[发明专利]一种勒索者病毒防御方法、系统及设备

权利要求书

1.一种勒索者病毒防御方法，其特征在于，包括：

创建指定文件，并投放到磁盘中存储；

动态遍历磁盘中的文件，获取第一个被遍历的文件的文件名，并根据该文件名动态重命名所述指定文件，使所述指定文件在遍历顺序中置顶；

动态监控指定文件，当指定文件属性发生变化时根据预设条件判断系统中是否存在勒索者病毒，若是则关闭系统中对文件进行修改的进程，否则恢复指定文件的原有属性。

2.如权利要求1所述的方法，其特征在于，所述指定文件为文件头不变，文件头加1位置顺序填充规定个数0和/或1的不同格式的文件。

3.如权利要求2所述的方法，其特征在于，所述指定文件的文件大小互不相同。

4.如权利要求1至3任一所述的方法，其特征在于，所述判断系统中是否存在勒索者病毒，具体为：针对指定文件属性的变化，判断属性的修改是否来自用户操作，若是则判定系统中无勒索者病毒；

否则判断所述属性的修改是否为加密行为，若是则判定系统中存在勒索者病毒，否则上报被修改属性的指定文件进行深度分析。

5.如权利要求4所述的方法，其特征在于，所述判断所述属性的修改是否为加密行为，具体包括：若所述指定文件中至少一个文件的属性被修改，且在文件编码上被修改的起始位置相同，且被修改后文件的文件大小相同，则判定所述修改为加密行为；

若所述指定文件中至少一个文件的属性被修改，且在文件编码上修改的起始位置相同，但被修改后文件的文件大小不同，则监控相应修改进程，当所述修改进程修改的指定文件个数达到预设值，且被修改后文件的文件后缀相同，则判定所述修改为加密行为；

若所述指定文件的属性全部被修改，且在文件编码上被修改的起始位置都相同，则判定所述修改为加密行为。

6.如权利要求5所述的方法，其特征在于，还包括：将指定文件对Explorer.exe进行系统隐藏。

7.一种勒索者病毒防御系统，其特征在于，包括指定文件创建模块、文件遍历置顶模块、勒索者病毒判断模块，具体为：

由指定文件创建模块创建指定文件，并投放到磁盘中存储；

之后利用文件遍历置顶模块动态遍历磁盘中的文件，获取第一个被遍历的文件的文件名，并根据该文件名动态重命名所述指定文件，使所述指定文件在遍历顺序中置顶；

由勒索者病毒判断模块动态监控指定文件，当指定文件属性发生变化时根据预设条件判断系统中是否存在勒索者病毒，若是则关闭系统中对文件进行修改的进程，否则恢复指定文件的原有属性。

8.如权利要求7所述的系统，其特征在于，所述指定文件为文件头不变，文件头加1位置顺序填充规定个数0和/或1的不同格式的文件。

9.如权利要求8所述的系统，其特征在于，所述指定文件的文件大小互不相同。

10.如权利要求6至9任一所述的系统，其特征在于，所述判断系统中是否存在勒索者病毒，具体为：针对指定文件属性的变化，判断属性的修改是否来自用户操作，若是则判定系统中无勒索者病毒；

否则判断所述属性的修改是否为加密行为，若是则判定系统中存在勒索者病毒，否则上报被修改属性的指定文件进行深度分析。

11.如权利要求10所述的系统，其特征在于，所述判断所述属性的修改是否为加密行为，具体包括：若所述指定文件中至少一个文件的属性被修改，且在文件编码上被修改的起始位置相同，且被修改后文件的文件大小相同，则判定所述修改为加密行为；

若所述指定文件中至少一个文件的属性被修改，且在文件编码上修改的起始位置相同，但被修改后文件的文件大小不同，则监控相应修改进程，当所述修改进程修改的指定文件个数达到预设值，且被修改后文件的文件后缀相同，则判定所述修改为加密行为；

若所述指定文件的属性全部被修改，且在文件编码上被修改的起始位置都相同，则判定所述修改为加密行为。