[发明专利]一种用户终端中恶意进程的识别方法、装置及用户终端

说明书

本发明实施例公开了一种用户终端中恶意进程的识别方法、装置及用户终端。该方法包括：确定系统内第一运行进程中启动的第一子进程为恶意进程；获取所述第一运行进程在启动所述第一子进程时的启动特征；若在第二运行进程中启动第二子进程时包含所述启动特征，则识别所述第二子进程为恶意进程。采用本发明实施例，可在采集恶意样本之前识别出恶意进程，能够及时识别恶意进程，从而可及时对其进行拦截，提升了拦截效率。

技术领域

本发明涉及软件技术领域，尤其涉及一种用户终端中恶意进程的识别方法、装置及用户终端。

背景技术

目前，随着互联网的发展，提供给用户的软件产品越来越多样化。例如，当用户终端在下载某一软件时，该软件中可能包括进行推广的恶意软件等，恶意软件可指未经用户允许安装执行，会对用户及系统运行产生影响和危害的软件，包括病毒、蠕虫、木马、后门程序、密码盗窃程序及其他有以上所列恶意软件功能的软件。同时，上述恶意软件的更新频率高，变化形式多样，不容易被识别。当前在识别恶意软件的运行进程时，需要首先收集恶意进程样本，即从各种媒介提取到的怀疑是恶意进程的可执行文件或可能包含恶意软件的压缩文件等，识别样本中的文件信息，从而判别该样本是否为恶意进程。然而，当恶意软件在被识别出时，已被进行广泛传播，导致通过收集样本的方式识别恶意软件或其运行进程并对其进行清理存在一定的滞后性。

发明内容

本发明实施例提供了一种用户终端中恶意进程的识别方法、装置及用户终端。采用本发明实施例，可在采集恶意样本之前识别出恶意进程，能够及时识别恶意进程，从而可及时对其进行拦截，提升了拦截效率。

本发明实施例在第一方面提供了一种用户终端中恶意进程的识别方法，该方法可包括：

确定系统内第一运行进程中启动的第一子进程为恶意进程；

获取所述第一运行进程在启动所述第一子进程时的启动特征；

若在第二运行进程中启动第二子进程时包含所述启动特征，则识别所述第二子进程为恶意进程。

作为可选的实施例，在所述确定系统内第一运行进程中启动的第一子进程为恶意进程之前，所述方法还包括：

监测所述系统内第一运行进程的执行链条；

记录所述第一运行进程的执行链条中所述第一运行进程在启动子进程时的启动方式，所述第一运行进程的关键行为，和/或，所述启动的子进程的进程信息。

作为可选的实施例，所述确定系统内第一运行进程中启动的第一子进程为恶意进程，包括：

从所述第一次运行进程的关键行为中获取所述第一运行进程对用户的提示信息；

判断所述提示信息是否提示开启所述第一子进程；

若判断的结果为否，则确定所述第一子进程为恶意进程。

作为可选的实施例，所述确定系统内第一运行进程中启动的第一子进程为恶意进程，包括：

从所述启动的子进程的进程信息中获取所述第一子进程的进程标识；

向服务器发送查询请求，其中，所述查询请求中包括所述第一子进程的进程标识；

当接收到所述服务器针对所述查询请求反馈的确认响应后，则确定所述第一子进程为恶意进程。

作为可选的实施例，所述获取所述第一运行进程在启动所述第一子进程时的启动特征，包括：

从所述第一运行进程在启动子进程时的启动方式中获取所述第一运行进程在启动所述第一子进程时的启动方式；

从所述第一运行进程在启动所述第一子进程时的启动方式中获取所述第一子进程针对所述第一运行进程的结算参数；