[发明专利]一种病毒检测方法、装置、电子设备及存储介质

权利要求书

1.一种病毒检测方法，其特征在于，包括：

检测访问恶意域名的目标进程；

获取进程关联信息，其中，所述进程关联信息包括父子进程关联信息和远程线程注入信息；

判断所述目标进程中是否包括其他进程远程注入的线程；

若是，则根据所述远程线程注入信息确定所述目标进程的注入进程，并根据所述父子进程关联信息确定所述注入进程的父子进程创建链和所述目标进程的父子进程创建链，将所述注入进程的父子进程创建链和所述目标进程的父子进程创建链中的进程设置为所述目标进程的关联进程；

若否，则根据所述父子进程关联信息对所述目标进程执行溯源操作得到所述目标进程的父子进程创建链，并将所述目标进程的父子进程创建链中的进程设置为所述目标进程的关联进程；

对所述目标进程和所述关联进程对应的进程文件执行病毒检测操作。

2.根据权利要求1所述病毒检测方法，其特征在于，在检测访问恶意域名的目标进程之前，还包括：

查询所有进程的域名访问记录；

相应的，检测访问恶意域名的目标进程包括：

将所述域名访问记录对应的域名与预设域名名单中的域名执行匹配操作，并根据匹配结果确定访问所述恶意域名的目标进程。

3.根据权利要求1所述病毒检测方法，其特征在于，在对所述目标进程和所述关联进程对应的进程文件执行病毒检测操作之后，还包括：

根据病毒检测结果确定包括病毒程序的目标进程对应的进程文件，并对包括所述病毒程序的进程文件进行处理。

4.根据权利要求3所述病毒检测方法，其特征在于，还包括：

判断包括所述病毒程序的目标进程是否存在服务进程的进程文件；

若存在，删除所述目标进程对应的服务进程的进程文件。

5.根据权利要求1所述病毒检测方法，其特征在于，所述目标进程包括访问CC域名的进程和/或用于对Http协议解析得到CC域名的进程。

6.根据权利要求1至5任一项所述病毒检测方法，其特征在于，生成所述进程关联信息的过程包括：

根据监测到的进程创建信息和进程销毁信息生成所述父子进程关联信息；

根据监测到的线程创建信息和线程销毁信息生成所述远程线程注入信息。

7.一种病毒检测装置，其特征在于，包括：

查询模块，用于检测访问恶意域名的目标进程；

溯源模块，用于获取进程关联信息，并根据所述进程关联信息对所述目标进程执行溯源操作得到所述目标进程的关联进程；其中，所述进程关联信息包括父子进程关联信息和远程线程注入信息；

检测模块，用于对所述目标进程和所述关联进程对应的进程文件执行病毒检测操作；

其中，所述溯源模块包括：

判断单元，用于判断所述目标进程中是否包括其他进程远程注入的线程；

第一处理单元，用于当目标进程中包括其他进程远程注入的线程时，根据所述远程线程注入信息确定所述目标进程的注入进程，并根据所述父子进程关联信息确定所述注入进程的父子进程创建链和所述目标进程的父子进程创建链，将所述注入进程的父子进程创建链和所述目标进程的父子进程创建链中的进程设置为所述目标进程的关联进程；

第二处理单元，用于当目标进程中不包括其他进程远程注入的线程时，则根据所述父子进程关联信息对所述目标进程执行溯源操作得到所述目标进程的父子进程创建链，并将所述目标进程的父子进程创建链中的进程设置为所述目标进程的关联进程。

8.一种电子设备，其特征在于，包括存储器和处理器，所述存储器中存储有计算机程序，所述处理器调用所述存储器中的计算机程序时实现如权利要求1至6任一项所述病毒检测方法的步骤。

9.一种存储介质，其特征在于，所述存储介质中存储有计算机可执行指令，所述计算机可执行指令被处理器加载并执行时，实现如上权利要求1至6任一项所述病毒检测方法的步骤。