[发明专利]一种基于威胁情报的远控类木马卸载方法及装置

说明书

本申请实施例提供一种基于威胁情报的远控类木马卸载方法及装置，其中，该方法包括：获取不同类型的木马；对不同类型的木马进行引流处理；获取不同类型的木马的威胁情报；根据威胁情报获取远控类木马及远控类木马对应的家族信息；根据家族信息提取远控类木马对应的卸载指令；根据卸载指令对远控类木马进行卸载。实施本申请实施例，对远控类木马进行识别并下发卸载指令，可以降低误报率，有效识别远控类木马并卸载。

技术领域

本申请涉及网络安全技术领域，具体而言，涉及一种基于威胁情报的远控类木马卸载方法及装置。

背景技术

传统的木马卸载方式是根据恶意木马程序的流量特征，即对木马的协议进行分析，通过复现、对比、提取恶意木马程序中不变化的流量作为特征，或者指纹信息进行识别。

然而，这样的方法主要是依赖传统流量特征的检测识别木马，从而根据获取的该木马的自销毁指令，很多远控木马具备自删除的指令，不同木马的自删除指令根据木马作者的编写而各不相同。容易产生误报导致误报率高，从而导致下发的指令无效，甚至在特定情况可能导致业务程序崩溃。并且存在检测盲区，没有与已知的威胁情报进行联动。

发明内容

本申请实施例的目的在于提供一种基于威胁情报的远控类木马卸载方法、装置、电子设备及计算机可读存储介质，不完全依赖木马协议特征，对远控类木马进行识别并下发卸载指令，可以降低误报率，有效识别远控类木马并卸载。

第一方面，本申请实施例提供了一种基于威胁情报的远控类木马卸载方法，所述方法包括：

获取不同类型的木马及对应的威胁情报；

对所述不同类型的木马进行引流处理；

根据所述威胁情报获取远控类木马及所述远控类木马对应的家族信息；

根据所述家族信息提取所述远控类木马对应的卸载指令；

根据所述卸载指令对所述远控类木马进行卸载。

在上述实现过程中，不依赖流量特征对木马进行卸载，保证卸载指令的有效性，可以准确识别木马，并降低木马卸载过程中的误报率，在保证木马卸载的同时不会对正常程序造成损坏。

进一步地，所述对所述不同类型的木马进行引流处理的步骤，包括：

获取所述木马对应的端口信息；

根据所述端口信息与反制装置建立连接。

在上述实现过程中，不依赖流量特征，使得木马的识别准确率更高，不会发生遗漏木马的情况，同时可以节省发现木马的时间，使得反制装置可以在短时间内将木马进行卸载。

进一步地，所述根据所述威胁情报获取远控类木马及所述远控类木马对应的家族信息的步骤，包括：

获取所述威胁情报获得远控类木马及所述远控类木马对应的子标签；

根据所述子标签获取所述远控类木马对应的家族信息。

在上述实现过程中，根据远控类木马威胁情报的子标签获取相应的家族信息，可以根据远控类木马不同的家族信息对远控类木马进行后续处理，更具有针对性，且不会出现遗漏。

进一步地，所述根据所述威胁情报获取远控类木马及所述远控类木马对应的家族信息的步骤，还包括：

根据所述家族信息提取所述远控类木马中相应的信息收集指令；

根据所述信息收集指令对所述远控类木马进行协议匹配，若匹配成功，确认所述家族信息为正确的，并得到所述协议匹配后的返回数据包。

在上述实现过程中，根据协议匹配规则列表进行特征匹配，可以保证远控类木马识别的准确率，避免将其他程序进行误卸载，节省了卸载时所耗费的时间和内存。

进一步地，所述根据所述远控类木马威胁情报获得远控类木马及所述远控类木马对应的家族信息的步骤，包括：

获取威胁情报数据库；