[发明专利]病毒检测方法及装置

权利要求书

1.一种病毒检测方法，其特征在于，包括以下步骤：

识别待检测文件的文件类型；

根据所述文件类型，调用所述文件类型对应的虚拟机系统镜像文件和/或所述待检测文件对应的应用程序版本的增量快照；

利用虚拟机软件加载所述虚拟机系统镜像文件和/或增量快照，生成虚拟机实例，并在所述虚拟机实例上运行所述待检测文件；

检测所述虚拟机实例的运行状态，分析所述待检测文件是否包含病毒。

2.如权利要求1所述的方法，其特征在于，所述应用程序版本的增量快照包括所述应用程序至少一个版本对应的增量快照。

3.如权利要求1所述的方法，其特征在于，所述利用虚拟机软件加载所述虚拟机系统镜像文件和增量快照，生成虚拟机实例，并在所述虚拟机实例上运行所述待检测文件，包括：

在虚拟机软件上运行调用的所述虚拟机系统镜像文件；

基于运行的所述虚拟机系统镜像文件，加载所述增量快照，生成包含所述增量快照映射的应用程序版本的虚拟机实例；

利用所述虚拟机实例，打开所述待检测文件。

4.如权利要求1所述的方法，其特征在于，所述识别待检测文件的文件类型，之前还包括：

配置各操作系统分别对应的所述虚拟机系统镜像文件，根据配置的所述虚拟机系统镜像文件，利用虚拟机软件生成虚拟机实例，并在所述虚拟机系统镜像文件对应的虚拟机实例上安装预设版本的应用程序，生成增量快照并存储。

5.如权利要求1-4任一项所述的方法，其特征在于，所述分析所述待检测文件是否包含病毒，包括：

分析所述待检测文件所包含的病毒的恶意行为，以及所述病毒发作所需的操作系统和/或所述病毒发作所需的应用程序版本。

6.一种病毒检测装置，其特征在于，包括：

类型识别模块，用于识别待检测文件的文件类型；

虚拟机镜像和增量快照调用模块，用于根据所述文件类型，调用所述文件类型对应的虚拟机系统镜像文件和/或所述待检测文件对应的应用程序版本的增量快照；

虚拟运行模块，用于利用虚拟机软件加载所述虚拟机系统镜像文件和/或增量快照，生成虚拟机实例，并在所述虚拟机实例上运行所述待检测文件；

病毒检测模块，用于检测所述虚拟机实例的运行状态，分析所述待检测文件是否包含病毒。

7.如权利要求6所述的装置，其特征在于，所述应用程序版本的增量快照包括所述应用程序至少一个版本对应的增量快照。

8.如权利要求6所述的装置，其特征在于，所述虚拟运行模块还用于：

在虚拟机软件上运行调用的所述虚拟机系统镜像文件；

基于运行的所述虚拟机系统镜像文件，加载所述增量快照，生成包含所述增量快照映射的应用程序版本的虚拟机实例；

利用所述虚拟机实例，打开所述待检测文件。

9.如权利要求6所述的装置，其特征在于，还包括：

增量快照配置模块，用于配置各操作系统分别对应的所述虚拟机系统镜像文件，根据配置的所述虚拟机系统镜像文件，利用虚拟机软件生成虚拟机实例，并在所述虚拟机系统镜像文件对应的虚拟机实例上安装预设版本的应用程序，生成增量快照并存储。

10.如权利要求6-9任一项所述的装置，其特征在于，所述病毒检测模块还用于：

分析所述待检测文件所包含的病毒的恶意行为，以及所述病毒发作所需的操作系统和/或所述病毒发作所需的应用程序版本。