[发明专利]一种勒索者病毒防御方法、系统及设备

说明书

本发明提出了一种勒索者防御方法、系统及设备，创建指定文件，并投放到磁盘中存储；动态遍历磁盘中的文件，获取第一个被遍历的文件的文件名，并根据该文件名动态重命名所述指定文件，使所述指定文件在遍历顺序中置顶；动态监控指定文件，当指定文件属性发生变化时根据预设条件判断系统中是否存在勒索者病毒，若是则关闭系统中对文件进行修改的进程，否则恢复指定文件的原有属性。本发明采用内容解析的方式判断是否有文件加密行为，能够有效减少误报，并有效检出勒索者病毒，从而在第一时间对病毒进行处置和防御，保障用户财产和信息安全。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种勒索者病毒防御方法、系统及设备。

背景技术

目前勒索者病毒对我们的生活所造成的影响已经越来越严重，勒索者病毒已经成为目前最主流的病毒之一。由于其制作相对简单，而带来的利益却是巨大的，因此得到了越来越多的黑客的关注。今年大规模爆发的WannaCry正是最好的说明。与此同时，勒索者病毒也从最初的简单全文加密变成了更加难判定的随机加密，而这些行为与实际操作行为越来越相似，从而使各个防护软件更加难识别文档是被病毒加密还是被人为手工更改。目前主流的安全厂商均采用备份文档的机制对抗勒索者病毒，但这只是事后补救的手段之一，并没有对勒索者病毒提供预判的能力。虽然目前勒索者病毒没有对备份文档进行加密，但是当勒索者病毒对备份文档进行二次加密后，这种事后补救的手段就变得毫无效果。因此，如何快速准确发现勒索者病毒是文档防御的重中之重。

发明内容

本发明正是考虑了上述现有技术存在的问题后提出的一种新型的防御策略。无论勒索者病毒如何升级、如何改进，都势必会对文档进行加密，同时一定会遍历磁盘上的所有文件，这是勒索者病毒的一个共性，本发明正是利用这两个关键点进行相关的提前预警和防御。保证了当勒索者病毒运行时能够及时被发现，并对病毒进行相应的处置，保证了个人文档的安全。

本发明为基于隐藏及特定文件内容解析的勒索者防御技术方案，具体发明内容包括：

一种勒索者病毒防御方法，包括：

创建指定文件，并投放到磁盘中存储；

动态遍历磁盘中的文件，获取第一个被遍历的文件的文件名，并根据该文件名动态重命名所述指定文件，使所述指定文件在遍历顺序中置顶；目的是在系统中存在勒索者病毒时，使病毒首先对指定文件进行加密，从而能够快速发现病毒；

动态监控指定文件，当指定文件属性发生变化时根据预设条件判断系统中是否存在勒索者病毒，若是则关闭系统中对文件进行修改的进程，否则恢复指定文件的原有属性；主要对指定文件的文件大小和/或格式这两个属性进行监控，同时监控指定文件的文件编码上是否有变化。

进一步地，所述指定文件为文件头不变，文件头加1位置顺序填充规定个数0和/或1的不同格式的文件；所述不同格式的指定文件为用户常用且易被勒索者病毒利用的格式的文件，其格式包括：.doc、.docx、.xls、.xlsx、.pdf、.jpg。

进一步地，所述指定文件的文件大小互不相同。

上述指定文件的创建方式，包括编码形式和文件大小不同，目的是能够准确判断出系统进程中是否存在对应勒索者病毒加密规则的进程，进而为判断系统中是否存在勒索者病毒提供支持。

进一步地，所述判断系统中是否存在勒索者病毒，具体为：针对指定文件属性的变化，判断属性的修改是否来自用户操作，若是则判定系统中无勒索者病毒；

否则判断所述属性的修改是否为加密行为，若是则判定系统中存在勒索者病毒，否则上报被修改属性的指定文件进行深度分析。

进一步地，所述判断所述属性的修改是否为加密行为，具体包括：若所述指定文件中至少一个文件的属性被修改，且在文件编码上被修改的起始位置相同，且被修改后文件的文件大小相同，则判定所述修改为加密行为；