[发明专利]恶意程序发布检测方法、装置以及介质

权利要求书

1.一种恶意程序发布检测方法，其特征在于，包括：

采集用于发起文件下载的HTTP请求消息，从所述HTTP请求消息中提取摘要信息；

从摘要信息中提取识别信息，将所述识别信息分别与恶意和安全网站识别库中预设的恶意网站识别信息和可信网站识别信息进行匹配，

如果所述摘要信息与所述恶意和安全网站识别库中预设的恶意网站识别信息或可信网站识别信息匹配成功，则确定所述摘要信息为对于恶意网站或对于可信网站的摘要信息，并将此摘要信息按照预设比例作为训练样本和测试样本对决策分类器进行训练；

如果所述摘要信息与所述恶意和安全网站识别库中预设的恶意网站识别信息和可信网站识别信息没有匹配成功，则获得与所述摘要信息相关联的用于识别可疑恶意网站的特征信息，将所述摘要信息和所述特征信息输入到所述决策分类器进行分类处理，确定所述摘要信息为对于可疑恶意网站的摘要信息或对于可信网站的摘要信息；

如果确定所述摘要信息为对于可疑恶意网站的摘要信息，则基于与此摘要信息对应的HTTP请求消息生成对于此可疑恶意网站的可疑恶意资源的下载连接信息；

将多个所述可疑恶意资源的下载连接信息进行关联处理，进行恶意程序分发特征分析、获得可疑恶意下载候选连接，生成可疑恶意资源的下载连接网络节点图，通过对包含恶意主机的网络节点图的叠加，得到恶意程序发布网络的信息和网络基础架构，确定可疑恶意资源的网络发布信息；

其中，所述识别信息包括：域名、URL、IP地址，所述下载连接网络节点图中的节点包括：IP地址、域名、URL路径、文件名和下载文件。

2.如权利要求1所述的方法，其特征在于，所述从所述HTTP请求消息中提取摘要信息包括：

基于预设的提取规则从所述HTTP请求中提取摘要信息；

其中，所述摘要信息包括域名、URL、源IP地址、目的IP地址、端口号、URI、用户代理头字段中的至少一个以及下载文件前K个字节内容的哈希值，K为配置参数。

3.如权利要求1所述的方法，其特征在于，所述获得与所述摘要信息相关联的用于识别可疑恶意网站的特征信息包括：

获得与所述摘要信息中的同一个URI相关联的文件下载记录；

如果确定与所述文件下载记录对应的不同下载文件的数量大于预设的文件数量阈值，则将所述文件下载记录作为关于文件变异的特征信息。

4.如权利要求1所述的方法，其特征在于，所述获得与所述摘要信息相关联的用于识别可疑恶意网站的特征信息包括：

获取与所述摘要信息中的IP地址相同但域名不同的文件下载记录；

利用聚类的方法发现内容发布网络，统计与此下载记录相对应的可疑内容发布网络的特征信息，其中，所述可疑内容发布网络的特征信息包括：顶级域名数量、URI路径数量、文件数量、文件类型。

5.如权利要求1所述的方法，其特征在于，所述获得与所述摘要信息相关联的用于识别可疑恶意网站的特征信息包括：

查询历史下载记录，如果确定所述摘要信息中的域名、IP地址和下载可执行文件仅与一个URI相对应，并且该URI只包括一个HTML网页，则确定此摘要信息为与其对应的可疑恶意资源通过专用主机下载的特征信息。

6.如权利要求1所述的方法，其特征在于，所述获得与所述摘要信息相关联的用于识别可疑恶意网站的特征信息包括：

获取与所述摘要信息中的目的IP地址和用户代理，查找与同一IP地址联系了一次以上且使用了不同的用户代理的记录，并统计用户代理相关的可执行文件下载的数量，作为关于漏洞利用的特征信息。