[发明专利]一种蠕虫病毒的检测和防御方法和系统

说明书

本发明涉及一种蠕虫病毒的检测和防御方法和系统，属于网络安全技术领域。现有蠕虫病毒的检测手段存在误报率高，容易被免杀，不易控制等缺陷。本发明所述的方法是在蠕虫病毒对目标软件进行控制的必经的关键路径上设置主动防御规则；利用主动防御规则检测蠕虫病毒在关键步骤的调用和修改行为；拦截蠕虫病毒的调用和修改行为。采用本发明所述的方法和系统可以及时有效的控制蠕虫病毒特别是QQ群蠕虫病毒发作和蔓延，有效保护QQ系列产品的使用安全。

技术领域

本发明属于网络安全技术领域，具体涉及一种蠕虫病毒的检测和防御方法和系统。

背景技术

蠕虫病毒是一种常见的计算机病毒。它是利用网络进行复制和传播，传染途径是通过网络和电子邮件。最初的蠕虫病毒定义是因为在DOS环境下，病毒发作时会在屏幕上出现一条类似虫子的东西，胡乱吞吃屏幕上的字母并将其改形。蠕虫病毒是自包含的程序(或是一套程序)，它能传播自身功能的拷贝或自身(蠕虫病毒)的某些部分到其他的计算机系统中(通常是经过网络连接)。

QQ群蠕虫病毒，是一种利用QQ群共享漏洞传播流氓软件和劫持I E主页的恶意程序，QQ群用户一旦感染了该蠕虫病毒，便会向其他QQ群内上传该病毒，以“一传十，十传百”的手法扩散开来。“QQ群蠕虫病毒”第三代变种伪装成“刷钻软件”大量传播，每天中毒的电脑达到2-3万台，通过各安全厂商的联合打击，第三代QQ群蠕虫基本已经在网络上销声匿迹。“QQ群蠕虫病毒”第四代多以“XX视频助手.exe”或“XX视频偷看神器.exe”为伪装，由于文件名极具诱惑性，吸引了大量网民点击。如果网民信以为真，双击运行，蠕虫病毒就会劫持网民的QQ，把推广消息转发到QQ群共享和空间说说，甚至发送病毒邮件给好友。该病毒的最终目的是在中毒电脑上安装一大堆流氓软件以牟取暴利。

QQ群蠕虫病毒是主要通过QQ群、空间、说说、网盘等一系列产品传播。其主要最大的特点是不需要获取用户“QQ密码”就可以控制以上产品。蠕虫病毒传播方式很迅速，通常会通过主动、被动的方式去传播自身。由于此类病毒比较特殊，如果只是从特征提取方面来对抗的话，病毒只需通过简单加密就可以绕过杀毒软件。对付此类病毒，必须要对其完整行为都了解后，才能出一个针对性的方案。目前国内的主流杀毒软件并没有对付此类病毒的新技术。

目前主流的检测蠕虫病毒的技术分为静态检测和行为检测两种：

静态检测通过自动或人工提取一些敏感字符串来达到检测的目的，优点是速度快、误报率低。缺点是很考验自动机或分析人员的功底，提取的位置不好很容易被免杀。

行为检测通过自动或人工提取此病毒的一系列API操作来达到检测的目的，优点是泛型较好，不容易被免杀。缺点是误报率比较高，不容易控制。

发明内容

针对现有技术中存在的缺陷，本发明的目的是提供一种蠕虫病毒的检测和防御方法和系统。该方法和系统对针对QQ系列产品的蠕虫病毒检出率高，对抗性强。

为达到以上目的，本发明采用的技术方案是：一种蠕虫病毒的检测和防御方法，包括以下步骤：

在蠕虫病毒对目标软件进行控制的必经的关键路径上设置主动防御规则；

利用主动防御规则检测蠕虫病毒在关键步骤的调用和修改行为；

拦截蠕虫病毒的调用和修改行为。

进一步，所述的主动防御规则包括检测并阻止病毒通过URL来检测QQ是否登录。

进一步，所述的主动防御规则包括检测并阻止病毒调用InternetGetCookie获取Cookie。

进一步，所述的主动防御规则包括检测并阻止病毒调用InternetSetCookie清空qq.com域名下的Cookie。

进一步，所述的主动防御规则包括检测并阻止病毒获取QQ Cookie中的skey和g_tk校验码。