某IP发送的云查杀请求的次数；如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值，则将该IP添加到IP黑名单中。
  10. 如权利要求7所述的装置，其特征在于，所述免杀测试识别模块包括：
    设备识别号黑名单设置单元，用于设置并保存设备识别号黑名单；
    记录单元，用于记录发送所述云查杀请求的客户端识别号；
    判断单元，用于判断所述云查杀请求的IP是否在设备识别号黑名单中，如果是，则确定所述云查杀请求是免杀测试的云查杀请求。
  11. 如权利要求10所述的装置，其特征在于，所述设备识别号黑名单的设置单元，用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数；如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值，则将该设备识别号添加到设备识别号黑名单中。
  12. 如权利要求7所述的装置，其特征在于，所述免杀测试识别模块包括：
    记录单元，用于记录所述样本的唯一识别特征；
    监测及统计单元，用于监测针对所述唯一识别特征发送的云查杀请求，统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布；
    判断单元，如果所述监测及统计单元得到的IP的个数及分布统计结果落在预置条件内，则确定所述云查杀请求是免杀测试的云查杀请求。
  13. 一种对抗免杀测试的云查杀系统，所述云查杀系统包括云端和客户端，所述云端包括识别引擎和病毒库，其特征在于，所述云端还包括免杀测试识别模块；
    所述免杀测试识别模块解析所述客户端发来的对样本进行病毒查杀的云查杀请求，判断所述云查杀请求是否为免杀测试的云查杀请求；如果确定所述云查杀请求是免杀测试的云查杀请求，向客户端返回所述样本未携带病毒的云查杀结果；如果确定所述云查杀请求不是免杀测试的云查杀请求，将非免杀测试的云查杀请求传递给所述识别引擎；
    所述识别引擎将样本与云端的病毒库进行比对，确定样本是否携带病毒并进行相应的病毒查杀。
  14. 如权利要求13所述的系统，其特征在于，所述免杀测试识别模块包括：
    IP黑名单设置单元，用于设置并保存IP黑名单；
    记录单元，用于记录发送所述云查杀请求的IP；
    判断单元，用于判断所述云查杀请求的IP是否在IP黑名单中，如果是，则确定所述云查杀请求是免杀测试的云查杀请求。
  15. 如权利要求14所述的系统，其特征在于，所述IP黑名单设置单元，用于统计单位时间内某IP发送的云查杀请求的次数；如果单位时间内该IP发送的云查杀请求的次数大于预置的请求阈值，则将该IP添加到IP黑名单中。
  16. 如权利要求13所述的系统，其特征在于，所述免杀测试识别模块包括：
    设备识别号黑名单设置单元，用于设置并保存设备识别号黑名单；
    记录单元，用于记录发送所述云查杀请求的客户端识别号；
    判断单元，用于判断所述云查杀请求的IP是否在设备识别号黑名单中，如果是，则确定所述云查杀请求是免杀测试的云查杀请求。
  17. 如权利要求16所述的系统，其特征在于，所述设备识别号黑名单的设置单元，用于统计单位时间内某设备识别号对应的客户端发送的云查杀请求的次数；如果单位时间内该设备识别号对应的客户端发送的云查杀请求的次数大于预置的请求阈值，则将该设备识别号添加到设备识别号黑名单中。
  18. 如权利要求13所述的系统，其特征在于，所述免杀测试识别模块包括：
    记录单元，用于记录所述样本的唯一识别特征；
    监测及统计单元，用于监测针对所述唯一识别特征发送的云查杀请求，统计针对该唯一识别特征而发送的云查杀请求的IP的个数及分布；
    判断单元，如果所述监测及统计单元得到的IP的个数及分布统计结果落在 预置条件内，则确定所述云查杀请求是免杀测试的云查杀请求。
  19. 一种计算机程序，包括计算机可读代码，当智能电子设备运行所述计算机可读代码运行时，导致权利要求1-6中的任一项权利要求所述的方法被执行。
  20. 一种计算机可读介质，其中存储了如权利要求19所述的计算机程序。
PCT/CN2014/090030 2013-11-01 2014-10-31 对抗免杀测试的云查杀方法、装置及系统 WO2015062541A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US15/033,566 US9876817B2 (en) 2013-11-01 2014-10-31 Cloud checking and killing method, device and system for combating anti-antivirus test
US15/857,977 US10257222B2 (en) 2013-11-01 2017-12-29 Cloud checking and killing method, device and system for combating anti-antivirus test

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310534082.3A CN103581185B (zh) 2013-11-01 2013-11-01 对抗免杀测试的云查杀方法、装置及系统
CN201310534082.3 2013-11-01

Related Child Applications (2)

Application Number Title Priority Date Filing Date
US15/033,566 A-371-Of-International US9876817B2 (en) 2013-11-01 2014-10-31 Cloud checking and killing method, device and system for combating anti-antivirus test
US15/857,977 Continuation US10257222B2 (en) 2013-11-01 2017-12-29 Cloud checking and killing method, device and system for combating anti-antivirus test

Publications (1)

Publication Number Publication Date
WO2015062541A1 true WO2015062541A1 (zh) 2015-05-07

Family

ID=50052115

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/CN2014/083907 WO2015062328A1 (zh) 2013-11-01 2014-08-07 对抗免杀测试的云查杀方法、装置及系统
PCT/CN2014/090030 WO2015062541A1 (zh) 2013-11-01 2014-10-31 对抗免杀测试的云查杀方法、装置及系统

Family Applications Before (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/083907 WO2015062328A1 (zh) 2013-11-01 2014-08-07 对抗免杀测试的云查杀方法、装置及系统

Country Status (3)

Country Link
US (2) US9876817B2 (zh)
CN (1) CN103581185B (zh)
WO (2) WO2015062328A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107577966A (zh) * 2017-09-19 2018-01-12 中国南方电网有限责任公司超高压输电公司南宁监控中心 一种移动储存的防病毒方法及防病毒安全器

Families Citing this family (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103581185B (zh) * 2013-11-01 2016-12-07 北京奇虎科技有限公司 对抗免杀测试的云查杀方法、装置及系统
CN107689975B (zh) * 2016-08-05 2020-07-31 腾讯科技（深圳）有限公司 一种基于云计算的计算机病毒识别方法及系统
CN110874472B (zh) * 2018-09-04 2024-02-13 中国信息安全测评中心 一种pe病毒逃逸样本的生成方法和系统
CN109743629A (zh) * 2018-12-11 2019-05-10 新视家科技(北京)有限公司 智能电视应用的安全处理方法及其装置、电子设备
CN111191232B (zh) * 2019-06-28 2023-09-29 腾讯科技（深圳）有限公司 病毒查杀的方法、装置和存储介质
CN112580030B (zh) * 2019-09-27 2023-08-01 奇安信科技集团股份有限公司 网络系统及半隔离网终端病毒查杀方法和装置
CN112580026B (zh) * 2019-09-27 2024-02-20 奇安信科技集团股份有限公司 网络系统及终端病毒查杀方法和装置
CN111400714B (zh) * 2020-04-16 2023-06-02 Oppo广东移动通信有限公司 病毒检测方法、装置、设备及存储介质
CN115913683B (zh) * 2022-11-07 2024-04-30 中国联合网络通信集团有限公司 风险访问记录生成方法、装置、设备及存储介质

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101901314A (zh) * 2009-06-19 2010-12-01 卡巴斯基实验室封闭式股份公司 反恶意软件处理中误报的检测和最小化
CN101924761A (zh) * 2010-08-18 2010-12-22 奇智软件（北京）有限公司 一种依据白名单进行恶意程序检测的方法
CN102123396A (zh) * 2011-02-14 2011-07-13 恒安嘉新(北京)科技有限公司 基于通信网的手机病毒和恶意软件的云检测方法
CN102970272A (zh) * 2011-09-01 2013-03-13 腾讯科技（深圳）有限公司 用于病毒检测的方法、装置和云服务器
CN103136474A (zh) * 2011-11-29 2013-06-05 姚纪卫 检测文件的方法和装置
CN103581185A (zh) * 2013-11-01 2014-02-12 北京奇虎科技有限公司 对抗免杀测试的云查杀方法、装置及系统

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10043008B2 (en) * 2004-10-29 2018-08-07 Microsoft Technology Licensing, Llc Efficient white listing of user-modifiable files
US7849502B1 (en) * 2006-04-29 2010-12-07 Ironport Systems, Inc. Apparatus for monitoring network traffic
US9047441B2 (en) * 2011-05-24 2015-06-02 Palo Alto Networks, Inc. Malware analysis system
CN102831338B (zh) * 2012-06-28 2015-09-30 北京奇虎科技有限公司 一种Android应用程序的安全检测方法及系统
RU2536663C2 (ru) * 2012-12-25 2014-12-27 Закрытое акционерное общество "Лаборатория Касперского" Система и способ защиты от нелегального использования облачных инфраструктур

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101901314A (zh) * 2009-06-19 2010-12-01 卡巴斯基实验室封闭式股份公司 反恶意软件处理中误报的检测和最小化
CN101924761A (zh) * 2010-08-18 2010-12-22 奇智软件（北京）有限公司 一种依据白名单进行恶意程序检测的方法
CN102123396A (zh) * 2011-02-14 2011-07-13 恒安嘉新(北京)科技有限公司 基于通信网的手机病毒和恶意软件的云检测方法
CN102970272A (zh) * 2011-09-01 2013-03-13 腾讯科技（深圳）有限公司 用于病毒检测的方法、装置和云服务器
CN103136474A (zh) * 2011-11-29 2013-06-05 姚纪卫 检测文件的方法和装置
CN103581185A (zh) * 2013-11-01 2014-02-12 北京奇虎科技有限公司 对抗免杀测试的云查杀方法、装置及系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107577966A (zh) * 2017-09-19 2018-01-12 中国南方电网有限责任公司超高压输电公司南宁监控中心 一种移动储存的防病毒方法及防病毒安全器
CN107577966B (zh) * 2017-09-19 2023-09-29 中国南方电网有限责任公司超高压输电公司南宁监控中心 一种移动储存的防病毒方法及防病毒安全器

Also Published As

Publication number Publication date
US9876817B2 (en) 2018-01-23
CN103581185B (zh) 2016-12-07
US10257222B2 (en) 2019-04-09
WO2015062328A1 (zh) 2015-05-07
US20160285909A1 (en) 2016-09-29
CN103581185A (zh) 2014-02-12
US20180124103A1 (en) 2018-05-03

Similar Documents

Publication Publication Date Title
WO2015062541A1 (zh) 对抗免杀测试的云查杀方法、装置及系统
US9208323B1 (en) Classifier-based security for computing devices
WO2017071551A1 (zh) 一种防止恶意访问登录/注册接口的行为的方法和装置
US20180131705A1 (en) Visibility of Non-Benign Network Traffic
CN110417778B (zh) 访问请求的处理方法和装置
US20180020024A1 (en) Methods and Systems for Using Self-learning Techniques to Protect a Web Application
KR101043299B1 (ko) 악성 코드 탐지 방법, 시스템 및 컴퓨터 판독 가능한 저장매체
KR20150124370A (ko) 악성 프로세스 행동을 검출하기 위한 방법, 장치 및 시스템
CN110188538B (zh) 采用沙箱集群检测数据的方法及装置
CN107666464B (zh) 一种信息处理方法及服务器
CN110149319B (zh) Apt组织的追踪方法及装置、存储介质、电子装置
WO2017101874A1 (zh) Apt攻击的检测方法、终端设备、服务器及系统
KR102180098B1 (ko) 악성코드 모니터링 및 사용자 단말 제어 기능을 수행하는 악성코드 탐지 시스템
CN111404949A (zh) 一种流量检测方法、装置、设备及存储介质
CN110135162A (zh) Webshell后门识别方法、装置、设备及存储介质
CN116340943A (zh) 应用程序保护方法、装置、设备、存储介质和程序产品
CN109359467B (zh) 针对未知勒索病毒的精准识别与全网联动防御方法和系统
CN109815702B (zh) 软件行为的安全检测方法、装置及设备
US9239907B1 (en) Techniques for identifying misleading applications
US20200089877A1 (en) Malicious event detection device, malicious event detection method, and malicious event detection program
KR20130105769A (ko) 악성 도메인 탐지 시스템, 방법 및 컴퓨터 판독 가능한 기록 매체
WO2022156293A1 (zh) 处理告警日志的方法、装置及存储介质
CN115643044A (zh) 数据处理方法、装置、服务器及存储介质
KR102001814B1 (ko) 모바일 장치 기반의 악성 스크립트 탐지 방법 및 그 장치
CN111125692B (zh) 反爬虫方法及装置

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14858928

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15033566

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14858928

Country of ref document: EP

Kind code of ref document: A1