WO2015123972A1 - 宏病毒检测方法及装置 - Google Patents

宏病毒检测方法及装置 Download PDF

Info

Publication number
WO2015123972A1
WO2015123972A1 PCT/CN2014/084389 CN2014084389W WO2015123972A1 WO 2015123972 A1 WO2015123972 A1 WO 2015123972A1 CN 2014084389 W CN2014084389 W CN 2014084389W WO 2015123972 A1 WO2015123972 A1 WO 2015123972A1
Authority
WO
WIPO (PCT)
Prior art keywords
macro
data file
module
virus
target data
Prior art date
Application number
PCT/CN2014/084389
Other languages
English (en)
French (fr)
Inventor
王云峰
梁光彩
付志远
Original Assignee
珠海市君天电子科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 珠海市君天电子科技有限公司 filed Critical 珠海市君天电子科技有限公司
Priority to US14/901,883 priority Critical patent/US10237285B2/en
Publication of WO2015123972A1 publication Critical patent/WO2015123972A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/562—Static detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms

Definitions

  • the present invention relates to the field of computer security technologies, and in particular, to a macro virus detection method and apparatus. Background technique
  • a macro in computer science refers to a sequence of instructions that are allowed in a data file to be used by a programming language.
  • Macro virus refers to a malicious instruction sequence written in a macro file in a data file or data file template.
  • One method is to statically analyze data files by using anti-virus software, and to decompose and recognize the structure of data files by using a composite data file format, and extract feature codes of all macros in the data files. Matching the signatures of all the macros in the extracted data file with the signatures of the macro viruses in the virus database. If they match, the matching macros are cleared.
  • Another method is to use the active defense function of the antivirus software to monitor in real time. The behavior of the data file handler, if it detects malicious behavior, intercepts the behavior, suspends execution of the data file handler, prompts the user for the result of the behavior execution and possible consequences, only after the user processes the behavior , the data file handler can continue to execute.
  • the method of static analysis of data files by using anti-virus software to detect macro viruses requires that the anti-virus software can recognize the structure and analysis of all data files, but since different applications have different data file structures, This method is difficult to implement in practical applications; in addition, if the data file is encrypted, even if the anti-virus software can recognize the structure of the data file, the specific content of the data file structure cannot be obtained, resulting in the inability to structure the data file. Analyze. This causes this method to have a small coverage when detecting macro viruses.
  • the active defense function of the anti-virus software to monitor the behavior of the data file handler in real time will cause the user to occupy higher system resources and affect the overall performance of the machine when operating the data file.
  • the detected "malicious behavior” may be the normal operation behavior of the user, or it may be a malicious behavior in the true sense.
  • the method of behavior monitoring cannot distinguish between the two.
  • the police In order to ensure security, the police must be frequently alerted. Prompt the user to handle the corresponding process, resulting in poor user experience. Summary of the invention
  • an embodiment of the present invention discloses a macro virus detecting method, including:
  • the macro virus detection module registered in advance as the data file handler plug-in is invoked
  • the target data file is detected by the called macro virus detection module.
  • the calling is pre-registered as a macro virus detecting module of the data file processing program plugin, and includes:
  • the detecting, by using the invoked macro virus detection module, the target data file includes:
  • the macro module in the target data file is detected by the called macro virus detection module.
  • the detecting the macro module in the target data file by using the invoked macro virus detection module comprises:
  • the method further includes:
  • the micro-features built in the macro virus detection module and the extracted features are further used for matching;
  • the preset micro-feature matching condition includes:
  • the sum of the extracted macroblock features and the microfeatures in the called macro virus detection module is greater than a preset threshold.
  • the method further includes:
  • an embodiment of the present invention further discloses a macro virus detecting apparatus, including: a calling unit, configured to: after the data file processing program performs an opening operation on the target data file, and does not perform content of the target data file In the case of loading, calling a macro virus detection module registered in advance as the data file handler plugin;
  • the first detecting unit is configured to detect the target data file by using the called macro virus detecting module.
  • the calling unit is specifically configured to:
  • the data file processing program After the data file processing program performs an open operation on the target data file and does not load the content of the target data file, detecting whether there is a macro module in the target data file;
  • the first detecting unit is specifically configured to:
  • the macro module in the target data file is detected by the called macro virus detection module.
  • the first detecting unit includes: an extracting subunit, a first matching subunit, and a first output subunit,
  • the extracting subunit is configured to extract features of each macro module
  • the first matching subunit is configured to perform matching by using a virus feature and an extracted feature built in the macro virus detection module;
  • the first output subunit is configured to output deterministic macro virus alarm information to the user if the preset virus feature matching condition is met.
  • the first detecting unit further includes: a second matching subunit and a second output subunit, where the second matching subunit is configured to further utilize the macro in the case that there is no matching virus feature The micro-features and extracted features built into the virus detection module are matched;
  • the second output subunit is configured to output non-deterministic macro virus alarm information to the user if the preset micro feature matching condition is met.
  • the preset micro-feature matching condition includes:
  • the sum of the extracted macroblock features and the microfeatures in the called macro virus detection module is greater than a preset threshold.
  • the method further includes: an analyzing unit, a second detecting unit, and a repairing unit,
  • the analyzing unit is configured to analyze an execution process of the feature matching macro module and a result after the execution; the second detecting unit is configured to detect whether there is a result analyzed by the analysis module in the system; In the case where the detection result of the second detection module is YES, the macro according to the feature matching The execution process of the module and the results after execution, the system is reverse repaired.
  • the macro virus detection module since the macro virus detection module is first registered as a data file handler plugin, after the data file handler performs an open operation on the target data file, and the content of the target data file is not loaded, The macro virus detection module is called to perform detection of the target data file. Therefore, the macro virus detection module can recognize the format of all data files, and can also enter the data file for analysis, which improves the coverage of the detected data files.
  • the macro virus detection module is called to run once after the data file processing program performs an open operation on the target data file and does not load the content of the target data file, and does not continue to run after the detection is completed.
  • the method provided by the embodiment of the invention reduces the occupation of system resources, and does not frequently alert the user in the process of using the data file, thereby improving the user experience.
  • Embodiments of the present invention also provide a computer readable storage medium comprising computer instructions that, when executed, cause a macro virus detection method according to an embodiment of the present invention to be performed.
  • FIG. 1 is a schematic flowchart of a macro virus detecting method according to an embodiment of the present invention
  • FIG. 2 is a schematic flowchart of another macro virus detecting method according to an embodiment of the present invention.
  • FIG. 3 is a schematic structural diagram of a macro virus detecting apparatus according to an embodiment of the present invention.
  • FIG. 4 is a schematic structural diagram of another macro virus detecting apparatus according to an embodiment of the present invention.
  • FIG. 1 is a schematic flowchart of a method for detecting a macro virus according to an embodiment of the present invention, including the following steps: S101: After performing an open operation on a target data file by a data file processing program, and not performing content of a target data file In the case of loading, calling a macro virus detection module registered in advance as the data file handler plugin; For example: The data file handler is Microsoft Office 2007 (office software developed by Microsoft Corporation, version 2007), the target data file is xxx.docx, and the macro virus detection module A is pre-registered as a plug-in for Microsoft Office 2007;
  • the data file handler is Microsoft Office 2007 (office software developed by Microsoft Corporation, version 2007)
  • the target data file is xxx.docx
  • the macro virus detection module A is pre-registered as a plug-in for Microsoft Office 2007;
  • xxx.docx When xxx.docx is opened and its contents have not been loaded, A is called, where xxx.docx is opened including xxx.docx contains the password, and the password is opened after the password is entered.
  • S102 The target data file is detected by using the called macro virus detection module.
  • the macro file may be detected in the target data file after the data file processing program performs the opening operation on the target data file and the content of the target data file is not loaded; in the target data file
  • a macro virus detection module registered in advance as the data file handler plug-in is invoked; and the macro module in the target data file is detected by using the called macro virus detection module.
  • VBE object model for Microsoft Office documents as follows:
  • VBE object the root object, which contains all other objects and collections that can be represented in Visual Basic for Applications;
  • VBProjects A collection of VBProject objects representing all open projects in the development environment
  • VBProject object Represents a project, that is, the document itself's own module project
  • VBComponents A collection of VBComponent objects representing the components in the project;
  • VBComponent object Represents a component contained in a project, such as a class module or a standard module
  • CodeModule object Represents program code (macro code) after a component such as a form, class, or document.
  • VBE object model first obtain the VBE object of the target file xxx.docx, and then obtain the CodeModule through the object, where CodeModule represents the macro module. If the CodeModule is not obtained, it indicates that there is no macro module in xxx.docx, if obtained CodeModule, which indicates that there is a macro module in xxx.docx, assumes that XXX.docx contains a macro module named macro s, and uses the called A to detect the macro module named macos in xxx.docx.
  • the feature of each macro module may also be extracted; matching the virus feature and the extracted feature built in the macro virus detection module; if the preset virus feature matching condition is met, The deterministic macro virus alarm information is output to the user.
  • the driver file xxx.sys is released in the driver directory
  • the virus features built in the macro virus detection module include: The driver file is released in the driver directory, indicating that the driver file is extracted. The feature matches the virus signature built in the macro virus detection module, and outputs the alarm information of "the macro virus named macros in the xxx.docx file" to the user.
  • a macro table which is a type of table that can contain macro code, which is triggered by the specified name. If excel contains a macro table, extract the macros object collection sheets, and then enumerate one by one, obtain the code in the table through the interface of the sheet, extract the features, and use the virus features built into the macro virus detection module and The extracted features are matched; if the preset virus feature matching condition is met, the deterministic macro virus alarm information is output to the user.
  • the micro-features and the extracted features built in the macro virus detection module are further used for matching; if the preset micro-feature matching condition is met, the non-deterministic macro virus alarm is output to the user. information.
  • the extracted macro module whose name is macros has the following features:
  • the delete module is included, and the virus feature built in the macro virus detection module does not include this feature.
  • the micro-feature built in the macro virus detection module includes this feature, indicating that the feature is extracted.
  • the feature matches the micro-feature built in the macro virus detection module, and outputs to the user an alarm message that the "xxx.docx file contains a macro module whose name is macros may contain a macro virus".
  • the non-deterministic macro virus alarm information is output to the user.
  • micro-features in the macro virus detection module include: sensitive strings, suspicious function names, and suspicious module names, where systemroot ⁇ drivers is considered a sensitive string, and functions with names with add, delete, or update are considered suspicious function names.
  • a module with the name autorun is considered a suspicious module name.
  • the extracted macro module with the name macros has the following characteristics: It contains four strings with systemroot ⁇ drivers, two functions with delete names, one function with add name, and two names. Submodule with autorun.
  • the preset threshold is 8
  • the sum of the extracted macros of the macros and the microfeatures in the macro virus detection module is 9, which is greater than the preset threshold 8, indicating that the extracted name is macros.
  • the macro module may contain a macro virus and output to the user an "information that the macro module named macros may contain a macro virus" in the xxx.docx file.
  • the preset threshold is 10
  • the sum of the extracted macros of the macros and the microfeatures in the macro virus detection module is 9, which is not greater than the preset threshold of 10, indicating that the extracted name is macros.
  • the macro module does not contain macro viruses and does not output alarm information to the user.
  • the embodiment of the present invention defines two types of macro virus information: wherein “deterministic macro virus information” refers to: Based on the current antivirus technology, it is basically determined that the detected macro module does contain the currently known macro virus.
  • non-deterministic macro virus information means: Based on the current anti-virus technology, the detected macro module may contain macro virus information, and the detected result is uncertain.
  • the macro virus detection module is first registered as a data file processing program plug-in, and after the data file processing program performs an opening operation on the target data file, and the content of the target data file is not loaded.
  • the macro virus detection module is called to perform detection of the target data file. Therefore, the macro virus detection module can recognize the format of all data files, and can also enter the data file for analysis, which improves the coverage of the detected data files.
  • the macro virus detection module is called to run once after the data file processing program performs an open operation on the target data file and does not load the content of the target data file, and does not continue to run after the detection is completed.
  • the method provided by the embodiment of the invention reduces the occupation of system resources, and does not frequently alert the user in the process of using the data file, thereby improving the user experience.
  • the embodiment shown in FIG. 2 is based on the embodiment shown in FIG. 1 , adding S 103 : analyzing the execution process of the feature matching macro module and the result after execution; S 104 : detecting whether there is an analysis result in the system S 105 : The step of performing reverse repair on the system according to the execution process of the feature matching macro module.
  • the execution process of the feature-matched macro module and the impact of the post-execution result on the system can be analyzed, and the system is repaired according to the analysis to ensure that the system is in operation.
  • FIG. 3 is a macro virus detecting apparatus according to an embodiment of the present invention, including a calling unit 301 and a first detecting unit 302.
  • the calling unit 301 is configured to: after the data file processing program performs an opening operation on the target data file, and does not load the content of the target data file, invoke a macro registered in advance as the data file processing program plug-in Virus detection module;
  • the first detecting unit 302 is configured to detect the target data file by using the invoked macro virus detecting module.
  • the calling unit 301 is specifically configured to:
  • the macro data module is detected in the target data file; when there is a macro module in the target data file, the macro file is called.
  • the first detecting unit 302 is specifically configured to:
  • the macro module in the target data file is detected by the called macro virus detection module.
  • the first detecting unit 302 in this embodiment includes: an extracting subunit, a first matching subunit, and a first output subunit (not shown),
  • a first matching subunit configured to perform matching by using a virus feature and an extracted feature built in the macro virus detection module
  • the first output subunit is configured to output the determined macro virus alarm information to the user if the preset virus feature matching condition is met.
  • the first detecting module 302 in this embodiment further includes: a second matching subunit and a second output subunit (not shown),
  • a second matching sub-unit configured to further perform matching by using the micro-features and the extracted features in the macro virus detection module in the case that there is no matching virus feature
  • the second output subunit is configured to output the non-deterministic macro virus alarm information to the user if the preset virus feature matching condition is met.
  • the preset micro-feature matching condition is: the sum of the extracted macroblock features and the micro-features in the invoked macro virus detection module is greater than a preset threshold.
  • the macro virus detection module is first registered as a data file processing program plug-in, and after the data file processing program performs an opening operation on the target data file, and the content of the target data file is not loaded.
  • the macro virus detection module is called to perform detection of the target data file. Therefore, the macro virus detection module can recognize the format of all data files, and can also enter the data file for analysis, which improves the coverage of the detected data files.
  • the macro virus detection module is called to run once after the data file processing program performs an open operation on the target data file and does not load the content of the target data file, and after the detection is completed.
  • the method provided by the embodiment of the present invention reduces the occupation of system resources, and does not frequently alert the user in the process of using the data file, thereby improving the user's Experience the effect.
  • FIG. 4 is another macro virus detecting apparatus according to an embodiment of the present invention, including a calling unit 301, a first detecting unit 302, an analyzing unit 303, a second detecting unit 304, and a repairing unit 305.
  • the analyzing unit 303 is configured to analyze the execution process of the feature matching macro module and the result after the execution; the second detecting unit 304 is configured to detect whether there is a result analyzed by the analysis module in the system; and the repairing unit 305 is configured to: In the case that the detection result of the second detection module is YES, the system is reversely repaired according to the execution process of the feature-matched macro module and the result after the execution.
  • the execution process of the feature-matched macro module and the impact of the executed result on the system can be analyzed, and the system is repaired according to the analysis to ensure that the system is in operation.
  • Embodiments of the present invention also provide a computer readable storage medium comprising computer instructions that, when executed, cause a macro virus detection method according to an embodiment of the present invention to be performed.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Debugging And Monitoring (AREA)
  • Storage Device Security (AREA)
  • Measuring Or Testing Involving Enzymes Or Micro-Organisms (AREA)

Abstract

公开了一种宏病毒检测方法及装置，方法包括：在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；利用调用的宏病毒检测模块，对目标数据文件进行检测。宏病毒检测模块能识别所有数据文件的格式，也能进入到数据文件内部进行分析，提高了被检测数据文件的覆盖面。

Description

宏病毒检测方法及装置 技术领域
本发明涉及计算机安全技术领域， 特别涉及一种宏病毒检测方法及装置。 背景技术
计算机科学中的宏，是指在数据文件中被程序语言允许使用的指令序列。宏病毒， 是指寄存在数据文件或数据文件模版上， 用宏语言编写的恶意指令序列， 当用户打开被 宏病毒感染的数据文件或者对被宏病毒感染的数据文件进行操作（例如保存、删除等）时， 会将其激活， 使其运行， 从而造成其想要达到的后果。
随着计算机和互联网的发展， 越来越多的人使用办公软件， 带有宏病毒的数据文件很 容易从地球的一端传播到另一端， 因此宏病毒其影响范围和危害性不可小觑， 对宏病 毒的检测和清除已经成为当前计算机安全技术领域中一个非常重要的部分。
现有两种对宏病毒进行检测的方法， 一种方法是利用杀毒软件对数据文件进行静 态分析， 利用复合数据文件格式对数据文件的结构进行分解识别， 提取数据文件中所有宏的 特征码， 将提取的数据文件中所有宏的特征码与病毒库中宏病毒的特征码的进行对比匹配， 如果匹配， 则将匹配的宏清除； 另一种方法是利用杀毒软件的主动防御功能来实时监控数据 文件处理程序的行为， 如果检测到有恶意行为， 则截获该行为， 暂停数据文件处理程序的执 行， 向用户提示该行为执行的结果以及可能造成的后果， 只有当用户对该行为进行处理后， 数据文件处理程序方可继续执行。
然而， 在实际应用中， 利用杀毒软件对数据文件进行静态分析对宏病毒进行检测的 方法， 要求杀毒软件能识别所有数据文件的结构并分析， 但是由于不同的应用程序具 有不同的数据文件结构， 此种方法在实际应用中很难实现； 另外， 如果数据文件经过 加密处理， 即使杀毒软件能识别该数据文件的结构， 但也无法获得该数据文件结构的 具体内容， 导致不能对数据文件的结构进行分析。这就造成此方法在对宏病毒进行检测 时覆盖面较小。
利用杀毒软件的主动防御功能来实时监控数据文件处理程序行为的方法，会导致用户在 对数据文件进行操作时， 占用较高的系统资源， 影响机器的整体性能。 另外检测到的 "恶意 行为"， 有可能是用户的正常操作行为， 也有可能是真正意义上的恶意行为， 但是行为监控 的方法不能对二者进行加以区分， 为了保证安全， 只好频繁的示警， 提示用户进行相应的处 理， 导致用户体验效果不佳。 发明内容
本发明实施例的目的在于提供一种宏病毒检测方法及装置，提高对宏病毒进行检 测的数据文件的覆盖面， 提高用户的体验效果， 减少系统资源占用。
为达到上述目的， 本发明实施例公开了一种宏病毒检测方法， 包括：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内 容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模 块；
利用调用的宏病毒检测模块， 对目标数据文件进行检测。
较佳的， 所述调用预先注册为所述数据文件处理程序插件的宏病毒检测模块， 包 括：
检测目标数据文件中有无宏模块；
当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏 病毒检测模块；
所述利用调用的宏病毒检测模块， 对目标数据文件进行检测， 包括：
利用调用的宏病毒检测模块， 对目标数据文件中的宏模块进行检测。
较佳的，所述利用调用的宏病毒检测模块，对目标数据文件中的宏模块进行检测， 包括：
提取每一宏模块的特征；
利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；
如果满足预设的病毒特征匹配条件， 则向用户输出确定性宏病毒告警信息。 较佳的， 还包括：
在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特 征和提取的特征进行匹配；
如果满足预设的微特征匹配条件， 则向用户输出非确定性宏病毒告警信息。 较佳的， 所述预设的微特征匹配条件， 包括：
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和 大于预设的阈值。
较佳的， 还包括：
分析特征匹配的宏模块的执行过程以及执行后的结果；
检测系统中， 是否存在分析出来的结果；
如果是， 根据特征匹配的宏模块的执行过程以及执行后的结果， 对系统进行逆向 为达到上述目的， 本发明实施例还公开了一种宏病毒检测装置， 包括： 调用单元， 用于在数据文件处理程序对目标数据文件执行打开操作后、 且未对目 标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件 的宏病毒检测模块；
第一检测单元， 用于利用调用的宏病毒检测模块， 对目标数据文件进行检测。 较佳的， 所述调用单元具体用于：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内 容的进行加载的情况下， 检测目标数据文件中有无宏模块；
当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏 病毒检测模块；
所述第一检测单元， 具体用于：
利用调用的宏病毒检测模块， 对目标数据文件中的宏模块进行检测。
较佳的， 所述第一检测单元包括： 提取子单元， 第一匹配子单元和第一输出子单 元，
所述提取子单元， 用于提取每一宏模块的特征；
所述第一匹配子单元，用于利用所述宏病毒检测模块中内置的病毒特征和提取的 特征进行匹配；
所述第一输出子单元， 用于在满足预设的病毒特征匹配条件的情况下， 向用户输 出确定性宏病毒告警信息。
较佳的， 所述第一检测单元还包括： 第二匹配子单元和第二输出子单元， 所述第二匹配子单元， 用于在没有匹配的病毒特征的情况下， 进一步利用所述宏 病毒检测模块中内置的微特征和提取的特征进行匹配；
所述第二输出子单元， 用于在满足预设的微特征匹配条件的情况下， 则向用户输 出非确定性宏病毒告警信息。
较佳的， 所述预设的微特征匹配条件， 包括：
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和 大于预设的阈值。
较佳的， 还包括： 分析单元、 第二检测单元和修复单元，
所述分析单元， 用于分析特征匹配的宏模块的执行过程以及执行后的结果； 所述第二检测单元， 用于检测系统中， 是否存在分析模块分析出来的结果； 所述修复单元， 用于在第二检测模块检测结果为是的情况下， 根据特征匹配的宏 模块的执行过程以及执行后的结果， 对系统进行逆向修复。
由上述的技术方案可见， 由于宏病毒检测模块被先注册为数据文件处理程序插 件， 在数据文件处理程序对目标数据文件执行打开操作后、 且未对目标数据文件的内 容的进行加载的情况下， 宏病毒检测模块被调用， 进行目标数据文件的检测。 因此宏 病毒检测模块能识别所有数据文件的格式， 也能进入到数据文件内部进行分析， 提高 了被检测数据文件的覆盖面。
另外， 该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作 后、 且未对目标数据文件的内容的进行加载的情况下， 被调用运行一次， 检测完成后 不再继续运行， 相对现有技术中实时监控行为的方法， 本发明实施例提供的方法减少 了系统资源的占用， 并且在用户使用数据文件的过程中也不会频繁的示警， 提高了用 户的体验效果。
本发明实施例还提供了一种计算机可读存储介质， 包括计算机指令， 当所述计算机指 令被执行时， 使得执行根据本发明实施例的宏病毒检测方法。 附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现 有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图仅仅 是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造性劳动的前提 下， 还可以根据这些附图获得其他的附图。
图 1为本发明实施例提供的一种宏病毒检测方法的流程示意图；
图 2为本发明实施例提供的另一种宏病毒检测方法的流程示意图；
图 3为本发明实施例提供的一种宏病毒检测装置的结构示意图；
图 4为本发明实施例提供的另一种宏病毒检测装置的结构示意图。
具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完 整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。 基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的 所有其他实施例， 都属于本发明保护的范围。
图 1为本发明实施例提供的一种宏病毒检测方法的流程示意图， 包括如下步骤： S 101 : 在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文 件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒 检测模块； 例如： 数据文件处理程序为 Microsoft Office 2007 (微软公司开发的办公软件， 版 本 2007 )， 目标数据文件为 xxx.docx, 将宏病毒检测模块 A预先注册为 Microsoft Office 2007的插件；
当 xxx.docx被打开、 且还未对其内容进行加载的情况下， 调用 A， 其中 xxx.docx 被打开包括 xxx.docx含有密码， 输入密码之后被打开的情况。
S 102: 利用调用的宏病毒检测模块， 对目标数据文件进行检测。
利用 A对 xxx.docx进行检测。
在实际应用中， 可以在数据文件处理程序对目标数据文件执行打开操作后、 且未 对目标数据文件的内容的进行加载的情况下， 检测目标数据文件中有无宏模块； 当目 标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏病毒检测 模块； 利用调用的宏病毒检测模块， 对目标数据文件中的宏模块进行检测。
例如： Microsoft Office文档的 VBE对象模型， 如下表示：
VBE对象
VBProjects
VB Project
VBComponents
VBComponent
CodeModule
其中， VBE对象： 根对象， 它包含所有其它可在 Visual Basic for Applications 中表示 对象和集合；
VBProjects: VBProject对象的集合， 表示开发环境中所有打开的工程；
VBProject对象： 表示一工程 即文档本身自己的模块工程；
VBComponents ： VBComponent对象的集合， 代表工程中的部件；
VBComponent对象： 代表一个包含在工程中的部件， 例如类模块或标准模块； CodeModule对象： 在诸如窗体， 类或文档等部件之后表示程序代码 （宏代码）。
根据 VBE对象模型， 首先获取该目标文件 xxx.docx的 VBE对象， 然后通过这个对 象获取 CodeModule , 其中 CodeModule代表着宏模块， 如果获取不到 CodeModule, 则 表明 xxx.docx中没有宏模块， 如果获取到 CodeModule， 则表明 xxx.docx中有宏模块， 假设检测到 XXX .docx中含有名称为 macro s的宏模块，利用调用的 A对 xxx .docx中名称为 macros的宏模块进行检测。
进一步， 在实际应用中， 还可以提取每一宏模块的特征； 利用所述宏病毒检测模 块中内置的病毒特征和提取的特征进行匹配； 如果满足预设的病毒特征匹配条件， 则 向用户输出确定性宏病毒告警信息。
假设提取出的名称为 macros的宏模块的特征为： 在驱动目录下释放驱动文件 xxx.sys , 而宏病毒检测模块中内置的病毒特征包含： 在驱动目录下释放驱动文件， 则 表示提取出的特征与宏病毒检测模块中内置的病毒特征匹配， 向用户输出 "xxx.docx 文件中含有名称为 macros的宏病毒"的告警信息。
对于 excel而言， 除了有宏模块之外， 还可能拥有宏表， 宏表是可以包含宏代码 的表格的一种， 通过指定的 name来触发执行。 如果， excel中含有宏表， 提取宏表的 对象集合 sheets , 然后一个个的去枚举， 通过 sheet的接口获取表格内的代码， 提取特 征， 利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配； 如果满足预 设的病毒特征匹配条件， 则向用户输出确定性宏病毒告警信息。
在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特 征和提取的特征进行匹配； 如果满足预设的微特征匹配条件， 则向用户输出非确定性 宏病毒告警信息。
假设提取出的名称为 macros的宏模块的特征为： 含有 delete模块， 而宏病毒检测 模块中内置的病毒特征不包含这个特征，宏病毒检测模块中内置的微特征包含这个特 征， 则表示提取出的特征与宏病毒检测模块中内置的微特征匹配， 向用户输出 "xxx.docx文件中含有名称为 macros的宏模块可能含有宏病毒"的告警信息。
进一步， 在实际应用中， 还可以在有匹配的微特征、 且提取的某一宏模块的特征 与调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值的情况下，向用 户输出非确定性宏病毒告警信息。
假设宏病毒检测模块中的微特征包括： 敏感字符串， 可疑函数名和可疑模块名， 其中将 systemroot\drivers认为是敏感字符串， 将名称带有 add、 delete或 update的函数 认为是可疑函数名， 将名称带有 autorun的模块认为是可疑模块名。
假设提取出的名称为 macros的宏模块的特征为： 含有 4个带有 systemroot\drivers 的字符串， 含有 2个名称带有 delete的函数， 含有 1个名称带有 add的函数， 含有 2个名 称带有 autorun的子模块。
如果预设的阈值为 8， 提取出的名称为 macros的宏模块的特征与宏病毒检测模块 中的微特征匹配的个数总和 9， 大于预设的阈值 8， 表示提取出的名称为 macros的宏模 块可能含有宏病毒，向用户输出 "xxx.docx文件中含有名称为 macros的宏模块可能含有 宏病毒"的告警信息。
如果预设的阈值为 10，提取出的名称为 macros的宏模块的特征与宏病毒检测模块 中的微特征匹配的个数总和 9， 不大于预设的阈值 10， 表示提取出的名称为 macros的 宏模块不含有宏病毒， 不向用户输出告警信息。
本发明实施例定义了两种宏病毒信息： 其中"确定性宏病毒信息"是指： 在目前杀 毒技术的基础上，基本可以确定检测出的宏模块中确实含有目前已知的宏病毒存在的 信息； 相应地， "非确定性宏病毒信息"是指： 在目前杀毒技术的基础上， 检测出的宏 模块中可能含有宏病毒的信息， 对检测出的结果不确定。
应用本发明图 1所示实施例，宏病毒检测模块被先注册为数据文件处理程序插件， 在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的 进行加载的情况下， 宏病毒检测模块被调用， 进行目标数据文件的检测。 因此宏病毒 检测模块能识别所有数据文件的格式， 也能进入到数据文件内部进行分析， 提高了被 检测数据文件的覆盖面。
另外， 该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作 后、 且未对目标数据文件的内容的进行加载的情况下， 被调用运行一次， 检测完成后 不再继续运行， 相对现有技术中实时监控行为的方法， 本发明实施例提供的方法减少 了系统资源的占用， 并且在用户使用数据文件的过程中也不会频繁的示警， 提高了用 户的体验效果。
需要说明的是， 本实施例中没有考虑特征匹配的宏模块运行后， 对系统造成的影 响， 下面针对特征匹配的宏模块运行后， 对系统造成的影响的情况， 本发明实施例还 提供另一种宏病毒检测方法， 参见图 2所示，
本发明图 2所示实施例在图 1所示实施例基础上， 增加 S 103 : 分析特征匹配的宏模 块的执行过程以及执行后的结果； S 104 :检测系统中，是否存在分析出来的结果； S 105 : 根据特征匹配的宏模块的执行过程， 对系统进行逆向修复的步骤。
例如： 分析出特征匹配的宏模块的执行过程以及执行后的结果为： 在驱动目录下 释放驱动文件 xxx.sys , 检测系统的驱动目录下是否存在文件 xxx.sys , 如果存在， 将文 件 xxx.sys删除。
对于含有宏表的 excel而言， 还可以分析宏表的执行过程以及执行后的结果； 检 测系统中， 是否存在分析出来的结果； 根据宏表的执行过程， 对系统进行逆向修复的 步骤。
应用本发明图 2所示实施例，能够对特征匹配的宏模块的执行过程以及执行后的 结果对系统造成的影响进行分析， 并根据分析对系统进行修复， 保证系统在运行的过 程中， 没有特征匹配的宏模块执行后对系统造成影响的隐患。
图 3为本发明实施例提供的一种宏病毒检测装置，包括调用单元 301和第一检测单 元 302， 其中， 调用单元 301， 用于在数据文件处理程序对目标数据文件执行打开操作后、 且未对目标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理 程序插件的宏病毒检测模块；
第一检测单元 302， 用于利用调用的宏病毒检测模块， 对目标数据文件进行检测。 其中， 调用单元 301， 具体用于：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内 容的进行加载的情况下， 检测目标数据文件中有无宏模块； 当目标数据文件中有宏模 块时， 调用预先注册为所述数据文件处理程序插件的宏病毒检测模块；
第一检测单元 302， 具体用于：
利用调用的宏病毒检测模块， 对目标数据文件中的宏模块进行检测。
本实施例中的第一检测单元 302包括： 提取子单元， 第一匹配子单元和第一输出 子单元 （图中未示出），
提取子单元， 用于提取每一宏模块的特征；
第一匹配子单元，用于利用所述宏病毒检测模块中内置的病毒特征和提取的特征 进行匹配；
第一输出子单元， 用于在满足预设的病毒特征匹配条件的情况下， 向用户输出确 定性宏病毒告警信息。
本实施例中的第一检测模块 302还包括： 第二匹配子单元和第二输出子单元 （图 中未示出），
第二匹配子单元， 用于在没有匹配的病毒特征的情况下， 进一步利用所述宏病毒 检测模块中内置的微特征和提取的特征进行匹配；
第二输出子单元， 用于在满足预设的病毒特征匹配条件的情况下， 向用户输出非 确定性宏病毒告警信息。
进一步， 在实际应用中， 预设的微特征匹配条件为： 提取的某一宏模块的特征与 调用的宏病毒检测模块中的微特征匹配的个数总和大于预设的阈值。
应用本发明图 3所示实施例，宏病毒检测模块被先注册为数据文件处理程序插件， 在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内容的 进行加载的情况下， 宏病毒检测模块被调用， 进行目标数据文件的检测。 因此宏病毒 检测模块能识别所有数据文件的格式， 也能进入到数据文件内部进行分析， 提高了被 检测数据文件的覆盖面。
另外， 该宏病毒检测模块只在数据文件处理程序对目标数据文件执行打开操作 后、 且未对目标数据文件的内容的进行加载的情况下， 被调用运行一次， 检测完成后 不再继续运行， 相对现有技术中实时监控行为的方法， 本发明实施例提供的方法减少 了系统资源的占用， 并且在用户使用数据文件的过程中也不会频繁的示警， 提高了用 户的体验效果。
图 4为本发明实施例提供的另一种宏病毒检测装置， 包括调用单元 301、第一检测 单元 302、 分析单元 303、 第二检测单元 304和修复单元 305，
其中， 分析单元 303， 用于分析特征匹配的宏模块的执行过程以及执行后的结果； 第二检测单元 304， 用于检测系统中， 是否存在分析模块分析出来的结果； 修复单元 305， 用于在第二检测模块检测结果为是的情况下， 根据特征匹配的宏 模块的执行过程以及执行后的结果， 对系统进行逆向修复。
应用本发明图 4所示实施例，能够对特征匹配的宏模块的执行过程以及执行后的 结果对系统造成的影响进行分析， 并根据分析对系统进行修复， 保证系统在运行的过 程中， 没有特征匹配的宏模块执行后对系统造成影响的隐患。
本发明实施例还提供了一种计算机可读存储介质， 包括计算机指令， 当所述计算机指 令被执行时， 使得执行根据本发明实施例的宏病毒检测方法。
需要说明的是， 在本文中， 诸如第一和第二等之类的关系术语仅仅用来将一个实 体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之 间存在任何这种实际的关系或者顺序。 而且， 术语"包括"、 "包含 "或者其任何其他变 体意在涵盖非排他性的包含， 从而使得包括一系列要素的过程、 方法、 物品或者设备 不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、 方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句 "包括一个 ... ... " 限定的要素， 并不排除在包括所述要素的过程、 方法、 物品或者设备中还存在另外的 相同要素。
本说明书中的各个实施例均采用相关的方式描述，各个实施例之间相同相似的部 分互相参见即可， 每个实施例重点说明的都是与其他实施例的不同之处。 尤其， 对于 装置实施例而言， 由于其基本相似于方法实施例， 所以描述的比较简单， 相关之处参 见方法实施例的部分说明即可。
本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可 以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机可读取存储介质 中， 这里所称得的存储介质， 如： ROM/RAM, 磁碟、 光盘等。
以上所述仅为本发明的较佳实施例而已， 并非用于限定本发明的保护范围。 凡在 本发明的精神和原则之内所作的任何修改、 等同替换、 改进等， 均包含在本发明的保 护范围内。

Claims

权利要求书
1、 一种宏病毒检测方法， 其特征在于， 包括：
在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内 容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件的宏病毒检测模 块；
利用调用的宏病毒检测模块， 对目标数据文件进行检测。
2、 根据权利要求 1所述的方法， 其特征在于，
所述调用预先注册为所述数据文件处理程序插件的宏病毒检测模块， 包括： 检测目标数据文件中有无宏模块；
当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏 病毒检测模块；
所述利用调用的宏病毒检测模块， 对目标数据文件进行检测， 包括：
利用调用的宏病毒检测模块， 对目标数据文件中的宏模块进行检测。
3、 根据权利要求 2所述的方法， 其特征在于， 所述利用调用的宏病毒检测模块， 对目标数据文件中的宏模块进行检测， 包括：
提取每一宏模块的特征；
利用所述宏病毒检测模块中内置的病毒特征和提取的特征进行匹配；
如果满足预设的病毒特征匹配条件， 则向用户输出确定性宏病毒告警信息。
4、 根据权利要求 3所述的方法， 其特征在于， 还包括：
在没有匹配的病毒特征的情况下，进一步利用所述宏病毒检测模块中内置的微特 征和提取的特征进行匹配；
如果满足预设的微特征匹配条件， 则向用户输出非确定性宏病毒告警信息。
5、根据权利要求 4所述的方法， 其特征在于， 所述预设的微特征匹配条件， 包括： 提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和 大于预设的阈值。
6、 根据权利要求 3至 5中任一项所述的方法， 其特征在于， 还包括：
分析特征匹配的宏模块的执行过程以及执行后的结果；
检测系统中， 是否存在分析出来的结果；
如果是， 根据特征匹配的宏模块的执行过程以及执行后的结果， 对系统进行逆向 修复。
7、 一种宏病毒检测装置， 其特征在于， 包括：
调用单元， 用于在数据文件处理程序对目标数据文件执行打开操作后、 且未对目 标数据文件的内容的进行加载的情况下，调用预先注册为所述数据文件处理程序插件 的宏病毒检测模块；
第一检测单元， 用于利用调用的宏病毒检测模块， 对目标数据文件进行检测。
8、 根据权利要求 7所述的装置， 其特征在于， 所述调用单元具体用于： 在数据文件处理程序对目标数据文件执行打开操作后、且未对目标数据文件的内 容的进行加载的情况下， 检测目标数据文件中有无宏模块；
当目标数据文件中有宏模块时，调用预先注册为所述数据文件处理程序插件的宏 病毒检测模块；
所述第一检测单元， 具体用于：
利用调用的宏病毒检测模块， 对目标数据文件中的宏模块进行检测。
9、 根据权利要求 8所述的装置， 其特征在于， 所述第一检测单元包括： 提取子单 元， 第一匹配子单元和第一输出子单元，
所述提取子单元， 用于提取每一宏模块的特征；
所述第一匹配子单元，用于利用所述宏病毒检测模块中内置的病毒特征和提取的 特征进行匹配；
所述第一输出子单元， 用于在满足预设的病毒特征匹配条件的情况下， 向用户输 出确定性宏病毒告警信息。
10、 根据权利要求 9所述的装置， 其特征在于， 所述第一检测单元还包括： 第二 匹配子单元和第二输出子单元，
所述第二匹配子单元， 用于在没有匹配的病毒特征的情况下， 进一步利用所述宏 病毒检测模块中内置的微特征和提取的特征进行匹配；
所述第二输出子单元， 用于在满足预设的微特征匹配条件的情况下， 则向用户输 出非确定性宏病毒告警信息。
11、 根据权利要求 10所述的装置， 其特征在于， 所述预设的微特征匹配条件， 包 括：
提取的某一宏模块的特征与调用的宏病毒检测模块中的微特征匹配的个数总和 大于预设的阈值。
12、 根据权利要求 9至 11中任一项所述的装置， 其特征在于， 还包括： 分析单元、 第二检测单元和修复单元，
所述分析单元， 用于分析特征匹配的宏模块的执行过程以及执行后的结果； 所述第二检测单元， 用于检测系统中， 是否存在分析模块分析出来的结果； 所述修复单元， 用于在第二检测模块检测结果为是的情况下， 根据特征匹配的宏 模块的执行过程以及执行后的结果， 对系统进行逆向修复。
13、 一种计算机可读存储介质， 包括计算机指令， 当所述计算机指令被执行时， 使得执 行权利要求 1至 6中任一项所述的宏病毒检测方法。
PCT/CN2014/084389 2014-02-24 2014-08-14 宏病毒检测方法及装置 WO2015123972A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US14/901,883 US10237285B2 (en) 2014-02-24 2014-08-14 Method and apparatus for detecting macro viruses

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201410061998.6A CN103810428B (zh) 2014-02-24 2014-02-24 一种宏病毒检测方法及装置
CN201410061998.6 2014-02-24

Publications (1)

Publication Number Publication Date
WO2015123972A1 true WO2015123972A1 (zh) 2015-08-27

Family

ID=50707181

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/084389 WO2015123972A1 (zh) 2014-02-24 2014-08-14 宏病毒检测方法及装置

Country Status (3)

Country Link
US (1) US10237285B2 (zh)
CN (1) CN103810428B (zh)
WO (1) WO2015123972A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10237285B2 (en) 2014-02-24 2019-03-19 Zhuhai Juntian Electronic Technology Co., Ltd. Method and apparatus for detecting macro viruses
CN115189926A (zh) * 2022-06-22 2022-10-14 北京天融信网络安全技术有限公司 网络流量的检测方法、网络流量的检测系统和电子设备

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105488410A (zh) * 2015-05-19 2016-04-13 哈尔滨安天科技股份有限公司 一种excel宏表病毒的检测方法及系统
US10534917B2 (en) * 2017-06-20 2020-01-14 Xm Cyber Ltd. Testing for risk of macro vulnerability
CN107819783A (zh) * 2017-11-27 2018-03-20 深信服科技股份有限公司 一种基于威胁情报的网络安全检测方法及系统
CN109800568B (zh) * 2018-12-29 2021-01-15 360企业安全技术(珠海)有限公司 文档文件的安全防护方法、客户端、系统及存储介质
KR102284646B1 (ko) * 2019-10-25 2021-08-03 소프트캠프 주식회사 문서 파일에 구성된 매크로의 악성코드 감염 확인 방법과 시스템
CN111125701B (zh) * 2019-12-24 2022-04-29 深信服科技股份有限公司 文件检测方法、设备、存储介质及装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6577920B1 (en) * 1998-10-02 2003-06-10 Data Fellows Oyj Computer virus screening
CN102708320A (zh) * 2012-05-04 2012-10-03 奇智软件（北京）有限公司 一种病毒apk的识别方法及装置
CN102841999A (zh) * 2012-07-16 2012-12-26 北京奇虎科技有限公司 一种文件宏病毒的检测方法和装置
CN103810428A (zh) * 2014-02-24 2014-05-21 珠海市君天电子科技有限公司 一种宏病毒检测方法及装置

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5951698A (en) * 1996-10-02 1999-09-14 Trend Micro, Incorporated System, apparatus and method for the detection and removal of viruses in macros
US6697950B1 (en) * 1999-12-22 2004-02-24 Networks Associates Technology, Inc. Method and apparatus for detecting a macro computer virus using static analysis
US6986051B2 (en) * 2000-04-13 2006-01-10 International Business Machines Corporation Method and system for controlling and filtering files using a virus-free certificate
GB2378273A (en) * 2001-07-31 2003-02-05 Hewlett Packard Co Legitimate sharing of electronic content
US7409717B1 (en) * 2002-05-23 2008-08-05 Symantec Corporation Metamorphic computer virus detection
US7418729B2 (en) * 2002-07-19 2008-08-26 Symantec Corporation Heuristic detection of malicious computer code by page tracking
US7882561B2 (en) * 2005-01-31 2011-02-01 Microsoft Corporation System and method of caching decisions on when to scan for malware
US8365286B2 (en) * 2006-06-30 2013-01-29 Sophos Plc Method and system for classification of software using characteristics and combinations of such characteristics
GB0822619D0 (en) * 2008-12-11 2009-01-21 Scansafe Ltd Malware detection
CN102045368A (zh) * 2011-01-20 2011-05-04 中兴通讯股份有限公司 智能移动终端的病毒防御方法及系统
US8726388B2 (en) * 2011-05-16 2014-05-13 F-Secure Corporation Look ahead malware scanning
CN103019872B (zh) * 2012-10-15 2015-09-09 北京奇虎科技有限公司 浏览器修复方法与装置
CN103294955B (zh) * 2013-06-28 2016-06-08 北京奇虎科技有限公司 宏病毒查杀方法及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6577920B1 (en) * 1998-10-02 2003-06-10 Data Fellows Oyj Computer virus screening
CN102708320A (zh) * 2012-05-04 2012-10-03 奇智软件（北京）有限公司 一种病毒apk的识别方法及装置
CN102841999A (zh) * 2012-07-16 2012-12-26 北京奇虎科技有限公司 一种文件宏病毒的检测方法和装置
CN103810428A (zh) * 2014-02-24 2014-05-21 珠海市君天电子科技有限公司 一种宏病毒检测方法及装置

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10237285B2 (en) 2014-02-24 2019-03-19 Zhuhai Juntian Electronic Technology Co., Ltd. Method and apparatus for detecting macro viruses
CN115189926A (zh) * 2022-06-22 2022-10-14 北京天融信网络安全技术有限公司 网络流量的检测方法、网络流量的检测系统和电子设备
CN115189926B (zh) * 2022-06-22 2024-01-26 北京天融信网络安全技术有限公司 网络流量的检测方法、网络流量的检测系统和电子设备

Also Published As

Publication number Publication date
US10237285B2 (en) 2019-03-19
US20160156645A1 (en) 2016-06-02
CN103810428B (zh) 2017-05-24
CN103810428A (zh) 2014-05-21

Similar Documents

Publication Publication Date Title
WO2015123972A1 (zh) 宏病毒检测方法及装置
US9876812B1 (en) Automatic malware signature extraction from runtime information
US20200193024A1 (en) Detection Of Malware Using Feature Hashing
JP5992622B2 (ja) 悪意あるアプリケーション診断装置及び方法
TWI401582B (zh) 用於一硬體之監控裝置、監控方法及其電腦程式產品
EP1560112B1 (en) Detection of files that do not contain executable code
JP5265061B1 (ja) 悪意のあるファイル検査装置及び方法
US20170169224A1 (en) Apparatus and method for detecting malicious mobile app
Choudhary et al. A simple method for detection of metamorphic malware using dynamic analysis and text mining
WO2015135286A1 (zh) 提取pe文件特征的方法及装置
CN111177665B (zh) 一种新生成可执行文件的安全追溯方法
JP6668390B2 (ja) マルウェアの軽減
CN108898014B (zh) 一种病毒查杀方法、服务器及电子设备
Aslan Performance comparison of static malware analysis tools versus antivirus scanners to detect malware
JP6662117B2 (ja) 署名に基づく静的解析を用いた悪質ソフトウェアの動作の検出
US20180341770A1 (en) Anomaly detection method and anomaly detection apparatus
US20170004307A1 (en) Method and device for virus identification, nonvolatile storage medium, and device
JP5326063B1 (ja) デバッグイベントを用いた悪意のあるシェルコードの検知装置及び方法
WO2015153037A1 (en) Systems and methods for identifying a source of a suspect event
JP6714112B2 (ja) グラフィカルユーザインターフェース要素に関連した悪意のある行為の軽減
WO2016095671A1 (zh) 一种应用程序的消息处理方法和装置
US10880316B2 (en) Method and system for determining initial execution of an attack
JP5955475B1 (ja) プログラム、情報処理装置、及び情報処理方法
Kai et al. A fuzzing test for dynamic vulnerability detection on Android Binder mechanism
US10579794B1 (en) Securing a network device by automatically identifying files belonging to an application

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14883501

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 14901883

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205A DATED 16/12/2016)

122 Ep: pct application non-entry in european phase

Ref document number: 14883501

Country of ref document: EP

Kind code of ref document: A1