[发明专利]一种鱼叉邮件检测方法、装置、电子设备及可读存储介质

说明书

本申请公开了一种鱼叉邮件检测方法，针对PE文件的附件，本申请通过实际图标样式与真实图标样式之间的匹配结果，确定出该PE文件是否使用了虚假的、伪装过的、用于骗取收件人信任的假图标文件，并在确定使用了假图标文件时，将该PE文件作为附件的待测邮件判定为鱼叉邮件。相比于现有技术，本申请无需耗费较长时间对附件实际执行的操作进行判断，若该PE文件使用了虚假的、经过伪装的图像文件，即可基于这一伪装行为快速确定出该PE文件为非正常附件，从而确定该待测邮件为鱼叉邮件，操作简单易行、效率更高、漏判率更低。本申请还同时公开了一种鱼叉邮件检测装置、电子设备及可读存储介质，具有上述有益效果。

技术领域

本申请涉及恶意邮件检测技术领域，特别涉及一种鱼叉邮件检测方法、装置、电子设备及计算机可读存储介质。

背景技术

钓鱼邮件是一种以伪装和欺骗为重心的恶意邮件，其旨在通过伪装欺骗的方式引导收件人输入信用卡、银行卡号码、账户名称及密码等关键信息，进而盗取收件人的财产。引导方式通常为通过在邮件正文中设置链接的方式，让收件人登陆至特制的网页(通常会伪装成和真实网站一样，如银行或理财的网页，令登录者信以为真，从而获取收件人在此页面上输入的信息)。

鱼叉邮件是钓鱼邮件的一种变种，与传统的钓鱼邮件不同的是，鱼叉附件将恶意内容以掺杂在附件中的方式来试图入侵收件人的主机。由于恶意内容存在于附件中，因此鱼叉邮件非常依赖收件人的主动点击来侵入主机。一旦收件人点击了此类附件，存储恶意内容的payload部分就会利用主机或系统的脆弱点侵入主机，从而在主机的操作系统运行。

为使恶意内容成功侵入收件人主机，鱼叉邮件会通过各种伪装方式让收件人认为邮件本身是可信的，进而主动去打开附加有恶意内容的附件，甚至主动关闭跳出风险提示的防御系统。

现有技术往往通过沙箱技术来虚拟执行附件的方式来判断其是否包含有恶意内容，但针对设置有反沙箱手段或其它手段来尽可能的拖延恶意操作的附件时，往往会因为实际检测过程对检测结果得出的实时性要求而得出错误的结论，从而使得包含有恶意内容的附件得以逃过检测。

因此，如何在满足实时性要求的情况下，提供一种检测效果更佳的鱼叉邮件检测机制，是本领域技术人员亟待解决的问题。

发明内容

本申请提供了一种鱼叉邮件检测方法、装置、电子设备及可读存储介质，旨在满足实时性要求的基础上，提升检测效果更佳。

为实现上述目的，本申请提供了一种鱼叉邮件检测方法，该方法包括：

从待测邮件中获取作为附件的PE文件；

从所述PE文件包含的图标文件中获取实际图标样式；

判断所述实际图标样式是否匹配于真实图标样式；其中，所述真实图标样式为从文件类型为所述PE文件的真实图标文件中提取到的图标样式；

若所述实际图标样式不匹配于所述真实图标样式，则判定所述待测邮件为鱼叉邮件。

可选的，若所述实际图标样式匹配于所述真实图标样式，还包括：

获取所述PE文件的文件名；

判断所述文件名中是否存在已知恶意文件名的文件名特征；

若所述文件名中存在所述文件名特征，则判定所述待测邮件为鱼叉邮件。

可选的，若所述实际图标样式匹配于真实图标样式，还包括：

从所述待测邮件中获取邮件正文；

判断所述邮件正文中是否存在已知恶意内容的内容特征；

若所述邮件正文中包含有所述内容特征，则判定所述待测邮件为鱼叉邮件。