[发明专利]一种基于终端自启动项的静态木马检测方法

摘要

本发明一种基于终端自启动项的静态木马检测方法，所述方法包括以下步骤构建系统启动项的引擎分析模型，并进行全周期启动项变化监测；对经过系统启动项的引擎分析模型过滤后的数据进行灰名单智能分析；记录数据存入各自数据库；数据库静态扫描检测与数据库智能分析对比。本发明提供的基于终端自启动项的静态木马检测方法改变了传统基于启动项木马查杀模式，传统启动项木马检测都是基于已知木马行为进行查杀，对未知木马或基于应用启动的木马没有检测手段，通过对系统启动项引擎分析静态检测和全周期检测，能快速判定未知木马和检测到木马基于哪个启动项或什么动作启动，检测出的木马可以定位木马存储位置及其关联文件，即可直接手动查杀。

主权项

一种基于终端自启动项的静态木马检测方法，其特征在于：所述方法包括以下步骤：步骤1：构建系统启动项的引擎分析模型，并进行全周期启动项变化监测；步骤2：对经过系统启动项的引擎分析模型过滤后的数据进行灰名单智能分析；步骤3：记录数据存入各自数据库；步骤4：数据库静态扫描检测与数据库智能分析对比；所述步骤1包括以下步骤：步骤1‑1：构建系统启动项的引擎分析模型；系统启动项的引擎分析模型包括启动菜单、以前系统遗留文件、注册表、计划任务、启动项、组策略和自动启动服务；步骤1‑2：对与系统相关启动关联项进行分析记录；步骤1‑3：通过对启动项文件证书签名进行过滤，过滤正常文件的证书签名文件，全周期记录已构建的系统启动项的引擎分析模型中产生变化的检测数据，并对应用软件或后续关联启动项启动程序进行监控记录。