WO2015081836A1 - 病毒的识别方法、设备、非易失性存储介质及设备 - Google Patents

病毒的识别方法、设备、非易失性存储介质及设备 Download PDF

Info

Publication number
WO2015081836A1
WO2015081836A1 PCT/CN2014/092758 CN2014092758W WO2015081836A1 WO 2015081836 A1 WO2015081836 A1 WO 2015081836A1 CN 2014092758 W CN2014092758 W CN 2014092758W WO 2015081836 A1 WO2015081836 A1 WO 2015081836A1
Authority
WO
WIPO (PCT)
Prior art keywords
virus
folder
file
behavior
file name
Prior art date
Application number
PCT/CN2014/092758
Other languages
English (en)
French (fr)
Inventor
郭明强
陈高和
董志强
Original Assignee
百度国际科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 百度国际科技（深圳）有限公司 filed Critical 百度国际科技（深圳）有限公司
Publication of WO2015081836A1 publication Critical patent/WO2015081836A1/zh

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities

Definitions

  • the present invention relates to computer technology, and in particular, to a virus identification method, device, non-volatile storage medium and device.
  • a folder virus is a virus that confuses a user with a folder icon and double-clicks to open the virus.
  • the folder virus traverses the folder under the root directory of the mobile storage device, copies itself to the root directory of the mobile storage device, renames the file name of the detected folder, and modifies the attribute of the folder to be invisible, so that the user Run a virus when you open its folder with a removable storage device for replication purposes.
  • the scanned database is feature-matched by using a virus database, and if the matching is successful, the file is identified as a folder virus.
  • the original virus database needs to be obtained by the operator one by one for each folder virus, and the manual identification and feature extraction of each folder virus file to establish a virus database.
  • aspects of the present invention provide a virus identification method, device, non-volatile storage medium and device for improving the efficiency and reliability of virus identification.
  • An aspect of the present invention provides a method for identifying a virus, including:
  • the executable file is identified as a folder virus according to the behavior of the process and the attribute of the folder corresponding to the same or similar file name.
  • the above-mentioned aspect and any possible implementation manner further provide an implementation manner, where the file name of the executable file corresponding to the process is obtained according to the behavior of the process, including:
  • the file name of the executable file accessed by the process is obtained.
  • the executable file is a folder virus, including:
  • If the behavior of the process is to create the executable file, obtain the file name of the executable file.
  • the executable file is a folder virus, including:
  • Another aspect of the present invention provides a virus identification device, including:
  • An obtaining unit configured to obtain a executable corresponding to the process according to the behavior of the process
  • a determining unit configured to determine a file name that is the same as or similar to a file name of the executable file
  • an identifying unit configured to identify the executable file as a folder virus according to the behavior of the process and according to an attribute of a folder corresponding to the same or similar file name.
  • the file name of the executable file accessed by the process is obtained.
  • the executable file is identified as a folder virus.
  • If the behavior of the process is to create the executable file, obtain the file name of the executable file.
  • the executable file is identified as a folder virus.
  • the device further includes an update unit, configured to
  • the executable file is identified as a folder virus according to the behavior of the process and the attribute of the folder corresponding to the same or similar file name.
  • the executable file is identified as a folder virus according to the behavior of the process and the attribute of the folder corresponding to the same or similar file name.
  • the embodiment of the present invention obtains the file name of the executable file corresponding to the process according to the behavior of the process, and determines the file name of the executable file. Or a similar file name, such that the executable file is identified as a folder virus according to the behavior of the process and the attribute of the folder corresponding to the same or similar file name, without relying on a folder virus
  • the virus characteristic information is simple in operation and not easy to make mistakes, thereby improving the efficiency and reliability of virus identification.
  • the technical solution provided by the invention can accurately identify the folder virus when the process starts, can effectively improve the efficiency of virus identification, and can effectively improve the security performance of the system.
  • the technical solution provided by the present invention can accurately identify the executable file corresponding to the process as a folder virus when the process attempts to copy the folder virus, which can effectively improve the efficiency of virus identification and effectively prevent the folder in the system.
  • the replication of the virus further enhances the security of the system.
  • the virus database can be automatically established, and the operator does not need to obtain each folder virus one by one, and manually identify and extract the virus files of each folder, and the real-time performance is good, and the correct rate is high. It can effectively improve the efficiency and reliability of virus identification, thus further improving the security performance of the system.
  • FIG. 1 is a schematic flowchart of a method for identifying a virus according to an embodiment of the present invention
  • FIG. 3 is a schematic structural diagram of a virus identification device according to another embodiment of the present invention.
  • FIG. 1 is a schematic flowchart of a method for identifying a virus according to an embodiment of the present invention, as shown in FIG. 1 .
  • the execution entity of 101 to 104 may be an anti-virus engine, which may be located in a local client to perform offline operations to remove viruses, or may be located in a server on the network side to perform online operations to remove viruses. This embodiment does not limit this.
  • the return value does not contain the FILE_ATTRIBUTE_DIRECTORY bit, you can end the operation, indicating that the executable file is not a folder virus. If the return value contains the FILE_ATTRIBUTE_DIRECTORY bit, which is a folder, further determine whether the return value contains the FILE_ATTRIBUTE_HIDDEN bit or the FILE_ATTRIBUTE_SYSTEM bit. If the return value does not include the FILE_ATTRIBUTE_HIDDEN bit and the FILE_ATTRIBUTE_SYSTEM bit, the operation can be ended, indicating that the executable file is not a folder virus. .
  • the event wait state is entered. In the event wait state, wait for an event notification.
  • the event notification is used to notify the initiated process to perform an open operation on the folder to open the folder. If an event notification is received, the The executable file is a folder virus. Further, a virus alert operation, a virus clear operation, and the like can also be performed.
  • the virus removal operation can be made to modify the properties of the folder, and delete the identified folder virus, that is, the executable file.
  • the technical solution provided by the present invention can accurately identify the folder virus when the process starts, can effectively improve the efficiency of virus identification, and can effectively improve the security performance of the system.
  • a snapshot method may be utilized to traverse processes in the system to obtain process information for each process. For example, the image name of the process, the state of the process, and the behavior of the process, etc.; then, based on the behavior of the process that created the executable file, obtain the image name of the process, and then obtain the file name of the created executable file.
  • the technical solution provided by the present invention can accurately identify the executable file corresponding to the process as a folder virus when the process attempts to copy the folder virus, which can effectively improve the efficiency of virus identification and effectively prevent the folder in the system.
  • the replication of the virus further enhances the security of the system.
  • the virus signature database stores information related to the virus signature information, including but not limited to the virus length information, the virus signature information, and the identifier (ID) of the virus signature information, which is not specifically limited in the present invention.
  • the virus database can be automatically established, and the operator does not need to obtain each folder virus one by one, and manually identify and extract the virus files of each folder, and the real-time performance is good, and the correct rate is high. It can effectively improve the efficiency and reliability of virus identification, thus further improving the security performance of the system.
  • the technical solution provided by the present invention can accurately identify the executable file corresponding to the process as a folder virus when the process attempts to copy the folder virus, which can effectively improve the efficiency of virus identification and effectively prevent the folder in the system.
  • the replication of the virus further enhances the security of the system.
  • the virus database can be automatically established, and the operator does not need to obtain each folder virus one by one, and manually identify and extract the virus files of each folder, and the real-time performance is good, and the correct rate is high. It can effectively improve the efficiency and reliability of virus identification, thus further improving the security performance of the system.
  • the virus identification device of the present embodiment may include a monitoring unit 21, an obtaining unit 22, a determining unit 23, and an identifying unit 24.
  • the monitoring unit 21 is configured to monitor the behavior of the process;
  • the obtaining unit 22 is configured to obtain a file name of the executable file corresponding to the process according to the behavior of the process, and
  • the determining unit 23 is configured to determine a file name of the executable file having the same or similar file name;
  • the executable file is identified as a folder virus according to the attribute of the folder corresponding to the same or similar file name.
  • An executable file a file in the Portable Executable (PE) file format, that can be loaded into memory and executed by the operating system loader.
  • Executable extensions can include, but are not limited to, .exe, .sys, and .scr, and so on.
  • viruses also known as computer viruses
  • viruses can include, but are not limited to, Trojans, backdoors, LAN worms, mail worms, spyware, infected viruses, or Rootkits/Bootkits.
  • the virus identification device may be an anti-virus engine, and may be located in a local client to perform offline operations to clear the virus, or may be located in a server on the network side to perform online operations. The virus is cleared, which is not limited in this embodiment.
  • the client may be an application installed on the terminal, or may be a webpage of the browser, as long as the virus can be cleared to provide an objective existence form of a secure system environment.
  • the embodiment does not limit this.
  • the monitoring unit monitors the behavior of the process, and the obtaining unit obtains the file name of the executable file corresponding to the process according to the behavior of the process, and the determining unit determines that the file name of the executable file is the same. Or a similar file name, so that the identification unit can identify the executable file as a folder virus according to the behavior of the process and the attribute of the folder corresponding to the same or similar file name, without relying on the folder
  • the virus signature information of the virus is simple to operate and is not prone to errors, thereby improving the efficiency and reliability of virus identification.
  • the full name of a file includes the file name and extension.
  • Executable extensions can include, but are not limited to, .exe, .sys, and .scr, and so on. Folders have no extension. Place The file name of the executable file obtained by the obtaining unit 22 is obtained after the extension is truncated.
  • the folder virus traverses the folder under the root directory of the mobile storage device, copies itself to the root directory of the mobile storage device, renames the file name of the detected folder, and modifies the attribute of the folder to It can be seen that the user runs a virus when using his mobile storage device to open his folder for replication purposes.
  • some folder viruses after copying themselves to the root directory of the mobile storage device, are not directly renamed to the file name of the detected folder, but add some invisible or more in the file name of the detected folder. Difficult to find symbols. Therefore, the determination unit 23 is required to determine the file name that is the same as or similar to the file name of the executable file, in order to accurately recognize the file name of the folder that the folder virus may copy.
  • the determining unit 23 may specifically determine a file name that is the same as or similar to a file name of the executable file by calculating a similarity of the file name. .
  • the similarity is greater than or equal to a preset threshold, and the determining unit 23 may determine that the two file names are the same or similar.
  • the determining unit 23 may use the text phase approximation algorithm in the prior art to calculate the similarity of the file name. For details, refer to related descriptions in the prior art, and details are not described herein again.
  • the obtaining unit 22 may be specifically configured to obtain a file name of an executable file accessed by the process if the behavior of the process is a process startup. Specifically, the obtaining unit 22 may traverse processes in the system by using a snapshot method to obtain process information of each process. For example, the image name of the process, the state of the process, and the behavior of the process, etc.; then, the obtaining unit 22 can obtain the image name of the process according to the process that is initiated by the process, thereby deleting the extension of the image name. Name to get the filename of the executable.
  • the identifying unit 24 may be specifically configured to: if the behavior of the process is to open the folder, and the attribute of the folder is invisible, identify the The executable file is a folder virus. Specifically, the identifying unit 24 may determine whether there is a folder whose file name is the same as or similar to the executable file, and if there is no folder whose file name is the same as or similar to the executable file, the identification unit 24 may End the operation, indicating that the executable is not a folder virus. If there is a folder whose file name is the same as or similar to the executable file, the identification unit 24 can continue to determine the attributes of the folder.
  • the identification unit 24 may perform an attribute operation on the folder to determine whether the return value includes the FILE_ATTRIBUTE_DIRECTORY bit. If the return value does not include the FILE_ATTRIBUTE_DIRECTORY bit, the identification unit 24 may end the operation, indicating that the executable file is not a folder. virus. If the return value contains the FILE_ATTRIBUTE_DIRECTORY bit, which is a folder, the identification unit 24 further determines whether the return value includes the FILE_ATTRIBUTE_HIDDEN bit or the FILE_ATTRIBUTE_SYSTEM bit. If the return value does not include the FILE_ATTRIBUTE_HIDDEN bit and the FILE_ATTRIBUTE_SYSTEM bit, the identification unit 24 may end the operation.
  • the identification unit 24 enters an event wait state.
  • the identification unit 24 waits for an event notification in the event waiting state.
  • the event notification is used to notify the initiated process to perform an open operation on the folder to open the folder.
  • the identification unit 24 can recognize that the executable file is a folder virus if it receives an event notification. Further, the identification unit 24 You can also perform virus alert operations, virus cleanup operations, and more.
  • the virus removal operation can be made to modify the properties of the folder, and delete the identified folder virus, that is, the executable file.
  • the technical solution provided by the present invention can accurately identify the folder virus when the process starts, can effectively improve the efficiency of virus identification, and can effectively improve the security performance of the system.
  • the obtaining unit 22 may be specifically configured to obtain a file name of the executable file if the behavior of the process is to create the executable file.
  • the obtaining unit 22 may traverse processes in the system by using a snapshot method to obtain process information of each process. For example, the image name of the process, the state of the process, and the behavior of the process, etc.; then, the obtaining unit 22 can obtain the image name of the process according to the process of creating the executable file, thereby obtaining the created executable file. File name.
  • the identifying unit 24 may be specifically configured to: if the behavior of the process is invisible to set an attribute of the folder, identify the executable file as a folder virus. . Further, the identification unit 24 can also perform a virus alert operation, a virus clear operation, and the like. The virus removal operation can be made to modify the properties of the folder, and delete the identified folder virus, that is, the executable file.
  • the technical solution provided by the present invention can accurately identify the executable file corresponding to the process as a folder virus when the process attempts to copy the folder virus, which can effectively improve the efficiency of virus identification and effectively prevent the folder in the system.
  • the replication of the virus further enhances the security of the system.
  • the identification device for the virus provided by the embodiment may further include an updating unit 31, configured to obtain virus characteristic information of the folder virus according to the identified folder virus, and add the virus characteristic information to the virus.
  • the database is configured to perform feature matching on the scanned file by using the virus database, and if the matching is successful, identify the file as a folder virus.
  • the method for obtaining the virus feature information by the update unit 31 can be referred to the micro-feature calculation method in the prior art. For details, refer to related content in the prior art, and details are not described herein again.
  • the feature information may include dynamic features and/or static features.
  • the dynamic feature can be understood as the basis for judging the virus behavior as a virus.
  • the static feature can be understood as the virus-based signature as the basis for judging the virus.
  • the virus signature database stores information related to the virus signature information, including but not limited to the virus length information, the virus signature information, and the identifier (ID) of the virus signature information, which is not specifically limited in the present invention.
  • the virus database can be automatically established, and the operator does not need to obtain each folder virus one by one, and manually identify and extract the virus files of each folder, and the real-time performance is good, and the correct rate is high. It can effectively improve the efficiency and reliability of virus identification, thus further improving the security performance of the system.
  • the technical solution provided by the present invention can accurately identify the executable file corresponding to the process as a folder virus when the process attempts to copy the folder virus, which can effectively improve the efficiency of virus identification and effectively prevent the folder in the system.
  • the replication of the virus further enhances the security of the system.
  • the virus database can be automatically established, and the operator does not need to obtain each folder virus one by one, and manually identify and extract the virus files of each folder, and the real-time performance is good, and the correct rate is high. It can effectively improve the efficiency and reliability of virus identification, thus further improving the security performance of the system.
  • the disclosed systems, devices, and methods may be implemented in other manners.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be electrical, mechanical or otherwise.
  • the units described as separate components may or may not be physically separated, and the components displayed as units may or may not be physical units, that is, may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the purpose of the solution of the embodiment.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

提供一种病毒的识别方法、设备、非易失性存储介质及设备。通过监控进程的行为（101），进而根据所述进程的行为，获得与所述进程对应的可执行文件的文件名（102），以及确定与所述可执行文件的文件名相同或相近似的文件名（103），使得能够根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒（104），无需依赖文件夹病毒的病毒特征信息，操作简单，且不容易出错，从而提高了病毒识别的效率和可靠性。

Description

病毒的识别方法、设备、非易失性存储介质及设备
本申请要求了申请日为2013年12月02日，申请号为201310637279.X，发明名称为“病毒的识别方法及设备”的中国专利申请的优先权。
技术领域
本发明涉及计算机技术，尤其涉及一种病毒的识别方法、设备、非易失性存储介质及设备。
背景技术
文件夹病毒，是一种利用文件夹图标迷惑用户，双击打开进行复制的病毒。文件夹病毒会遍历移动存储设备的根目录下的文件夹，复制自身到移动存储设备的根目录下，更名为检测到的文件夹的文件名，修改该文件夹的属性为不可见，使用户在使用移动存储设备打开其文件夹时运行病毒，以达到复制的目的。现有技术中，利用病毒数据库，对扫描的文件进行特征匹配，若所述匹配成功，识别所述文件为文件夹病毒。原始的病毒数据库需要由操作人员逐一获取每个文件夹病毒，对每个文件夹病毒文件进行人工识别和特征提取，以建立病毒数据库。
然而，现有建立病毒数据库的操作复杂，且容易出错，从而导致了病毒识别的效率和可靠性的降低。
发明内容
本发明的多个方面提供一种病毒的识别方法、设备、非易失性存储介质及设备，用以提高病毒识别的效率和可靠性。
本发明的一方面，提供一种病毒的识别方法，包括：
监控进程的行为；
根据所述进程的行为，获得与所述进程对应的可执行文件的文件名；
确定与所述可执行文件的文件名相同或相近似的文件名；
根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，包括：
若所述进程的行为为进程启动，获得所述进程所访问的可执行文件的文件名。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒，包括：
若所述进程的行为为打开所述文件夹，且所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式， 所述根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，包括：
若所述进程的行为为创建所述可执行文件，获得所述可执行文件的文件名。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒，包括：
若所述进程的行为为设置所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒之后，还包括：
根据所述识别的所述文件夹病毒，获得所述文件夹病毒的病毒特征信息；
将所述病毒特征信息加入到病毒数据库中，以供利用所述病毒数据库，对扫描的文件进行特征匹配，若所述匹配成功，识别所述文件为文件夹病毒。
本发明的另一方面，提供一种病毒的识别设备，包括：
监控单元，用于监控进程的行为；
获得单元，用于根据所述进程的行为，获得与所述进程对应的可执 行文件的文件名；
确定单元，用于确定与所述可执行文件的文件名相同或相近似的文件名；
识别单元，用于根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述获得单元，具体用于
若所述进程的行为为进程启动，获得所述进程所访问的可执行文件的文件名。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述识别单元，具体用于
若所述进程的行为为打开所述文件夹，且所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述获得单元，具体用于
若所述进程的行为为创建所述可执行文件，获得所述可执行文件的文件名。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述识别单元，具体用于
若所述进程的行为为设置所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。
如上所述的方面和任一可能的实现方式，进一步提供一种实现方式，所述设备还包括更新单元，用于
根据所述识别的所述文件夹病毒，获得所述文件夹病毒的病毒特征信息；以及
将所述病毒特征信息加入到病毒数据库中，以供利用所述病毒数据库，对扫描的文件进行特征匹配，若所述匹配成功，识别所述文件为文件夹病毒。
本发明的另一方面，提供一种非易失性存储介质，所述非易失性存储介质包括计算机程序，所述计算机程序在被一个或多个计算机执行时使得所述一个或多个计算机执行如下操作：
监控进程的行为；
根据所述进程的行为，获得与所述进程对应的可执行文件的文件名；
确定与所述可执行文件的文件名相同或相近似的文件名；
根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
本发明的另一方面，提供一种设备，包括至少一个处理器、存储器以及至少一个计算机程序；所述至少一个计算机程序存储于所述存储器并被所述至少一个处理器执行；所述计算机程序包括执行以下操作的指 令：
监控进程的行为；
根据所述进程的行为，获得与所述进程对应的可执行文件的文件名；
确定与所述可执行文件的文件名相同或相近似的文件名；
根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
由上述技术方案可知，本发明实施例通过监控进程的行为，进而根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，以及确定与所述可执行文件的文件名相同或相近似的文件名，使得能够根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒，无需依赖文件夹病毒的病毒特征信息，操作简单，且不容易出错，从而提高了病毒识别的效率和可靠性。
另外，采用本发明提供的技术方案，能够在进程启动时，准确识别出文件夹病毒，能够有效提高病毒识别的效率，能够有效提高系统的安全性能。
另外，采用本发明提供的技术方案，能够在进程尝试复制文件夹病毒时，准确识别出该进程对应的可执行文件为文件夹病毒，能够有效提高病毒识别的效率，能够有效阻止系统中文件夹病毒的复制，从而进一步提高了系统的安全性能。
另外，采用本发明提供的技术方案，能够自动建立病毒数据库，无需操作人员逐一获取每个文件夹病毒，对每个文件夹病毒文件进行人工识别和特征提取，实时性好，且正确率高，能够有效提高病毒识别的效率和可靠性，从而进一步提高了系统的安全性能。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本发明一实施例提供的病毒的识别方法的流程示意图；
图2为本发明另一实施例提供的病毒的识别设备的结构示意图；
图3为本发明另一实施例提供的病毒的识别设备的结构示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
另外，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同 时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。
图1为本发明一实施例提供的病毒的识别方法的流程示意图，如图1所示。
101、监控进程的行为。
102、根据所述进程的行为，获得与所述进程对应的可执行文件的文件名。
可执行文件(executable file)，是可移植可执行(PE)文件格式的文件，它可以加载到内存中，并由操作系统加载程序执行。可执行文件的扩展名可以包括但不限于.exe、.sys和.scr，等。
103、确定与所述可执行文件的文件名相同或相近似的文件名。
104、根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
其中，病毒，又称为计算机病毒，可以包括但不限于木马、后门、局域网蠕虫、邮件蠕虫、间谍软件、感染型病毒或Rootkits/Bootkits。
需要说明的是，101～104的执行主体可以是杀毒引擎，可以位于本地的客户端中，以进行离线操作来清除病毒，或者还可以位于网络侧的服务器中，以进行在线操作来清除病毒，本实施例对此不进行限定。
可以理解的是，所述客户端可以是安装在终端上的应用程序，或者还可以是浏览器的一个网页，只要能够实现病毒的清除，以提供安全的系统环境的客观存在形式都可以，本实施例对此不进行限定。
这样，通过监控进程的行为，进而根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，以及确定与所述可执行文件的文件 名相同或相近似的文件名，使得能够根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒，无需依赖文件夹病毒的病毒特征信息，操作简单，且不容易出错，从而提高了病毒识别的效率和可靠性。
一般来说，文件的完整命名包括文件名和扩展名。可执行文件的扩展名可以包括但不限于.exe、.sys和.scr，等。文件夹则没有扩展名。在102中，所获得的可执行文件的文件名就是将扩展名截断之后，获得的。
一般来说，文件夹病毒会遍历移动存储设备的根目录下的文件夹，复制自身到移动存储设备的根目录下，更名为检测到的文件夹的文件名，修改该文件夹的属性为不可见，使用户在使用移动存储设备打开其文件夹时运行病毒，以达到复制的目的。但是，有些文件夹病毒，复制自身到移动存储设备的根目录下之后，不是直接更名为检测到的文件夹的文件名，而是在检测到的文件夹的文件名中增加一些不可见或较难发现的符号。因此，需要确定与所述可执行文件的文件名相同或相近似的文件名，才能准确识别出文件夹病毒可能复制的文件夹的文件名。
可选地，在本实施例的一个可能的实现方式中，在103中，具体可以通过计算文件名的相近似度，以确定与所述可执行文件的文件名相同或相近似的文件名。例如，相似度大于或等于预先设置的阈值，则可以确定两个文件名相同或相近似。具体地，可以利用现有技术中的文本相近似度算法，计算文件名的相近似度，详细描述可以参见现有技术中的相关描述，此处不再赘述。
可选地，在本实施例的一个可能的实现方式中，在102中，若所述进程的行为为进程启动，获得所述进程所访问的可执行文件的文件名。 具体地，可以利用快照方法，遍历系统中的进程，以获得每个进程的进程信息。例如，进程的映像名称、进程的状态和进程的行为，等；然后，根据行为为进程启动的进程，获得进程的映像名称，进而删除映像名称的扩展名，以获得可执行文件的文件名。
相应地，在这种可能的实现方式中，在104中，若所述进程的行为为打开所述文件夹，且所述文件夹的属性为不可见，可以识别所述可执行文件为文件夹病毒。具体地，可以判断是否存在文件名与可执行文件相同或相近似的文件夹，如果不存在文件名与可执行文件相同或相近似的文件夹，则可以结束操作，说明该可执行文件不是文件夹病毒。如果存在文件名与可执行文件相同或相近似的文件夹，则可以继续判断所述文件夹的属性。例如，可以对文件夹执行取属性操作，判断返回值是否包含FILE_ATTRIBUTE_DIRECTORY位，如果返回值不包含FILE_ATTRIBUTE_DIRECTORY位，则可以结束操作，说明该可执行文件不是文件夹病毒。如果返回值包含FILE_ATTRIBUTE_DIRECTORY位，说明为文件夹，则进一步判断返回值是否包含FILE_ATTRIBUTE_HIDDEN位或FILE_ATTRIBUTE_SYSTEM位，如果返回值不包含FILE_ATTRIBUTE_HIDDEN位和FILE_ATTRIBUTE_SYSTEM位，则可以结束操作，说明该可执行文件不是文件夹病毒。如果返回值包含FILE_ATTRIBUTE_HIDDEN位和/或FILE_ATTRIBUTE_SYSTEM位，说明所述文件夹的属性为不可见，则进入事件等待状态。在事件等待状态中，等待事件通知。该事件通知用以通知启动的进程对所述文件夹执行打开操作，以打开所述文件夹。若接收到事件通知，则可以识别所述 可执行文件为文件夹病毒。进一步地，还可以执行病毒告警操作、病毒清除操作，等。病毒清除操作，可以为修改所述文件夹的属性为可见，并删除所识别出的文件夹病毒即所述可执行文件。
这样，采用本发明提供的技术方案，能够在进程启动时，准确识别出文件夹病毒，能够有效提高病毒识别的效率，能够有效提高系统的安全性能。
可选地，在本实施例的一个可能的实现方式中，在102中，若所述进程的行为为创建所述可执行文件，获得所述可执行文件的文件名。具体地，可以利用快照方法，遍历系统中的进程，以获得每个进程的进程信息。例如，进程的映像名称、进程的状态和进程的行为，等；然后，根据行为为创建可执行文件的进程，获得进程的映像名称，进而获得所创建的可执行文件的文件名。
相应地，在这种可能的实现方式中，在104中，若所述进程的行为为设置所述文件夹的属性为不可见，可以识别所述可执行文件为文件夹病毒。进一步地，还可以执行病毒告警操作、病毒清除操作，等。病毒清除操作，可以为修改所述文件夹的属性为可见，并删除所识别出的文件夹病毒即所述可执行文件。
这样，采用本发明提供的技术方案，能够在进程尝试复制文件夹病毒时，准确识别出该进程对应的可执行文件为文件夹病毒，能够有效提高病毒识别的效率，能够有效阻止系统中文件夹病毒的复制，从而进一步提高了系统的安全性能。
可选地，在本实施例的一个可能的实现方式中，在104之后，还可以进一步根据所述识别的所述文件夹病毒，获得所述文件夹病毒的病毒 特征信息。病毒特征信息的获得方法可以参见现有技术中的微特征计算方法，详细描述可以参见现有技术中的相关内容，此处不再赘述。然后，将所述病毒特征信息加入到病毒数据库中，以供利用所述病毒数据库，对扫描的文件进行特征匹配，若所述匹配成功，识别所述文件为文件夹病毒。
其中，所述特征信息可以包括动态特征和/或静态特征。动态特征可以理解为基于病毒行为作为病毒的判断依据，静态特征可以理解为基于病毒的特征码作为判断病毒的依据。
具体地，所述病毒特征库中存储了与病毒特征信息的相关信息，包括但不限于病毒长度信息、病毒特征信息、病毒特征信息的标识(ID)，本发明对此不进行特别限定。
这样，采用本发明提供的技术方案，能够自动建立病毒数据库，无需操作人员逐一获取每个文件夹病毒，对每个文件夹病毒文件进行人工识别和特征提取，实时性好，且正确率高，能够有效提高病毒识别的效率和可靠性，从而进一步提高了系统的安全性能。
本实施例中，通过监控进程的行为，进而根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，以及确定与所述可执行文件的文件名相同或相近似的文件名，使得能够根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒，无需依赖文件夹病毒的病毒特征信息，操作简单，且不容易出错，从而提高了病毒识别的效率和可靠性。
另外，采用本发明提供的技术方案，能够在进程启动时，准确识别出文件夹病毒，能够有效提高病毒识别的效率，能够有效提高系统的安 全性能。
另外，采用本发明提供的技术方案，能够在进程尝试复制文件夹病毒时，准确识别出该进程对应的可执行文件为文件夹病毒，能够有效提高病毒识别的效率，能够有效阻止系统中文件夹病毒的复制，从而进一步提高了系统的安全性能。
另外，采用本发明提供的技术方案，能够自动建立病毒数据库，无需操作人员逐一获取每个文件夹病毒，对每个文件夹病毒文件进行人工识别和特征提取，实时性好，且正确率高，能够有效提高病毒识别的效率和可靠性，从而进一步提高了系统的安全性能。
需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本发明所必须的。
在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。
图2为本发明另一实施例提供的病毒的识别设备的结构示意图，如图2所示。本实施例的病毒的识别设备可以包括监控单元21、获得单元22、确定单元23和识别单元24。其中，监控单元21，用于监控进程的行为；获得单元22，用于根据所述进程的行为，获得与所述进程对应的可执行文件的文件名；确定单元23，用于确定与所述可执行文件的文件名相同或相近似的文件名；识别单元24，用于根据所述进程的行为和根 据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
可执行文件(executable file)，是可移植可执行(PE)文件格式的文件，它可以加载到内存中，并由操作系统加载程序执行。可执行文件的扩展名可以包括但不限于.exe、.sys和.scr，等。
其中，病毒，又称为计算机病毒，可以包括但不限于木马、后门、局域网蠕虫、邮件蠕虫、间谍软件、感染型病毒或Rootkits/Bootkits。
需要说明的是，本实施例提供的病毒的识别设备可以是杀毒引擎，可以位于本地的客户端中，以进行离线操作来清除病毒，或者还可以位于网络侧的服务器中，以进行在线操作来清除病毒，本实施例对此不进行限定。
可以理解的是，所述客户端可以是安装在终端上的应用程序，或者还可以是浏览器的一个网页，只要能够实现病毒的清除，以提供安全的系统环境的客观存在形式都可以，本实施例对此不进行限定。
这样，通过监控单元监控进程的行为，进而由获得单元根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，以及由确定单元确定与所述可执行文件的文件名相同或相近似的文件名，使得识别单元能够根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒，无需依赖文件夹病毒的病毒特征信息，操作简单，且不容易出错，从而提高了病毒识别的效率和可靠性。
一般来说，文件的完整命名包括文件名和扩展名。可执行文件的扩展名可以包括但不限于.exe、.sys和.scr，等。文件夹则没有扩展名。所 述获得单元22所获得的可执行文件的文件名就是将扩展名截断之后，获得的。
一般来说，文件夹病毒会遍历移动存储设备的根目录下的文件夹，复制自身到移动存储设备的根目录下，更名为检测到的文件夹的文件名，修改该文件夹的属性为不可见，使用户在使用移动存储设备打开其文件夹时运行病毒，以达到复制的目的。但是，有些文件夹病毒，复制自身到移动存储设备的根目录下之后，不是直接更名为检测到的文件夹的文件名，而是在检测到的文件夹的文件名中增加一些不可见或较难发现的符号。因此，需要所述确定单元23确定与所述可执行文件的文件名相同或相近似的文件名，才能准确识别出文件夹病毒可能复制的文件夹的文件名。
可选地，在本实施例的一个可能的实现方式中，所述确定单元23具体可以通过计算文件名的相近似度，以确定与所述可执行文件的文件名相同或相近似的文件名。例如，相似度大于或等于预先设置的阈值，所述确定单元23则可以确定两个文件名相同或相近似。具体地，所述确定单元23可以利用现有技术中的文本相近似度算法，计算文件名的相近似度，详细描述可以参见现有技术中的相关描述，此处不再赘述。
可选地，在本实施例的一个可能的实现方式中，所述获得单元22，具体可以用于若所述进程的行为为进程启动，获得所述进程所访问的可执行文件的文件名。具体地，所述获得单元22可以利用快照方法，遍历系统中的进程，以获得每个进程的进程信息。例如，进程的映像名称、进程的状态和进程的行为，等；然后，所述获得单元22则可以根据行为为进程启动的进程，获得进程的映像名称，进而删除映像名称的扩展 名，以获得可执行文件的文件名。
相应地，在这种可能的实现方式中，所述识别单元24，具体可以用于若所述进程的行为为打开所述文件夹，且所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。具体地，所述识别单元24可以判断是否存在文件名与可执行文件相同或相近似的文件夹，如果不存在文件名与可执行文件相同或相近似的文件夹，所述识别单元24则可以结束操作，说明该可执行文件不是文件夹病毒。如果存在文件名与可执行文件相同或相近似的文件夹，所述识别单元24则可以继续判断所述文件夹的属性。例如，所述识别单元24可以对文件夹执行取属性操作，判断返回值是否包含FILE_ATTRIBUTE_DIRECTORY位，如果返回值不包含FILE_ATTRIBUTE_DIRECTORY位，所述识别单元24则可以结束操作，说明该可执行文件不是文件夹病毒。如果返回值包含FILE_ATTRIBUTE_DIRECTORY位，说明为文件夹，所述识别单元24则进一步判断返回值是否包含FILE_ATTRIBUTE_HIDDEN位或FILE_ATTRIBUTE_SYSTEM位，如果返回值不包含FILE_ATTRIBUTE_HIDDEN位和FILE_ATTRIBUTE_SYSTEM位，所述识别单元24则可以结束操作，说明该可执行文件不是文件夹病毒。如果返回值包含FILE_ATTRIBUTE_HIDDEN位和/或FILE_ATTRIBUTE_SYSTEM位，说明所述文件夹的属性为不可见，所述识别单元24则进入事件等待状态。所述识别单元24在事件等待状态中，等待事件通知。该事件通知用以通知启动的进程对所述文件夹执行打开操作，以打开所述文件夹。所述识别单元24若接收到事件通知，则可以识别所述可执行文件为文件夹病毒。进一步地，所述识别单元24 还可以执行病毒告警操作、病毒清除操作，等。病毒清除操作，可以为修改所述文件夹的属性为可见，并删除所识别出的文件夹病毒即所述可执行文件。
这样，采用本发明提供的技术方案，能够在进程启动时，准确识别出文件夹病毒，能够有效提高病毒识别的效率，能够有效提高系统的安全性能。
可选地，在本实施例的一个可能的实现方式中，所述获得单元22，具体可以用于若所述进程的行为为创建所述可执行文件，获得所述可执行文件的文件名。具体地，所述获得单元22可以利用快照方法，遍历系统中的进程，以获得每个进程的进程信息。例如，进程的映像名称、进程的状态和进程的行为，等；然后，所述获得单元22则可以根据行为为创建可执行文件的进程，获得进程的映像名称，进而获得所创建的可执行文件的文件名。
相应地，在这种可能的实现方式中，所述识别单元24，具体可以用于若所述进程的行为为设置所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。进一步地，所述识别单元24还可以执行病毒告警操作、病毒清除操作，等。病毒清除操作，可以为修改所述文件夹的属性为可见，并删除所识别出的文件夹病毒即所述可执行文件。
这样，采用本发明提供的技术方案，能够在进程尝试复制文件夹病毒时，准确识别出该进程对应的可执行文件为文件夹病毒，能够有效提高病毒识别的效率，能够有效阻止系统中文件夹病毒的复制，从而进一步提高了系统的安全性能。
可选地，在本实施例的一个可能的实现方式中，如图3所示，本实 施例提供的病毒的识别设备还可以进一步包括更新单元31，用于根据所述识别的所述文件夹病毒，获得所述文件夹病毒的病毒特征信息；以及将所述病毒特征信息加入到病毒数据库中，以供利用所述病毒数据库，对扫描的文件进行特征匹配，若所述匹配成功，识别所述文件为文件夹病毒。
其中，所述更新单元31获得病毒特征信息的方法可以参见现有技术中的微特征计算方法，详细描述可以参见现有技术中的相关内容，此处不再赘述。
其中，所述特征信息可以包括动态特征和/或静态特征。动态特征可以理解为基于病毒行为作为病毒的判断依据，静态特征可以理解为基于病毒的特征码作为判断病毒的依据。
具体地，所述病毒特征库中存储了与病毒特征信息的相关信息，包括但不限于病毒长度信息、病毒特征信息、病毒特征信息的标识(ID)，本发明对此不进行特别限定。
这样，采用本发明提供的技术方案，能够自动建立病毒数据库，无需操作人员逐一获取每个文件夹病毒，对每个文件夹病毒文件进行人工识别和特征提取，实时性好，且正确率高，能够有效提高病毒识别的效率和可靠性，从而进一步提高了系统的安全性能。
本实施例中，通过监控单元监控进程的行为，进而由获得单元根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，以及由确定单元确定与所述可执行文件的文件名相同或相近似的文件名，使得识别单元能够根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒，无需依赖文 件夹病毒的病毒特征信息，操作简单，且不容易出错，从而提高了病毒识别的效率和可靠性。
另外，采用本发明提供的技术方案，能够在进程启动时，准确识别出文件夹病毒，能够有效提高病毒识别的效率，能够有效提高系统的安全性能。
另外，采用本发明提供的技术方案，能够在进程尝试复制文件夹病毒时，准确识别出该进程对应的可执行文件为文件夹病毒，能够有效提高病毒识别的效率，能够有效阻止系统中文件夹病毒的复制，从而进一步提高了系统的安全性能。
另外，采用本发明提供的技术方案，能够自动建立病毒数据库，无需操作人员逐一获取每个文件夹病毒，对每个文件夹病毒文件进行人工识别和特征提取，实时性好，且正确率高，能够有效提高病毒识别的效率和可靠性，从而进一步提高了系统的安全性能。
可以理解的是，本发明提供的技术方案，可以应用在存储设备中，尤其是移动存储设备中。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统，设备和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本发明所提供的几个实施例中，应该理解到，所揭露的系统，设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所 显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。
上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和 范围。

Claims (14)

  1. 一种病毒的识别方法，其特征在于，包括：
    监控进程的行为；
    根据所述进程的行为，获得与所述进程对应的可执行文件的文件名；
    确定与所述可执行文件的文件名相同或相近似的文件名；
    根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
  2. 根据权利要求1所述的方法，其特征在于，所述根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，包括：
    若所述进程的行为为进程启动，获得所述进程所访问的可执行文件的文件名。
  3. 根据权利要求2所述的方法，其特征在于，所述根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒，包括：
    若所述进程的行为为打开所述文件夹，且所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。
  4. 根据权利要求1～3任一权利要求所述的方法，其特征在于，所述根据所述进程的行为，获得与所述进程对应的可执行文件的文件名，包括：
    若所述进程的行为为创建所述可执行文件，获得所述可执行文件的文件名。
  5. 根据权利要求4所述的方法，其特征在于，所述根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所 述可执行文件为文件夹病毒，包括：
    若所述进程的行为为设置所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。
  6. 根据权利要求1～5任一权利要求所述的方法，其特征在于，所述根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒之后，还包括：
    根据所述识别的所述文件夹病毒，获得所述文件夹病毒的病毒特征信息；
    将所述病毒特征信息加入到病毒数据库中，以供利用所述病毒数据库，对扫描的文件进行特征匹配，若所述匹配成功，识别所述文件为文件夹病毒。
  7. 一种病毒的识别设备，其特征在于，包括：
    监控单元，用于监控进程的行为；
    获得单元，用于根据所述进程的行为，获得与所述进程对应的可执行文件的文件名；
    确定单元，用于确定与所述可执行文件的文件名相同或相近似的文件名；
    识别单元，用于根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
  8. 根据权利要求7所述的设备，其特征在于，所述获得单元，具体用于
    若所述进程的行为为进程启动，获得所述进程所访问的可执行文件的文件名。
  9. 根据权利要求8所述的设备，其特征在于，所述识别单元，具体用于
    若所述进程的行为为打开所述文件夹，且所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。
  10. 根据权利要求7～9任一权利要求所述的设备，其特征在于，所述获得单元，具体用于
    若所述进程的行为为创建所述可执行文件，获得所述可执行文件的文件名。
  11. 根据权利要求10所述的设备，其特征在于，所述识别单元，具体用于
    若所述进程的行为为设置所述文件夹的属性为不可见，识别所述可执行文件为文件夹病毒。
  12. 根据权利要求7～11任一权利要求所述的设备，其特征在于，所述设备还包括更新单元，用于
    根据所述识别的所述文件夹病毒，获得所述文件夹病毒的病毒特征信息；以及
    将所述病毒特征信息加入到病毒数据库中，以供利用所述病毒数据库，对扫描的文件进行特征匹配，若所述匹配成功，识别所述文件为文件夹病毒。
  13. 一种非易失性存储介质，所述非易失性存储介质包括计算机程序，其特征在于，所述计算机程序在被一个或多个计算机执行时使得所述一个或多个计算机执行如下操作：
    监控进程的行为；
    根据所述进程的行为，获得与所述进程对应的可执行文件的文件名；
    确定与所述可执行文件的文件名相同或相近似的文件名；
    根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
  14. 一种设备，包括至少一个处理器、存储器以及至少一个计算机程序；所述至少一个计算机程序存储于所述存储器并被所述至少一个处理器执行；其特征在于，所述计算机程序包括执行以下操作的指令：
    监控进程的行为；
    根据所述进程的行为，获得与所述进程对应的可执行文件的文件名；
    确定与所述可执行文件的文件名相同或相近似的文件名；
    根据所述进程的行为和根据所述相同或相近似的文件名所对应的文件夹的属性，识别所述可执行文件为文件夹病毒。
PCT/CN2014/092758 2013-12-02 2014-12-02 病毒的识别方法、设备、非易失性存储介质及设备 WO2015081836A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310637279.XA CN103699838B (zh) 2013-12-02 2013-12-02 病毒的识别方法及设备
CN201310637279.X 2013-12-02

Publications (1)

Publication Number Publication Date
WO2015081836A1 true WO2015081836A1 (zh) 2015-06-11

Family

ID=50361362

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/092758 WO2015081836A1 (zh) 2013-12-02 2014-12-02 病毒的识别方法、设备、非易失性存储介质及设备

Country Status (2)

Country Link
CN (1) CN103699838B (zh)
WO (1) WO2015081836A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103699838B (zh) * 2013-12-02 2018-05-04 百度国际科技（深圳）有限公司 病毒的识别方法及设备
CN103714269A (zh) * 2013-12-02 2014-04-09 百度国际科技（深圳）有限公司 病毒的识别方法及设备
CN114692151B (zh) * 2022-04-08 2023-07-18 成都理工大学 一种u盘病毒的发现方法及其应用工具

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1655682A2 (en) * 2004-11-08 2006-05-10 Microsoft Corporation System and Method of Aggregating the Knowledge Base of Antivirus Software Applications
CN103020510A (zh) * 2011-09-28 2013-04-03 奇智软件（北京）有限公司 一种识别移动存储设备中的非法写入的方法及装置
CN103699838A (zh) * 2013-12-02 2014-04-02 百度国际科技（深圳）有限公司 病毒的识别方法及设备
CN103714269A (zh) * 2013-12-02 2014-04-09 百度国际科技（深圳）有限公司 病毒的识别方法及设备

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004095277A1 (ja) * 2003-04-24 2004-11-04 Fujitsu Limited ファイル制御方法、プログラム及び装置
CN1889004A (zh) * 2005-06-29 2007-01-03 联想(北京)有限公司 一种病毒处理方法
CN100571276C (zh) * 2006-09-28 2009-12-16 北京理工大学 一种基于行为特征的网页木马检测方法
CN101382984A (zh) * 2007-09-05 2009-03-11 江启煜 一种扫描检测广义未知病毒的方法
CN101826139B (zh) * 2009-12-30 2012-05-30 厦门市美亚柏科信息股份有限公司 一种非可执行文件挂马检测方法及其装置
CN102768717B (zh) * 2012-06-29 2015-01-21 腾讯科技（深圳）有限公司 恶意文件检测的方法及装置
CN102999726B (zh) * 2012-12-14 2015-07-01 北京奇虎科技有限公司 文件宏病毒免疫方法和装置

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP1655682A2 (en) * 2004-11-08 2006-05-10 Microsoft Corporation System and Method of Aggregating the Knowledge Base of Antivirus Software Applications
CN103020510A (zh) * 2011-09-28 2013-04-03 奇智软件（北京）有限公司 一种识别移动存储设备中的非法写入的方法及装置
CN103699838A (zh) * 2013-12-02 2014-04-02 百度国际科技（深圳）有限公司 病毒的识别方法及设备
CN103714269A (zh) * 2013-12-02 2014-04-09 百度国际科技（深圳）有限公司 病毒的识别方法及设备

Also Published As

Publication number Publication date
CN103699838A (zh) 2014-04-02
CN103699838B (zh) 2018-05-04

Similar Documents

Publication Publication Date Title
US10326792B2 (en) Virus intrusion route identification device, virus intrusion route identification method, and program
US8955120B2 (en) Flexible fingerprint for detection of malware
US8844039B2 (en) Malware image recognition
WO2015081837A1 (zh) 病毒的识别方法、设备、非易失性存储介质及设备
RU2634178C1 (ru) Способ обнаружения вредоносных составных файлов
US9135443B2 (en) Identifying malicious threads
US20170177867A1 (en) Systems and methods for automatic snapshotting of backups based on malicious modification detection
US20150089647A1 (en) Distributed Sample Analysis
US10382477B2 (en) Identification apparatus, control method therefor, and storage medium
US8561180B1 (en) Systems and methods for aiding in the elimination of false-positive malware detections within enterprises
US10237285B2 (en) Method and apparatus for detecting macro viruses
US9792436B1 (en) Techniques for remediating an infected file
US10243977B1 (en) Automatically detecting a malicious file using name mangling strings
GB2531514B (en) Malware detection method
WO2015007224A1 (zh) 基于云安全的恶意程序查杀的方法、装置和服务器
TW201812634A (zh) 威脅情報雲
CN107871089B (zh) 文件防护方法及装置
US20190005057A1 (en) Methods and Devices for File Folder Path Identification and File Folder Cleaning
US8448243B1 (en) Systems and methods for detecting unknown malware in an executable file
JP2015191458A (ja) ファイル危険性判定装置、ファイル危険性判定方法、及びプログラム
US8726377B2 (en) Malware determination
WO2015081836A1 (zh) 病毒的识别方法、设备、非易失性存储介质及设备
US8938807B1 (en) Malware removal without virus pattern
WO2016169212A1 (zh) 文件管理方法和装置
US20130247182A1 (en) System, method, and computer program product for identifying hidden or modified data objects

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14867052

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205 DATED 02/11/2016)

122 Ep: pct application non-entry in european phase

Ref document number: 14867052

Country of ref document: EP

Kind code of ref document: A1