[发明专利]快速检测恶意代码的方法和系统

说明书

技术领域

本发明涉及恶意代码检测技术，特别涉及快速检测恶意代码的方法和系统。

背景技术

随着计算机技术的飞速发展，计算机主要存储设备硬盘的容量不断增大，用户安装软件越来越多，硬盘中文件数量和容量不断增加。

很多恶意代码会将自己复制到system32、startup等windows固定、敏感目录下，传统的常规引擎将这些目录列为高危目录，通过对这些目录的所有文件进行扫描来实现快速扫描，但是这个目录下的绝大多数文件都是正常的。  

传统的检测技术，受限磁盘IO读取速度，要做到全面准确的检测病毒需要一个漫长的等待过程，特别是T级硬盘已经成为主流存储设备的今天，检测速度成为了杀毒软件首当其冲需要解决的难题。

。

发明内容

本发明提供快速检测恶意代码的方法和系统，用以提高对恶意代码的检测速度。

一种快速检测恶意代码的方法，包括：

获取预先设定的检测点的所有文件；

对获取的所有文件进行常规引擎扫描；

如果发现可疑文件，则上报可疑文件；

如果没有发现可疑文件，则对所有文件中用于行为模式判定的检测点的文件进行行为模式判定；

如果发现可疑文件，则上报可疑文件。

所述方法中，所述预先设定的检测点包括只用于常规引擎扫描的检测点，和用于常规引擎扫描及行为模式判定的检测点；

用于行为模式判定的检测点为用于常规引擎扫描及行为模式判定的检测点。

所述方法中，所述只用于常规引擎扫描的检测点包括驱动程序、服务模块、内核模块、IE插件、映像劫持和桌面文件中的至少一个检测点：

驱动程序，具体为：通过系统提供的API（Application Programming Interface,应用程序编程接口）枚举所得的当前系统加载的所有驱动程序；

服务模块，具体为：通过系统提供的API枚举所得的当前系统加载的所有服务模块；

内核模块，具体为：通过系统提供的Native API（系统原生API）枚举所得的系统加载的所有内核模块；

IE（Windows Internet Explorer，一般称成Internet Explorer，简称IE，是微软公司推出的一款网页浏览器）插件，具体为：通过扫描系统注册表相应键值，所得的所有IE插件；

映像劫持，具体为：通过扫描系统注册表相应键值，所得的所有映像劫持；

桌面文件，具体为：当前系统所有桌面文件及快捷方式所指向的文件。

所述方法中，所述用于常规引擎扫描及行为模式判定的检测点包括进程模块、启动项、进程加载的模块、加载的系统服务、可执行文件1和可执行文件2中的至少一个检测点：

进程模块，具体为：通过枚举方法所得的当前系统加载的所有进程的二进制映像路径； 

启动项，具体为：通过扫描所有在系统启动时启动程序的方法，枚举系统的启动项； 

进程加载的模块，具体为：通过枚举方法所得的系统特定进程下所有加载的模块； 

可执行文件1，具体为：非只读类文件系统下的autorun.inf及其指向的可执行文件；

可执行文件2，具体为：本身不包含可执行文件的目录下的可执行文件。

所述方法中，通过枚举方法所得的当前系统加载的所有进程的二进制映像路径中的枚举方法为下述至少一种方法：

通过系统提供的PSAPI（Process Status Application Programming Interface，进程状态应用程序编程接口）进行枚举的方法；

通过系统提供的Native API进行枚举的方法；

通过枚举PID（Process Identifier，进程控制符）的方法。

所述方法中，通过枚举方法所得的系统特定进程下所有加载的模块中的枚举方法为：通过系统提供的PSAPI进行枚举和/或枚举进程用户空间的方法。

所述方法中，加载的系统服务，具体为：通过对HIVE文件（windows系统注册表文件的组织格式）进行格式解析和/或遍历当前系统加载的注册表相应键值的方法获得的所有加载的系统服务。

所述方法中，对获取的所有文件进行常规引擎扫描之前，还可以对所获取的所有文件进行消重处理，从而提高后续扫描、判定的效率。