[发明专利]磁盘引导区病毒识别方法及装置

说明书

技术领域

本发明涉及计算机技术领域，尤其涉及一种磁盘引导区病毒识别方法及装置。

背景技术

磁盘引导区病毒通常指的是通过感染MBR(Master Boot Record，磁盘主引导记录）的方式，实现比Windows操作系统更早启动、绕过安全软件检查的病毒，比如bootkit病毒。

目前安全厂商一般都采取检查本机MBR的方式来发现引导区病毒，通常先收集各种已知引导区感染后的MBR数据的黑样本，以及各种未感染引导区病毒的MBR数据的白样本，将收集的黑样本和白样本保存到后台服务器。杀毒软件在本地检查MBR时，首先读取MBR获取其特征值（比如md5值）并上传至服务器，与服务器上已经保存过的MBR特征值进行比对。一旦发现与已知黑样本数据一致，则认为感染病毒；发现与白样本数据一致，则不加处理；若发现既不是白样本，也不是黑样本，则上传为新样本，由人工分析来决定该新样本是黑样本还是白样本。

上述处理方式不能在用户端对未知的引导区病毒进行主动判定，必须上传至服务器分析并确认该病毒的存在之后才能进行处理，从而导致对引导区病毒的处理过于滞后，也不能对其进行及早拦截；由于部分病毒能够快速演化且MBR也不断衍生各种版本，而上述处理方式对每一种演化版本都只能当做未知病毒对待，且需要重新分析，进一步拖慢了对病毒的拦截速度；且MBR样本数量极多，逐一进行人工分析耗时巨大，也容易漏判。

发明内容

本发明的主要目的是提供一种硬盘引导区病毒的识别方法及装置，旨在解决不能及时、准确地识别新的引导区病毒的问题。

本发明实施例公开了一种磁盘引导区病毒识别方法，包括以下步骤：

获取预先存储的引导区病毒的已知行为模式，并获取磁盘主引导记录及所述磁盘主引导记录执行时调用的磁盘数据；

根据获取的所述磁盘主引导记录及磁盘数据建立模拟执行环境，模拟所述磁盘主引导记录的执行过程；

在模拟所述磁盘主引导记录的执行过程中，分析并记录所述磁盘主引导记录的模拟行为模式；

通过将记录的所述模拟行为模式与已知行为模式进行对比分析，对磁盘引导区病毒进行识别。

本发明实施例还公开了一种磁盘引导区病毒识别装置，包括：

数据获取模块，用于获取预先存储的引导区病毒的已知行为模式，并获取磁盘主引导记录及所述磁盘主引导记录执行时调用的磁盘数据；

模拟执行模块，用于根据获取的所述磁盘主引导记录及磁盘数据建立模拟执行环境，模拟所述磁盘主引导记录的执行过程；在模拟所述磁盘主引导记录的执行过程中，分析并记录所述磁盘主引导记录的模拟行为模式；

病毒识别模块，用于通过将记录的所述模拟行为模式与已知行为模式进行对比分析，对磁盘引导区病毒进行识别。

本发明通过获取预先存储的引导区病毒的已知行为模式，并获取磁盘主引导记录及所述磁盘主引导记录执行时调用的磁盘数据；根据获取的所述磁盘主引导记录及磁盘数据建立模拟执行环境，模拟所述磁盘主引导记录的执行过程；在模拟所述磁盘主引导记录的执行过程中，分析并记录所述磁盘主引导记录的模拟行为模式；通过将记录的所述模拟行为模式与已知行为模式进行对比分析，对磁盘引导区病毒进行识别的方法，具有及时、准确地识别新的引导区病毒的有益效果，并能够对识别到的引导区病毒进行及时的响应处理，提高引导区病毒的处理速度。

附图说明

图1是本发明磁盘引导区病毒识别方法一实施例流程示意图；

图2是本发明磁盘引导区病毒识别方法应用于服务端时服务端的功能模块示意图；

图3是本发明磁盘引导区病毒识别方法应用于服务端时又一实施例流程示意图；

图4是本发明磁盘引导区病毒识别方法应用于客户端时客户端的功能模块示意图；

图5是本发明磁盘引导区病毒识别方法应用于客户端时再一实施例流程示意图；

图6是本发明磁盘引导区病毒识别装置一实施例功能模块示意图；

图7是本发明磁盘引导区病毒识别装置应用于服务端时又一实施例功能模块示意图；

图8是本发明磁盘引导区病毒识别装置应用于客户端时再一实施例功能模块示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

以下结合说明书附图及具体实施例进一步说明本发明的技术方案。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。