[发明专利]一种针对恶意加密软件的防护方法及装置

说明书

技术领域

本发明涉及网络安全技术领域，尤其涉及一种针对恶意加密软件的防护方法及装置。

背景技术

勒索软件，也称敲诈者病毒是近年数量增加最快的网络安全威胁之一，是不法分子通过锁屏、加密文件等方式劫持用户资产或资源以此向用户敲诈钱财的一种恶意软件。不法分子往往通过网络钓鱼的方式，向受害电脑植入勒索软件来加密硬盘上的文件甚至所有数据，随后向受害企业或个人要求数额不等的赎金(如比特币等)后才予以解密。当用户受到勒索软件的感染，通常会有如下的表现形式：

1、通过设置电脑开机密码、登录密码等对电脑锁屏，影响用户系统的正常使用。

2、通过威胁恐吓用户，实施敲诈：比如FakeAV勒索软件会伪装成反病毒软件，欺骗在用户的系统中发现病毒，诱骗用户付款购买其“反病毒软件”。

3、加密用户用户文件和数据，要求支付赎金：最典型的是CTB-Locker家族，采用高强度的加密算法，加密用户文档，只有在用户支付赎金后，才提供解密文档的方法。

4、篡改磁盘MBR(Master Boot Record，硬盘的主引导记录)，制造计算机蓝屏重启，之后加密电脑整个磁盘敲诈赎金。

从最近几年国内流行的勒索软件的传播过程看，用户需要开启杀毒功能并及时更新以确保对勒索软件的有效识别，但是对于最新的勒索软件以及变种，在没能有效识别出应用程序的安全性时，也很难避免勒索软件的攻击。

发明内容

有鉴于此，本发明提供一种针对恶意加密软件的防护方法及装置，通过对访问的网路文件进行采样和标记信息来源，并对写入本地存储的文件进行匹配以确定该文件的信息来源。

依据本发明的一个方面，提出了一种针对恶意加密软件的防护方法，该方法包括：

监控未知应用程序的执行过程，判断所述未知应用程序是否存在修改指定的数据文件的操作，所述未知应用程序是不能确定安全性的应用程序；

若存在，则在所述未知应用程序修改所述数据文件之前对所述数据文件进行备份；

判断所述未知应用程序修改所述数据文件的内容中是否存在特征数据，所述特征数据为恶意加密软件的特征数据；

若存在，则终止所述未知应用程序的执行过程，利用所述数据文件的备份文件替换被修改的数据文件。

优选的，所述终止所述未知应用程序的执行过程，利用所述数据文件的备份文件替换被修改的数据文件包括：

发送报警信息，所述报警信息用于提示所述未知应用程序疑似恶意加密软件，获取用户的操作指令；

当所述操作指令为终止执行指令时，结束所述未知应用程序的进程；

利用所述数据文件的备份文件替换被修改的数据文件。

优选的，所述监控未知应用程序的执行过程，判断所述未知应用程序是否存在修改指定的数据文件的操作包括：

当应用程序启动执行时，识别所述应用程序的安全性；

若无法确定所述应用程序的安全性，则确定所述应用程序为未知应用程序；

监控所述未知应用程序是否加载指定的数据文件。

优选的，在所述未知应用程序修改所述数据文件之前对所述数据文件进行备份包括：

当所述未知应用程序存在修改所述数据文件的操作时，输出提示信息，以判断是否继续执行修改所述数据文件的操作；

若继续执行，则在修改所述数据文件之前对所述数据文件进行备份。

优选的，所述判断所述未知应用程序修改所述数据文件的内容中是否存在特征数据包括：

获取恶意加密软件的特征数据，所述特征数据包括加密格式信息、解密提示信息；

根据所述特征数据匹配所述未知应用程序修改所述数据文件的内容；

若匹配成功则确定所述未知应用程序为疑似恶意加密软件。

依据本发明的另一个方面，提出了一种针对恶意加密软件的防护装置，该装置包括：

第一判断单元，用于监控未知应用程序的执行过程，判断所述未知应用程序是否存在修改指定的数据文件的操作，所述未知应用程序是不能确定安全性的应用程序；

备份单元，用于当所述第一判断单元判断存在修改指定的数据文件的操作时，在所述未知应用程序修改所述数据文件之前对所述数据文件进行备份；

第二判断单元，用于判断所述未知应用程序修改所述数据文件的内容中是否存在特征数据，所述特征数据为恶意加密软件的特征数据；