[发明专利]终端防御恶意程序的方法、装置及系统

权利要求书

1.一种终端防御恶意程序的方法，其特征在于，包括：

在执行应用程序的中间码前，根据所述应用程序的中间码对所述应用程序进行侦测，以确定所述应用程序是否为恶意程序；

当确定所述应用程序为恶意程序时，对所述应用程序进行防御处理。

2.根据权利要求1所述的方法，其特征在于，所述根据所述应用程序的中间码对所述应用程序进行侦测，以确定所述应用程序是否为恶意程序，具体包括：

根据侦测算法获取由所述应用程序译成的中间码的特征码；

检索所述特征码是否存在于恶意程序库中；

如果所述特征码存在于所述恶意程序库中，则确定所述应用程序为恶意程序。

3.根据权利要求1所述的方法，其特征在于，所述根据所述应用程序的中间码对所述应用程序进行侦测，以确定所述应用程序是否为恶意程序，具体包括：

根据恶意行为规则检索所述应用程序译成的中间码中是否存在符合所述恶意行为规则的行为码，并根据检索的结果确定所述应用程序是否为恶意程序。

4.根据权利要求3所述的方法，其特征在于，所述根据检索的结果确定所述应用程序是否为恶意程序，具体包括：

如果所述中间码中存在符合所述恶意行为规则的行为码，则确定所述应用程序为恶意程序。

5.根据权利要求3所述的方法，其特征在于，所述根据检索的结果确定所述应用程序是否为恶意程序，具体包括：

检索到所述中间码中存在符合所述恶意行为规则的行为码时，相应增加所述应用程序的可疑指数；

当所述可疑指数达到一预设的阈值时，确定所述应用程序为恶意程序。

6.根据权利要求5所述的方法，其特征在于，在计算所述可疑指数时，根据危害程度为不同的符合所述恶意行为规则的行为码赋予不同的权重。

7.根据权利要求1至6任一项所述的方法，其特征在于，所述对所述应用程序进行防御处理包括：停止运行所述应用程序，和/或对用户进行告警，和/或删除所述应用程序。

8.一种防御恶意程序的装置，其特征在于，包括：

侦测模块，用于在执行应用程序的中间码前，根据所述应用程序的中间码对所述应用程序进行侦测，并确定所述应用程序是否为恶意程序；

处理模块，用于当所述侦测模块确定所述应用程序为恶意程序时，对所述应用程序进行防御处理。

9.根据权利要求8所述的装置，其特征在于，所述侦测模块包括：

侦测管理器，用于在执行应用程序时，为所述应用程序创建侦测单元；

侦测单元，用于根据侦测算法获取由所述应用程序译成的中间码的特征码，并检索所述特征码是否存在于恶意程序库中，以及将检索结果发送到所述侦测管理器；

所述侦测单元还用于：当在所述恶意程序库中检索到所述特征码时，确定所述应用程序是恶意程序；否则确定所述应用程序正常。

10.根据权利要求8所述的装置，其特征在于，所述侦测模块包括：

侦测管理器，用于在执行应用程序时，为所述应用程序创建侦测单元；

侦测单元，用于根据恶意行为规则检索所述应用程序译成的中间码中是否存在符合所述恶意行为规则的行为码，并将检索结果发送到所述侦测管理器，所述侦测管理器还用于：

当在所述应用程序译成的中间码中存在符合所述恶意行为规则的行为码时，确定所述应用程序是恶意程序；否则确定所述应用程序正常；

或者所述侦测管理器还用于：

当检索到所述中间码中存在符合所述恶意行为规则的行为码时，相应增加所述应用程序的可疑指数，并在所述可疑指数达到一预设的阈值时，确定所述应用程序为恶意程序；否则确定所述应用程序正常。

11.根据权利要求8所述的装置，其特征在于，

所述处理模块，具体用于在所述侦测模块的侦测结果为所述应用程序是恶意程序时，停止运行所述应用程序，和/或对用户进行告警，和/或删除所述应用程序。

12.根据权利要求8至11中任意一项所述的装置，其特征在于，该装置位于操作系统的中间件层。

13.一种防御恶意程序的系统，其特征在于，包括如权利要求8至11中任意一项所述的防御恶意程序的装置。