[发明专利]发现疑似恶意信息、追踪恶意文件的方法及装置

说明书

技术领域

 本发明涉及计算机技术领域，特别是涉及发现疑似恶意信息、追踪恶意文件的方法及装置。

背景技术

为了更好地保障用户在浏览网页、下载文件等过程中避免将带有病毒的文件或者木马文件等恶意文件带到本地，一些浏览器具备以下功能：当用户使用这种浏览器浏览访问网页时，浏览器会将被访问网页URL的HASH值发送给服务器的恶意网址库，查询该页面是否是挂马页面、恶意网址、钓鱼网站等，然后根据查询结果向用户发出危险告警或者拦截；同时，还可以对下载的文件进行分析，如果是恶意也会标示出来，或者向用户发出警告。

但是，杀毒技术基本上都是基于病毒库来防护和查杀的，也就是俗称的黑名单，并且黑名单中的记录基本上需要通过人工的方式发现并进行添加，使得从产生一个新的病毒或木马，到全面地有效拦截存在延迟，因此，也就很难第一时间对付新的木马或病毒。

因此，迫切需要本领域技术人员解决的技术问题就在于，如何更加快速地发现恶意文件，缩短病毒或木马等恶意程序从产生到被拦截之间的延迟。

发明内容

本发明提供了发现疑似恶意信息、追踪恶意文件的方法及装置，能够更加快速地发现恶意文件，缩短病毒或木马等恶意程序从产生到被拦截之间的延迟。

本发明提供了如下方案：

一种发现疑似恶意信息的方法，包括：

统计文件下载链接、文件下载链接网站域名、文件下载链接所在的父页面以及父页面的网站域名之间的对应关系；

获取各个文件下载链接对应的文件的特征信息；

根据所述对应关系以及所述特征信息进行分析，判断是否存在特定的异常情况，如果是，且未被标识为恶意信息，则发出用以表示存在疑似恶意信息的报警消息；其中，所述疑似恶意信息包括疑似新的恶意文件，和/或疑似新的恶意文件的下载链接，和/或疑似新的恶意文件下载链接的父页面。

其中，所述根据所述对应关系以及所述特征信息进行分析，判断是否存在特定的异常情况包括：

如果同一文件下载链接网站域名下存在多个不同的文件下载链接，并且不同的文件下载链接对应的是同一个文件，则存在异常情况。

其中，通过以下方式判断不同的文件下载链接对应的文件是否为同一个文件：

如果不同的文件下载链接对应的文件具有相同的文件名、MD5值，并且文件大小相等，则不同的文件下载链接对应的是同一个文件；

或者，

如果不同的文件下载链接对应的文件具有不同的文件名及MD5值，但文件大小相等，则取各个文件中相同位置处的数据进行比较，如果相同，则不同的文件下载链接对应的是同一个文件；

或者，

如果不同的文件下载链接对应的文件具有不同的文件名、MD5值及文件大小，则取各个文件中相同位置处的数据进行比较，如果相同，则不同的文件下载链接对应的是同一个文件。

一种追踪恶意文件的方法，包括：

根据按照权利要求1至3任一项所述的发现疑似恶意信息的方法发出的疑似恶意信息的报警消息，对恶意文件进行归类，形成恶意文件家族；

分析出恶意文件家族中的各文件对应的文件下载链接以及文件下载链接的网站域名包含的第一特征信息；

分析出恶意文件家族中的各文件对应的文件下载链接父页面以及父页面的网站域名包含的第二特征信息；

根据所述第一特征信息以及第二特征信息，分析出恶意文件家族中的恶意文件在传播方式上的发展变化趋势信息；

根据所述在传播方式上的发展变化趋势信息对恶意家族中的恶意文件进行追踪。

其中，所述第一特征信息包括所述文件下载链接的网站域名的持有人以及指向的IP地址；所述第二特征信息包括所述文件下载链接的父页面的网站域名的持有人、指向的IP地址以及是否为所述父页面自身传播，或借助所述父页面传播。

其中，所述分析出恶意文件家族中的恶意文件在传播方式上的的发展变化趋势信息包括：

分析出恶意文件家族中的恶意文件是否固定在特定域名持有人的站点进行传播；

所述根据所述在传播方式上的发展变化趋势信息对恶意家族中的恶意文件进行追踪包括：

在域名持有人为所述特定持有人的站点，对所述恶意文件家族中的恶意文件进行追踪。

一种发现疑似恶意信息的装置，包括：

统计单元，用于统计文件下载链接、文件下载链接网站域名、文件下载链接所在的父页面以及父页面的网站域名之间的对应关系；

特征信息获取单元，用于获取各个文件下载链接对应的文件的特征信息；