[发明专利]一种基于木马病毒种类分类建模的木马检测方法

说明书

技术领域

本发明涉及一种木马检测方法，特别涉及一种基于木马病毒种类分类建模的木马检测方法。

背景技术

目前网页篡改、网络盗号、拒绝服务攻击、系统入侵、蠕虫病毒传播、恶意软件威胁等网络安全事件屡见不鲜，而其中感染计算机病毒木马程序的情况最为突出。木马程序以其隐蔽性强等特点进行窃取密码、控制系统等操作，已成为严重的安全威胁。木马编写技术的迅速发展给安全软件带来了新的挑战，代码变形与加壳技术等技术的运用使得各种木马的变种程序横行于网络，使得传统的木马检测技术失去了作用。

发明内容

本发明的目的就在于为了解决上述问题而提供一种能够对未知新型木马进行快速的识别和分析的基于木马病毒种类分类建模的木马检测方法。

本发明通过以下技术方案来实现上述目的：

一种基于木马病毒种类分类建模的木马检测方法，包括以下步骤：

（1）对已发现的木马按照其特征进行分类；按照启动特征分类有注册表类木马、服务启动类木马、BIOS类木马等，按照传播途径分类有：autorun木马、伪装类木马、蠕虫类等，按照木马文件类型分类有：exe类型木马、动态库类木马、驱动型木马等。

（2）按照一定的算法，对每种类别的特征进行建模，形成一个带有模式化匹配的木马识别类库；例如autorun木马，此类木马的共同特征是都会在盘符根目录下生成一个autorun.inf文件，同时此类木马都存在可执行文件与autorun.inf对应，此类木马都能够访问网络，那么autorun.inf文件、可执行文件和访问网络，就能够作为此类木马的共同特征来进行查杀。

（3）收集操作系统特征，并通过步骤（2）的木马识别类库识别木马并定位到木马所属的类别和特征；文件1.exe在系统中，它在某位置拥有启动项，同时，它修改了某些系统敏感文件，那么我们就说我们能够通过这些特征定位到1.exe归属于哪一类的木马。同时，建模也能够根据进程建模，如，进程1.exe是通过某种方式启动，同时又注入了某些进程，访问了某些文件或网络地址，我们就能够通过这些特征来定位进程1.exe是归属与哪一类。

（4）定位可疑项，根据系统的网络访问行为或者自启动行为，定位在系统中属于可疑项的活动，然后再根据这些可疑项的特征，加以类库匹配，定位出木马的位置；首先，在系统的众多进程、文件中，先确定哪些属于可疑。确定可疑的方法主要通过是否具有网络访问行为。在实际木马运行中，特别是在断网的情况下，木马会不停的去探测网络是否连通，根据这个特点，我们能够去定位系统中的可疑项，然后对这些可疑项依据类库中的特征进行分析，找出木马的所在。

（5）根据步骤（3）收集的操作系统特征，通过算法在类库中进行模式匹配来识别系统中的木马；在进行木马分析的时候，先对系统相关信息、进程相关信息、网络相关信息等系统信息进行枚举，然后将枚举的结果按照类库中对特征的描述归类。这些枚举的点在行为分析的过程中被称为取样分析，在操作系统中获取木马行为可能存在的样本，拿这些取到的样本，到木马类别库中进行匹配分析系统中是否存在木马，以及木马有哪些行为等。

（6）发现与类库中模式相匹配则判断为检测到木马，并列举此木马进行过程中的所有操作以及此类木马的特征行为。

进一步地，所述木马识别类库能够按照不同类别单独使用，也能够将类库整体结合组成一个庞大的类库网络使用。对于有些特种木马来说，不一定是简单的集成一种木马类库，更有可能是混杂、集合了多种类库的优点。基于这个原因，我们能够把以上类库结合起来，组成一个庞大的木马类别行为识别网络，相互配合来完成木马的追踪定位分析功能。

本发明的有益效果在于：

本发明能够对系统中存在的木马，特别是对未知新型木马进行快速的识别、分析。不但能够告诉使用者木马文件的位置，还能够告诉使用者木马具有的功能和木马可能在系统里面做哪些操作，此种检测方式与传统检测方式相比，对木马的检测能力，特别是在对未知新型木马的识别和检测能力上，有着很大的提高。

附图说明

图1是本发明一种基于木马病毒种类分类建模的木马检测方法的流程图；

图2是本发明中的木马A的工作流程图。

具体实施方式

下面结合附图对本发明作进一步说明：

如图1所示，本发明一种基于木马病毒种类分类建模的木马检测方法，包括以下步骤：

（1）对已发现的木马按照其特征进行分类；