[发明专利]电子装置及检测恶意文件的方法

权利要求书

1.一种检测恶意文件的方法，其特征在于，包括：

搜寻一执行文件，并拆解该执行文件以得到一导入表，其中该导入表至少包括一第一动态连结函式库的名称及一第二动态连结函式库的名称；

计算该第一动态连结函式库与该第二动态连结函式库之间的一距离；

判断该距离是否超过一门槛值，该门槛值是相关于多个正常动态连结函式库之间的距离的一平均值及一标准差；

若该距离未超过该门槛值，则判断该执行文件为正常文件；以及

若该距离超过该门槛值，则检查该执行文件中是否存在与该导入表重复的内容，若该执行文件中存在与该导入表重复的内容，则判断该执行文件为恶意文件。

2.根据权利要求1所述的方法，其特征在于，若该执行文件中不存在与该导入表重复的内容，则判断该执行文件为正常文件。

3.根据权利要求1所述的方法，其特征在于，该导入表更包括该第一动态连结函式库中的多个第一函式的名称与该些第一函式的地址，以及该第二动态连结函式库中的多个第二函式的名称与该些第二函式的地址，该距离为该些第一函式中的最后一个第一函式的地址与该些第二函式中的第一个第二函式的地址相减而得。

4.根据权利要求3所述的方法，其特征在于，该些第一函式的地址及该些第二函式的地址为相对虚拟地址。

5.根据权利要求3所述的方法，其特征在于，该门槛值为该平均值加上两倍的该标准差。

6.根据权利要求1所述的方法，其特征在于，该门槛值大于300位元组。

7.一种检测恶意文件的方法，其特征在于，包括：

搜寻一执行文件，并拆解该执行文件以得到一导入表，其中该导入表至少包括一第一动态连结函式库的名称及一第二动态连结函式库的名称；

检查该执行文件中是否存在另一导入表的部分内容与该导入表的全部内容重复；以及

若该执行文件中存在与该导入表重复的内容，则判断该执行文件为恶意文件。

8.一种电子装置，其特征在于，包括：

一储存单元，用以储存一执行文件；以及

一处理器，用以搜寻该执行文件，并拆解该执行文件以得到一导入表，其中该导入表至少包括一第一动态连结函式库的名称及一第二动态连结函式库的名称；

该处理器计算该第一动态连结函式库与该第二动态连结函式库之间的一距离，并判断该距离是否超过一门槛值，该门槛值是相关于多个正常动态连结函式库之间的距离的一平均值及一标准差；

其中若距离未超过该门槛值，则该处理器判断该执行文件为正常文件；

若该距离超过该门槛值，则该处理器检查该执行文件中是否存在与该导入表重复的内容，若该执行文件中存在与该导入表重复的内容，则该处理器判断该执行文件为恶意文件。

9.根据权利要求8所述的电子装置，其特征在于，若该执行文件中不存在与该导入表重复的内容，则该处理器判断该执行文件为正常文件。

10.根据权利要求8所述的电子装置，其特征在于，该导入表更包括该第一动态连结函式库中的多个第一函式的名称与该些第一函式的地址，以及该第二动态连结函式库中的多个第二函式的名称与该些第二函式的地址，该处理器将该些第一函式中的最后一个第一函式的地址与该些第二函式中的第一个第二函式的地址相减得到该距离。

11.根据权利要求10所述的电子装置，其特征在于，该些第一函式对应的地址及该些第二函式对应的地址为相对虚拟地址。

12.根据权利要求8所述的电子装置，其特征在于，该门槛值为该平均值加上两倍的该标准差。

13.根据权利要求8所述的电子装置，其特征在于，该门槛值大于300位元组。

14.一种电子装置，其特征在于，包括：

一储存单元，用以储存一执行文件；以及

一处理器，用以搜寻该执行文件，并拆解该执行文件以得到一导入表，其中该导入表至少包括一第一动态连结函式库的名称及一第二动态连结函式库的名称；

该处理器检查该执行文件中是否存在另一导入表的部分内容与该导入表的全部内容重复；以及

若该执行文件中存在与该导入表重复的内容，则该处理器判断该执行文件为恶意文件。