[发明专利]一种鱼叉邮件检测方法、装置、电子设备及可读存储介质

权利要求书

1.一种鱼叉邮件检测方法，其特征在于，包括：

从待测邮件中获取作为附件的PE文件；

从所述PE文件包含的图标文件中获取实际图标样式；

判断所述实际图标样式是否匹配于真实图标样式；其中，所述真实图标样式为从文件类型为所述PE文件的真实图标文件中提取到的图标样式；

若所述实际图标样式不匹配于所述真实图标样式，则判定所述待测邮件为鱼叉邮件。

2.根据权利要求1所述的鱼叉邮件检测方法，其特征在于，若所述实际图标样式匹配于所述真实图标样式，还包括：

获取所述PE文件的文件名；

判断所述文件名中是否存在已知恶意文件名的文件名特征；

若所述文件名中存在所述文件名特征，则判定所述待测邮件为鱼叉邮件。

3.根据权利要求1所述的鱼叉邮件检测方法，其特征在于，若所述实际图标样式匹配于真实图标样式，还包括：

从所述待测邮件中获取邮件正文；

判断所述邮件正文中是否存在已知恶意内容的内容特征；

若所述邮件正文中包含有所述内容特征，则判定所述待测邮件为鱼叉邮件。

4.根据权利要求1所述的鱼叉邮件检测方法，其特征在于，在从所述PE文件包含的图标文件中获取实际图标样式之前，还包括：

判断所述PE文件是否为加壳的exe文件；

若所述PE文件为加壳的exe文件，则判定所述待测邮件为鱼叉邮件。

5.根据权利要求1所述的鱼叉邮件检测方法，其特征在于，从待测邮件中获取作为附件的PE文件，包括：

从所述待测邮件中获取待测附件，并得到所述待测附件的实际大小；

判断所述实际大小是否处于预设的恶意文件大小区间中；

若所述实际大小处于所述恶意文件大小区间中，则判断所述待测附件是否为所述PE文件；

若所述待测附件为所述PE文件，则得到作为附件的PE文件。

6.根据权利要求5所述的鱼叉邮件检测方法，其特征在于，若所述待测附件不是所述PE文件，还包括：

判断所述待测附件是否为压缩文件；

若所述待测附件为压缩文件，则对所述待测附件执行解压缩操作，并重新确定解压缩后得到的待测附件是否为所述PE文件。

7.根据权利要求1至6任一项所述的鱼叉邮件检测方法，其特征在于，在判定所述待测邮件为鱼叉邮件后，还包括：

确定所述待测邮件被判别为鱼叉邮件的直接原因；

将除所述直接原因外的其它原因确定为可疑原因；

将所述待测邮件中与所述可疑原因对应的邮件内容作为可疑内容更新至可疑鱼叉邮件特征库。

8.一种鱼叉邮件检测装置，其特征在于，包括：

PE附件获取单元，用于从待测邮件中获取作为附件的PE文件；

实际图标样式获取单元，用于从所述PE文件包含的图标文件中获取实际图标样式；

样式匹配判断单元，用于判断所述实际图标样式是否匹配于真实图标样式；其中，所述真实图标样式为从文件类型为所述PE文件的真实图标文件中提取到的图标样式；

鱼叉邮件第一判定单元，用于当所述实际图标样式不匹配于所述真实图标样式时，判定所述待测邮件为鱼叉邮件。

9.一种电子设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于在调用并执行所述计算机程序时，实现如权利要求1至7任一项所述的鱼叉邮件检测方法。

10.一种可读存储介质，其特征在于，所述可读存储介质中存储有计算机程序，所述计算机程序在被处理器调用并执行时，实现如权利要求1至7任一项所述的鱼叉邮件检测方法。