[发明专利]恶意程序检测方法及装置

权利要求书

1.一种恶意程序检测方法，其特征在于，包括：

监听模拟鼠标点击操作和进程创建操作；

在监听到所述模拟鼠标点击操作时，判断所述模拟鼠标点击操作是否为通过IAccessible接口发起的远程过程调用；

若所述模拟鼠标点击操作为通过所述IAccessible接口发起的远程过程调用，则解析所述模拟鼠标点击操作点击的未知程序的文件名和远程过程调用发起端的线程ID；

判断所述未知程序的文件名是否为目标进程的进程路径的子串，所述目标进程为在所述模拟鼠标点击操作之后监听到的所述进程创建操作创建的进程；

若所述未知程序的文件名为所述目标进程的进程路径的子串，则根据所述目标进程的进程ID、所述目标进程的进程路径以及所述线程ID分析所述未知程序是否为恶意程序。

2.根据权利要求1所述的恶意程序检测方法，其特征在于，所述监听模拟鼠标点击操作包括：

对程序管理器进程中实现模拟鼠标点击可执行程序原文件的函数挂接钩子；和/或

对程序管理器进程中实现模拟鼠标点击可执行程序快捷方式的函数挂接钩子。

3.根据权利要求1所述的恶意程序检测方法，其特征在于，所述监听进程创建操作包括：

对程序管理器进程中实现进程创建的函数挂接钩子。

4.根据权利要求1所述的恶意程序检测方法，其特征在于，所述判断所述模拟鼠标点击操作是否为通过IAccessible接口发起的远程过程调用包括：

对所述模拟鼠标点击操作进行栈回溯，获得所述模拟鼠标点击操作的调用栈；

根据所述模拟鼠标点击操作的调用栈确定所述模拟鼠标点击操作是否为通过IAccessible接口发起的远程过程调用。

5.根据权利要求1所述的恶意程序检测方法，其特征在于，所述解析所述模拟鼠标点击操作点击的未知程序的文件名和远程过程调用发起端的线程ID包括：

通过实现所述模拟鼠标点击操作的函数参数获得所述未知程序的文件名；

通过线程环境块获得所述线程ID。

6.根据权利要求1所述的恶意程序检测方法，其特征在于，所述目标进程的创建时间减去所述模拟鼠标点击操作的发生时间小于预设时间差。

7.根据权利要求1所述的恶意程序检测方法，其特征在于，在所述根据所述目标进程的进程ID、所述目标进程的进程路径以及所述线程ID分析所述未知程序是否为恶意程序之后，还包括：

若所述未知程序为恶意程序，则生成告警信息。

8.一种恶意程序检测装置，其特征在于，包括：

第一监听模块，用于监听模拟鼠标点击操作；

第二监听模块，用于监听进程创建操作；

第一判断模块，用于在监听到所述模拟鼠标点击操作时，判断所述模拟鼠标点击操作是否为通过IAccessible接口发起的远程过程调用；

解析模块，用于在所述模拟鼠标点击操作为通过所述IAccessible接口发起的远程过程调用时，解析所述模拟鼠标点击操作点击的未知程序的文件名和远程过程调用发起端的线程ID；

第二判断模块，用于判断所述未知程序的文件名是否为目标进程的进程路径的子串，所述目标进程为在所述模拟鼠标点击操作之后监听到的所述进程创建操作创建的进程；

分析模块，用于在所述未知程序的文件名为所述目标进程的进程路径的子串时，根据所述目标进程的进程ID、所述目标进程的进程路径以及所述线程ID分析所述未知程序是否为恶意程序。

9.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至7任一项所述的恶意程序检测方法。

10.一种计算机设备，包括存储器、处理器以及存储在存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至7任一项所述的恶意程序检测方法。