[发明专利]一种基于反向追踪的高威窃密恶意代码检测方法及系统

摘要

本发明公开了一种基于反向追踪的高威窃密恶意代码检测方法及系统，首先，在系统中预置诱饵文件和关键词库；监控诱饵文件，若存在进程和/或线程对所述诱饵文件进行非法操作，或者监控系统文件，若存在进程和/或线程对系统文件进行非法操作，则对所述系统文件进行关键词库匹配，若发现所述系统文件中存在关键词库中的敏感词汇，则定位所述进程和/或线程，并定位与所述进程和/或线程相关的可执行文件，并进行白名单匹配，匹配失败的为高威窃密恶意代码文件，并在此基础上进行关联对比，获取其他的相关联的高威窃密恶意代码文件。从而，克服了现有的恶意代码检测方法无法检测高威窃密恶意代码的缺点，并且该方法检测及时，不存在滞后性。

主权项

一种基于反向追踪的高威窃密恶意代码检测方法，其特征在于，包括：步骤1、在系统中预置文件名或者文件内容中包含敏感词汇的诱饵文件，并创建由敏感词汇构成的关键词库；步骤2、监控诱饵文件，若存在进程和/或线程对所述诱饵文件进行非法操作，则执行步骤3；监控系统文件，若存在进程和/或线程对系统文件进行非法操作，则对所述系统文件进行关键词库匹配，若发现所述系统文件的文件名或者文件内容中存在关键词库中的敏感词汇，则执行步骤3；步骤3、定位所述进程和/或线程，并反向定位与所述进程和/或线程相关的可执行文件；步骤4、针对所述可执行文件进行白名单匹配，如果匹配成功则所述可执行文件不是高威窃密恶意代码文件，否则所述可执行文件为高威窃密恶意代码文件，并执行步骤5；步骤5、提取系统中所述进程和/或线程以外的其他进程和/或线程相关的文件，并提取敏感目录文件；所述敏感目录包括：所述可执行文件所在目录、系统用户目录或者system32目录；步骤6、针对步骤5提取的文件进行白名单匹配，如果全部匹配成功则不存在相关联的高威窃密恶意代码文件，否则，执行步骤7；步骤7、将没有匹配成功的文件与步骤4所述的高威窃密恶意代码文件进行关联对比，对比成功的文件为相关联的高威窃密恶意代码文件。