[发明专利]一种基于编译器识别的APT检测方法及系统

权利要求书

1.一种基于编译器识别的APT检测方法，其特征在于，包括：

步骤1、获取待检测的PE文件，并检测所述PE文件在特定位置处是否存在编译器特征码，若存在，则判定所述PE文件为非病毒程序，否则执行步骤2；

步骤2、检测所述PE文件在除特定位置外的其他位置是否存在编译器特征码，若存在，则判定所述PE文件为病毒程序，否则判定所述PE文件为加壳程序，对所述PE文件进行脱壳处理后，继续执行步骤1；

所述特定位置是不同程序经相同编译器编译后具有相同框架代码的位置，至少包括：程序入口点或者程序开始执行的位置；

所述编译器特征码是从经编译器编译后的程序的所述特定位置处提取的特征码。

2.如权利要求1所述的方法，其特征在于，当判定所述PE文件为非病毒程序后，还包括：使用反病毒引擎进一步检测。

3.如权利要求1所述的方法，其特征在于，所述检测所述PE文件在除特定位置外的其他位置是否存在编译器特征码的方法为滑动检测技术，所述滑动检测技术为：从程序的设定位置开始，按照设定的顺序，依次向后滑动检测，当检测到特征码时则停止的检测技术。

4.一种基于编译器识别的APT检测系统，其特征在于，包括：

第一检测模块，获取待检测的PE文件，并检测所述PE文件在特定位置处是否存在编译器特征码，若存在，则判定所述PE文件为非病毒程序，否则将所述PE文件发送至第二检测模块；

第二检测模块，接收发送来的所述PE文件，检测所述PE文件在除特定位置外的其他位置是否存在编译器特征码，若存在，则判定所述PE文件为病毒程序，否则判定所述PE文件为加壳程序，对所述PE文件进行脱壳处理后，将所述PE文件发送至第一检测模块；

所述特定位置是不同程序经相同编译器编译后具有相同框架代码的位置，至少包括：程序入口点或者程序开始执行的位置；

所述编译器特征码是从经编译器编译后的程序的所述特定位置处提取的特征码。

5.如权利要求4所述的系统，其特征在于，当第一检测模块判定所述PE文件为非病毒程序后，还包括：使用反病毒引擎进一步检测。

6.如权利要求4所述的系统，其特征在于，所述检测所述PE文件在除特定位置外的其他位置是否存在编译器特征码的方法为滑动检测技术，所述滑动检测技术为：从程序的设定位置开始，按照设定的顺序，依次向后滑动检测，当检测到特征码时则停止的检测技术。