[发明专利]恶意程序检测方法

权利要求书

1.一种恶意程序检测方法，其包括：

建立合法程序的白名单并对所述白名单进行更新，其中，所述白名单保存合法程序特征和/或合法程序行为；

收集一程序的程序特征和/或程序行为；

将收集的所述程序的程序特征和/或程序行为与所述白名单中的合法程序特征和/或合法程序行为进行比对并根据比对结果判断所述程序是否为恶意程序。

2.如权利要求1所述的方法，其中，将收集的所述程序的程序特征和/或程序行为与所述白名单中的合法程序特征和/或合法程序行为进行比对并根据比对结果判断所述程序是否为恶意程序，进一步包括：将所述程序特征和/或程序行为与所述白名单中保存的合法程序特征和/或合法程序行为进行比对，如果命中，则判定所述程序为合法程序；如果没有命中，则判定所述程序为恶意程序。

3.如权利要求2所述的方法，其中，将收集的所述程序的程序特征和/或程序行为与所述白名单中的合法程序特征和/或合法程序行为进行比对并根据比对结果判断所述程序是否为恶意程序，进一步包括：将所述程序的一组程序特征和/或一组程序行为与所述白名单中保存的合法程序特征和/或合法程序行为进行比对，根据命中的程度，对所述程序赋予一信任值；

如果所述信任值小于预定阈值，则判定所述程序为恶意程序。

4.如权利要求3所述的方法，其中，所述信任值按下面进行赋予：

如果所述一组程序特征和/或一组程序行为在所述白名单中全部命中，则对所述程序赋予一最高信任值；

如果所述一组程序特征和/或一组程序行为在所述白名单中全部未命中，则对所述程序赋予一最低信任值。

5.如权利要求2或3所述的方法，还包括：根据所述判定结果并结合所述恶意程序的属性，决定是否对该恶意程序行为进行拦截、终止执行该恶意程序和/或清理该恶意程序。

6.如权利要求5所述的方法，其中，所述建立合法程序的白名单并对所述白名单进行更新进一步包括：

根据现有已知白名单中的合法程序特征及其对应的程序行为，对未知程序特征及程序行为进行分析，以更新白名单。

7.如权利要求6所述的方法，其中，所述程序特征包括程序文件内的静态特征和/或静态特征串。

8.如权利要求7所述的方法，其中，所述对未知程序特征及其程序行为进行分析的步骤包括：

如果未知程序特征与现有白名单中的已知程序特征相同，则将该未知程序特征及其程序行为列入白名单；

如果未知程序行为与现有白名单中的已知程序行为相同或近似，则将该未知程序行为及其程序特征列入白名单；

当某程序行为被列入白名单时，将该程序行为对应的程序特征列入白名单，并将与该程序行为有关联关系的其他程序行为和程序特征也列入白名单；和/或

当某程序特征被列入白名单时，将该程序特征对应的程序行为列入白名单，并将与该程序特征有关联关系的其他程序行为和程序特征也列入白名单。

9.如权利要求8所述的方法，其中，所述建立合法程序的白名单并对所述白名单进行更新进一步包括：

在具有相同或近似行为的程序之间建立行为与特征的关联关系，根据所述具有相同或近似行为的程序之间的关联关系，对未知程序特征及程序行为进行分析，以更新白名单。