[发明专利]病毒查杀方法、装置、设备及存储介质

权利要求书

1.一种病毒查杀方法，其特征在于，所述方法包括以下步骤：

接收安全网关所检测的恶意流量对应的危害标识信息IOC；

根据所述危害标识信息确定所述恶意流量的类型；

若所述恶意流量的类型为恶意域名，则将所述恶意域名对应的IP地址重定向至预设固定IP地址，并将所述预设固定IP地址作为待监控IP地址，其中，所述预设固定IP地址为不存在的IP地址；

若所述恶意流量的类型为恶意IP地址，则将所述恶意IP地址作为所述待监控IP地址；

根据所述待监控IP地址确定所述恶意流量对应的病毒进程；

根据所述病毒进程的进程标识信息，确定所述病毒进程对应的病毒文件和所述病毒文件的存储路径；

清除所述病毒进程，并根据所述存储路径对所述病毒文件进行查杀；

所述根据所述病毒进程的进程标识信息，确定所述病毒进程对应的病毒文件和所述病毒文件的存储路径的步骤之后，所述方法还包括：

根据所述存储路径确定所述病毒文件对应的病毒字符串；

根据所述病毒字符串，确定是否存在用于创建所述病毒文件的定时任务；

若存在用于创建所述病毒文件的定时任务，则将所述定时任务删除。

2.如权利要求1所述的方法，其特征在于，所述清除所述病毒进程，并根据所述存储路径对所述病毒文件进行查杀的步骤之后，所述方法还包括：

根据所述病毒进程，追溯所述恶意流量对应的父进程；

根据所述父进程和所述病毒进程，确定所述恶意流量对应的进程链；

对所述进程链中的各进程进行监控，确定当前被执行的进程和所述进程访问的进程文件；

检测所述进程文件中是否存在所述存储路径；

若所述进程文件中存在所述存储路径，则确定当前被执行的所述进程为用于创建所述病毒文件的守护进程；

清除所述守护进程，并对所述进程文件进行病毒查杀处理。

3.如权利要求1所述的方法，其特征在于，所述清除所述病毒进程，并根据所述存储路径对所述病毒文件进行查杀的步骤之后，所述方法还包括：

监控安全外壳协议SSH登录列表，确定是否有公网IP地址登录成功；

若有公网IP地址登录成功，则监控在预设周期内所述病毒文件是否被重新创建；

若在预设周期内所述病毒文件被重新创建，则将所述公网IP地址添加到黑名单，并进行预警提醒。

4.如权利要求1所述的方法，其特征在于，所述根据所述待监控IP地址确定所述恶意流量对应的病毒进程的步骤，包括：

遍历TCP连接池中的TCP连接，筛选出与所述待监控IP地址对应的TCP连接；

根据筛选出的所述TCP连接，确定所述恶意流量对应的病毒进程。

5.如权利要求1至4任一项所述的方法，其特征在于，所述清除所述病毒进程，并根据所述存储路径对所述病毒文件进行查杀的步骤之后，所述方法还包括：

监控在预设周期内是否接收到所述安全网关针对所述恶意流量作出的报警信息；

若在预设周期内未接收到所述报警信息，则确定所述病毒文件被彻底查杀。