[发明专利]系统恶意程序检测方法及装置

权利要求书

1.一种系统恶意程序检测方法，其特征在于，包括：

遍历系统内核空间，获取活跃的驱动程序列表；

从所述驱动程序列表中取出驱动程序，获取驱动程序信息；

基于所述驱动程序信息将所述驱动程序与预先建立的恶意代码特征库中的特征组合进行特征匹配，以检测所述驱动程序是否为恶意程序。

2.根据权利要求1所述的方法，其特征在于，所述基于驱动程序信息将所述驱动程序与预先建立的恶意代码特征库中的特征组合进行特征匹配，以检测所述驱动程序是否为恶意程序的步骤包括：

根据所述驱动程序信息获取所述驱动程序的自身代码特征，并进行系统关键调用路径的扫描检测；

当该驱动程序篡改系统内核关键调用路径时，获取该驱动程序篡改的系统内核关键调用路径；

将所述驱动程序的自身代码特征和该驱动程序篡改的系统内核关键调用路径与预先建立的恶意代码特征库中的第一条特征组合进行匹配；

若匹配成功，则检测出所述驱动程序为恶意程序；

否则，将所述驱动程序的自身代码特征和该驱动篡改的系统内核关键调用路径与预先建立的恶意代码特征库中的下一条特征组合进行匹配；直至匹配成功；或者，当所述驱动程序与所述恶意代码特征库中所有特征组合均不匹配时，检测出所述驱动程序不是恶意程序。

3.根据权利要求1或2所述的方法，其特征在于，还包括：

当检测出所述驱动程序为恶意程序时，从预先建立的恶意修复方法库中获取对应的清除修复策略，对所述驱动程序进行清除修复。

4.根据权利要求3所述的方法，其特征在于，所述遍历系统内核空间，获取活跃的驱动程序列表的步骤之前还包括：

对采集的恶意类样本进行特征组合提取，建立恶意代码特征库，并为每一特征组合分配对应的规则ID。

5.根据权利要求4所述的方法，其特征在于，所述遍历系统内核空间，获取活跃的驱动程序列表的步骤之前还包括：

建立恶意修复方法库，为每一规则ID的特征组合对应分配一清除修复策略。

6.根据权利要求5所述的方法，其特征在于，所述从预先建立的恶意修复方法库中获取对应的清除修复策略，对所述驱动程序进行清除修复的步骤包括：

根据与所述驱动程序匹配的特征组合的规则ID，从所述恶意修复方法库中获取对应的清除修复策略；

采用所述对应的清除修复策略，对所述驱动程序进行清除修复。

7.根据权利要求6所述的方法，其特征在于，对所述驱动程序进行清除修复的方式包括：

清除所述驱动程序自身在系统内存中的恶意指令；修复被所述驱动程序篡改的系统内核关键调用路径；删除所述驱动程序对应的文件体；和/或删除所述驱动程序注册的系统服务项。

8.一种系统恶意程序检测装置，其特征在于，包括：

驱动程序列表获取模块，用于遍历系统内核空间，获取活跃的驱动程序列表；

驱动程序信息获取模块，用于从所述驱动程序列表中取出驱动程序，获取驱动程序信息；

检测模块，用于将所述驱动程序信息与预先建立的恶意代码特征库中的特征组合进行特征匹配，以检测所述驱动程序是否为恶意程序。

9.根据权利要求8所述的装置，其特征在于，所述检测模块包括：

特征获取单元，用于根据所述驱动程序信息获取所述驱动程序的自身代码特征，并进行系统关键调用路径的扫描检测；当该驱动程序篡改系统内核关键调用路径时，获取该驱动程序篡改的系统内核关键调用路径；

匹配单元，用于将所述驱动程序的自身代码特征和该驱动程序篡改的系统内核关键调用路径与预先建立的恶意代码特征库中的第一条特征组合进行匹配；

检测单元，用于当所述匹配单元匹配成功时，检测出所述驱动程序为恶意程序；否则，由所述匹配单元将所述驱动程序的自身代码特征和该驱动篡改的系统内核关键调用路径与预先建立的恶意代码特征库中的下一条特征组合进行匹配；直至匹配成功；或者，用于当所述驱动程序与所述恶意代码特征库中所有特征组合均不匹配时，检测出所述驱动程序不是恶意程序。

10.根据权利要求8所述的装置，其特征在于，还包括：

修复模块，用于当检测出所述驱动程序为恶意程序时，从预先建立的恶意修复方法库中获取对应的清除修复策略，对所述驱动程序进行清除修复。