[发明专利]使用数字证书的恶意软件检测

权利要求书

1.至少一个非暂时性机器可读介质，包括一个或多个指令，所述一个或多个指令在由至少一个处理器执行时引起所述至少一个处理器：

分析与跟文件相关联的数字证书有关的数据，以确定所述数据是否正当，其中，分析所述数据包括：确定所述数字证书是否是通过修改可移植可执行文件头而被嫁接到所述数据的，确定所述数字证书是否和与不同数据相关联的另一可信数字证书相同，以及确定用于所述数字证书的代码签名是否与用于所述数字证书的二进制代码匹配；

为所述数字证书分配声誉，其中所述声誉包括与所述数字证书有关的数据是否正当的指示，并且其中，如果所述数字证书是通过修改可移植可执行文件头而被嫁接到所述数据的、如果所述数字证书和与不同数据相关联的另一可信数字证书相同、或者如果用于所述数字证书的代码签名与用于所述数字证书的二进制代码不匹配，则与所述数字证书有关的数据不正当；

基于包括所述数据正当的指示的分配给所述数字证书的声誉来确定所述数字证书是否可信，其中，如果已知所述数字证书与恶意软件相关联，则所述数字证书不可信；以及

基于所述数字证书可信的确定而将所述文件归类为可信的。

2.根据权利要求1所述的至少一个非暂时性机器可读介质，其中，如果所述数字证书使认证码验证失败或具有无效的认证码，则所述数字证书不正当。

3.根据权利要求1或2所述的至少一个非暂时性机器可读介质，还包括一个或多个指令，所述一个或多个指令在由所述至少一个处理器执行时引起所述至少一个处理器：

基于所述数字证书不可信的确定而将包括所述数字证书的文件归类为不可信。

4.一种用于使用数字证书的恶意软件检测的设备，所述设备包括：

存储器；以及

硬件处理器，其被配置成：

识别存储在所述存储器中的文件，所述文件包括数字证书和与所述数字证书有关的数据；

分析与所述数字证书有关的数据，以确定所述数据是否正当，其中，分析所述数据包括：确定所述数字证书是否是通过修改可移植可执行文件头而被嫁接到所述数据的，确定所述数字证书是否和与不同数据相关联的另一可信数字证书相同，以及确定用于所述数字证书的代码签名是否与用于所述数字证书的二进制代码匹配；

为所述文件分配声誉，其中所述声誉包括与所述数字证书有关的数据是否正当的指示，并且其中，如果所述数字证书是通过修改可移植可执行文件头而被嫁接到所述数据的、如果所述数字证书和与不同数据相关联的另一可信数字证书相同、或者如果用于所述数字证书的代码签名与用于所述数字证书的二进制代码不匹配，则与所述数字证书有关的数据不正当；

基于包括所述数据正当的指示的分配给所述文件的声誉来确定所述数字证书是否可信，其中，如果已知所述数字证书与恶意软件相关联，则所述数字证书不可信；以及

基于所述数字证书可信的确定而将所述文件归类为可信的。

5.根据权利要求4所述的设备，其中，如果所述数字证书使认证码验证失败或具有无效的认证码，则所述数字证书不正当。

6.根据权利要求4或5所述的设备，其中，基于所述数字证书不可信的确定而将所述文件归类为不可信。