[发明专利]一种office文档文件的恶意代码检测方法及系统

权利要求书

1.一种office文档文件的恶意代码检测方法，其特征在于：包括如下步骤：

(S10)将待检测文档文件投入虚拟沙箱执行，并监控是否存在异常行为，若存在则判定待检测文档文件为疑似溢出文档文件，并进行进一步检测；

(S20)提取待检测文档文件的宏代码，将所述宏代码与恶意宏代码特征库匹配，若匹配成功则判定待检测文档文件为宏病毒文档文件，否则运行所述宏代码，并监控是否存在联网行为，若存在则进行进一步检测。

2.根据权利要求1所述的一种office文档文件的恶意代码检测方法，其特征在于：所述步骤(S10)中将待检测文档文件投入虚拟沙箱后，是通过运行各流行版本的office软件来监控是否存在异常行为。

3.根据权利要求1所述的一种office文档文件的恶意代码检测方法，其特征在于：所述步骤(S10)中监控是否存在异常行为包括：

是否存在可疑EXE进程链，若存在则提取相关EXE文件进行进一步检测；

是否存在联网行为，若存在则判断联网行为所涉及网络与白名单是否匹配，若匹配则判定为正常文件，否则提取相关EXE文件进行进一步检测。

4.根据权利要求3所述的一种office文档文件的恶意代码检测方法，其特征在于：提取相关EXE文件进行进一步检测的方法具体为：将EXE文件与文件白名单匹配，若匹配成功则判定为正常文件，否则按照已有策略对所述EXE文件进行恶意代码检测。

5.根据权利要求3所述的一种新型救生锤，其特征在于，所述联网行为存在的话，其进一步检测的方法包括：

若联网行为所涉及网路有活性，则下载可执行代码到本地，并进一步判断所述可执行代码是否恶意；

若联网行为所涉及网络已失活，则将所涉及网络与网络白名单匹配，若匹配失败则报警并判定为疑似宏病毒文档文件。

6.一种office文档文件的恶意代码检测系统，其特征在于，包括：

溢出文件检测模块，用于将待检测文档文件投入虚拟沙箱执行，并监控是否存在异常行为，若存在则判定待检测文档文件为疑似溢出文档文件，并进行进一步检测；

宏病毒检测模块，用于提取待检测文档文件的宏代码，将所述宏代码与恶意宏代码特征库匹配，若匹配成功则判定待检测文档文件为宏病毒文档文件，否则运行所述宏代码，并监控是否存在联网行为，若存在则进行进一步检测。