[发明专利]诱捕勒索病毒的方法及系统

权利要求书

1.一种诱捕勒索病毒的方法，其特征在于，包括：

释放诱饵文件到指定系统位置；

利用MINIFILTER过滤驱动框架可以监视到对诱饵文件的访问动作；

当监视到对诱饵文件的访问动作时，进行报警拦截。

2.根据权利要求1所述的诱捕勒索病毒的方法，其特征在于，利用MINIFILTER过滤驱动框架可以监视到对诱饵文件的访问动作，包括：

通过计算文件CRC匹配是否为设置的诱饵文件；

匹配上并且访问诱饵文件的进程非系统和自身软件进程，就认定访问动作是对诱饵文件的访问动作。

3.根据权利要求1所述的诱捕勒索病毒的方法，其特征在于，还包括：

在内核中注册进程创建回调函数；

当有进程创建时，进程过滤器计算当前创建进程的哈希值；

利用当前创建进程的哈希值匹配黑名单程序中的哈希值；

一旦匹配成功，触发拦截动作。

4.根据权利要求3所述的诱捕勒索病毒的方法，其特征在于，黑名单是计算程序文件哈希值。

5.根据权利要求3所述的诱捕勒索病毒的方法，其特征在于，哈希值保存在一个MAP容器中。

6.根据权利要求1所述的诱捕勒索病毒的方法，其特征在于，还包括：

开机启动时第三方程序的延时启动。

7.根据权利要求7所述的诱捕勒索病毒的方法，其特征在于，开机启动时第三方程序的延时启动，包括：

进程过滤回调函数中计算开机启动时间，在一个时间范围内认为是开机进入系统的空档期，这个期会有很多开机自启动程序启动，回调函数会拦截所有的进程，计算程序文件HASH值匹配是否为系统和自身进程，如果是就放过使之正常运行，如果是第三方进程，则会进入延时逻辑中。

8.一种诱捕勒索病毒的系统，其特征在于，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序；

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现根据权利要求1至7任意一项所述的诱捕勒索病毒的方法。