[发明专利]一种恶意软件拦截方法及装置

说明书

技术领域

本发明涉及网络安全技术领域，尤其涉及一种恶意软件拦截方法及装置。

背景技术

“零日漏洞”(zero-day)又叫零时差攻击，是指被发现后立即被恶意利用的安全漏洞。通俗地讲，即安全补丁与瑕疵曝光的同一日内，相关的恶意程序就出现。这种攻击往往具有很大的突发性与破坏性。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：在行业中，尤其是要求比较严格的金融业，终端安全没有弹性的空间，通常采取“先拦截，再询问”的理念，即先拦截所有可执行文件或应用软件，直到每一个可执行文件或应用软件都分析完。这种方式对用户来说，需要等待分析完之后，才可进行有关的操作。

发明内容

本发明的主要目的在于提出一种恶意软件拦截方法及装置，旨在解决现有技术存在的问题。

为实现上述目的，本发明实施例第一方面提供一种恶意软件拦截方法，所述方法包括步骤：

对应用软件进行识别；

若识别出该应用软件为可疑文件，则将所述可疑文件载入内存进行分析，并生成内存分析结果；

根据所述内存分析结果触发应用软件遏制操作；所述应用软件遏制操作包括拦截恶意软件的进程操作。

结合本发明实施例的第一方面，本发明实施例的第一方面的第一种实现方式中，所述步骤对应用软件进行识别包括：

若应用软件的信息摘要算法值或者哈希值不在特征库中，则识别该应用软件为可疑文件。

结合本发明实施例的第一方面，本发明实施例的第一方面的第二种实现方式中，所述应用软件遏制操作还包括用户自定义的应用软件遏制操作。

结合本发明实施例的第一方面，本发明实施例的第一方面的第三种实现方式中，所述方法还包括步骤：

对所述可疑文件进行动态行为分析。

结合本发明实施例的第一方面，本发明实施例的第一方面的第三种实现方式中，所述方法还包括步骤：

共享所述可疑文件的信息。

此外，为实现上述目的，本发明实施例第二方面提供一种恶意软件拦截装置，所述装置包括识别模块、内存分析模块及遏制操作模块；

所述识别模块，用于对应用软件进行识别；

所述内存分析模块，用于若所述识别模块识别出该应用软件为可疑文件，则将所述可疑文件载入内存进行分析，并生成内存分析结果；

所述遏制操作模块，用于根据所述内存分析结果触发应用软件遏制操作；所述应用软件遏制操作包括拦截恶意软件的进程操作。

结合本发明实施例的第二方面，本发明实施例的第二方面的第一种实现方式中，所述识别模块，用于若应用软件的信息摘要算法值或者哈希值不在特征库中，则识别该应用软件为可疑文件。

结合本发明实施例的第二方面，本发明实施例的第二方面的第二种实现方式中，所述应用软件遏制操作还包括用户自定义的应用软件遏制操作。

结合本发明实施例的第二方面，本发明实施例的第二方面的第三种实现方式中，所述装置还包括动态行为分析模块；

所述动态行为分析模块，用于对所述可疑文件进行动态行为分析。

结合本发明实施例的第二方面，本发明实施例的第二方面的第四种实现方式中，所述装置还包括共享模块；

所述共享模块，用于共享所述可疑文件的信息。

本发明实施例提供的恶意软件拦截方法及装置，为灰色软件提供了一个备选的、基于行为的方法，通过规定它们在终端上的行为来预先遏制可疑应用；可以减少或消除灰色软件在终端进行恶意更改的能力，而不需要用户等待进行进一步代码分析；可以在终端正常工作时遏制进程；显著加快检测到修正再到保护的威胁防御生命周期、协同工作，形成一个集成的防御体系。

附图说明

图1为实现本发明各个实施例的移动终端的硬件结构示意图；

图2为如图1所示的移动终端的无线通信系统示意图；

图3为本发明实施例提供的恶意软件拦截方法流程示意图；

图4为本发明实施例提供的恶意软件拦截方法另一流程示意图；

图5为本发明实施例提供的恶意软件拦截装置结构示意图；

图6为本发明实施例提供的恶意软件拦截装置另一结构示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。