[发明专利]一种识别病毒的方法及装置

说明书

技术领域

本发明涉及计算机安全领域，特别是指一种识别病毒的方法及装置。

背景技术

目前网购木马猖獗，经常出现新的对抗杀毒软件的手法，人工的方式进行病毒识别速度已经跟不上病毒的更新速度，因此自动准确识别支付网站木马病毒的亟待解决的问题。

目前已有的网购木马的识别方法可以分为三类：

（1）人工分析的方法进行识别：通过反汇编代码分析、文件静态内容比对以及一系列启发式规则对比来给样本文件定性。这种方法的优点是：识别准确；缺点是：低速，无法处理大量样本。

（2）动态分析的方法进行识别：通过动态执行网购样本文件，并记录运行过程中进行动态行为分析，并对文件定性。这种方法的优点是：精准度高；缺点是：低速，吞吐量低，且受到运行环境限制。

（3）静态识别的方法：通过总结网购木马的静态文件特征，识别网购木马。这种方法的优点是：速度快；缺点是：准确性低。

发明内容

本发明要解决的技术问题是提供一种识别病毒的方法及装置，通过对木马病毒运行过程中的内存内容进行转存，从而可以从内存中获得木马病毒运行过程中使用的数据，根据这些数据识别网购木马，避免由于病毒样本文件被加密处理，通过数字签名软件加载的木马病毒无法被正确识别的问题。

为解决上述技术问题，本发明的实施例提供一种识别病毒的方法，包括：

获取用户访问在线支付网站时的内存中的原始内存信息，并对所述原始内存信息进行转存；

对转存后的所述原始内存信息进行分析，获得访问所述在线支付网站中被访问过程中运行的进程的相关信息；

根据所述进程的相关信息，对当前运行的进程是否是病毒样本对应的进程进行识别。

其中，所述获取用户访问在线支付网站时的内存中的原始内存信息，并对所述原始内存信息进行转存的步骤包括：

提高查看系统权限的权限值；

基于提高后的权限值，获得要转存的进程的内存空间地址；其中所述要转存的进程为访问所述在线支付网站中被访问过程；

根据所述内存空间地址，对所述内存空间中的内容进行转存，并将转存的内容保存为一个文件。

其中，对转存后的所述原始内存信息进行分析，获得访问所述在线支付网站中被访问过程中运行的进程的相关信息的步骤包括：

对所述文件进行分析，获得访问所述在线支付网站中被访问过程中运行的病毒进程要使用的数据以及调用的函数。

其中，对所述文件进行分析，获得访问所述在线支付网站中被访问过程中运行的病毒进程要使用的数据以及调用的函数的步骤包括：

根据字符编码集或者病毒特征库，对所述文件进行全文字符串匹配，获得匹配不成功的无效字符串，并过滤掉所述无效字符串

过滤掉所述无效字符串，得到匹配成功的字符串对应的文件；

根据所述匹配成功的字符串对应的文件，获得病毒进程要使用的数据以及调用的函数。

其中，根据所述进程的相关信息，对当前运行的进程是否是病毒样本对应的进程进行识别的步骤包括：

根据病毒进程要使用的数据以及调用的函数，在所述匹配成功的字符串对应的文件中查找若有与所述数据以及调用的函数相匹配的：节点IE的内容、节点Patch的内容和节点TargetAddr的内容，则确定该进程为病毒进程；其中，所述节点IE的内容为搜索IE窗口控件时使用的内容，所述节点Patch的内容为修改IE网页内容时使用的内容，所述TargetAddr的内容为网购木马病毒要盗取的对应网购地址。

本发明的实施例还提供一种识别病毒的装置，包括：

内存截取模块，用于获取用户访问在线支付网站时的内存中的原始内存信息，并对所述原始内存信息进行转存；

获取模块，用于对转存后的所述原始内存信息进行分析，获得访问所述在线支付网站中被访问过程中运行的进程的相关信息；

识别模块，用于根据所述进程的相关信息，对当前运行的进程是否是病毒样本对应的进程进行识别。

其中，所述内存截取模块包括：

设置模块，用于提高查看系统权限的权限值；

获得模块，用于基于提高后的权限值，获得要转存的进程的内存空间地址；其中所述要转存的进程为访问所述在线支付网站中被访问过程；

转存模块，用于根据所述内存空间地址，对所述内存空间中的内容进行转存，并将转存的内容保存为一个文件。