[发明专利]自膨胀病毒拦截方法及系统

权利要求书

1.一种自膨胀病毒拦截方法，其特征在于包括以下步骤：

监测系统是否出现新进程；

判断所述新进程所对应的程序文件大小是否大于预设的大文件阈值；

分析大于预设阈值的程序文件是否为高压缩比文件；

根据所述高压缩比文件判断结果，决定是否查杀所述新进程并发出相应的警示信息。

2.根据权利要求1所述的自膨胀病毒拦截方法，其特征在于：

所述大文件阈值大于等于最大可上传至云端服务器进行病毒检测的文件大小值。

3.根据权利要求1所述的自膨胀病毒拦截方法，其特征在于，在根据所述高压缩比文件判断结果，决定是否查杀所述新进程并发出相应的警示信息之后，还包括以下步骤：

删除所述高压缩比文件。

4.根据权利要求1所述的自膨胀病毒拦截方法，其特征在于，所述分析大于预设阈值的程序文件是否为高压缩比文件，具体包括如下子步骤：

获取所述程序文件的代码段、数据段、自定义区域、以及文件尾四段数据分别占整个程序文件的大小比重；

判断比重最大的数据段的比重是否大于预设的畸形阈值；

若大于，则将所述比重最大的畸形数据段均分为多个子段，再将各个子段均分为多个子块；

分别计算各个子块的数值，采用去重复的方法获得所有子块中数值互不相同的子块数目；

判断所述子块数目是否小于预设的允许重复阈值，若小于则确定该自膨胀文件是否为高压缩比文件。

5.根据权利要求4所述的自膨胀病毒拦截方法，其特征在于：

所述畸形阈值为70%，所述子段的大小为256K字节，所述子块的大小为256字节，所述允许重复阈值为100个。

6.一种自膨胀病毒拦截系统，其特征在于包括以下模块：

进程监测模块，用于监测系统是否出现新进程；

程序文件大小判断模块，用于判断所述新进程所对应的程序文件大小是否大于预设的大文件阈值；

高压缩比文件分析模块，用于分析大于预设阈值的程序文件是否为高压缩比文件；

进程查杀模块，用于根据所述高压缩比文件判断结果，决定是否查杀所述新进程并发出相应的警示信息。

7.根据权利要求6所述的自膨胀病毒拦截系统，其特征在于：

所述大文件阈值大于等于最大可上传至云端服务器进行病毒检测的文件大小值。

8.根据权利要求6所述的自膨胀病毒拦截系统，其特征在于，该系统还包括以下模块：

病毒文件删除模块，用于在进程查杀模块执行之后，删除所述高压缩比文件。

9.根据权利要求6所述的自膨胀病毒拦截系统，其特征在于，所述高压缩比文件分析模块具体包括如下子模块：

比重计算模块，用于获取所述程序文件的代码段、数据段、自定义区域、以及文件尾四段数据分别占整个程序文件的大小比重；

畸形数据段判断模块，用于判断比重最大的数据段的比重是否大于预设的畸形阈值；

畸形数据段分割模块，用于若大于则将所述比重最大的畸形数据段均分为多个子段，再将各个子段均分为多个子块；

去重复模块，分别计算各个子块的数值，采用去重复的方法获得所有子块中数值互不相同的子块数目；

确定判断模块，判断所述子块数目是否小于预设的允许重复阈值，若小于则确定该自膨胀文件是否为高压缩比文件。

10.根据权利要求9所述的自膨胀病毒拦截系统，其特征在于：

所述畸形阈值为70%，所述子段的大小为256K字节，所述子块的大小为256字节，所述允许重复阈值为100个。