[发明专利]一种恶意程序的检测方法、装置、电子设备及存储介质

权利要求书

1.一种恶意程序的检测方法，其特征在于，所述方法包括：

在获取检测指令时，遍历关机通知链表，其中，所述关机通知链表用于记录向内核注册关机通知的应用程序，所述关机通知用于在系统进行关机时，通知注册了关机通知的应用程序此时系统正在进行关机处理；

在遍历所述关机通知链表过程中，确定所述关机通知链表对应的应用程序，作为可疑程序；

按照预设检测规则，从所确定的应用程序中确定恶意程序。

2.如权利要求1所述的方法，其特征在于，所述按照预设检测规则，从所确定的应用程序中确定恶意程序的步骤，包括：

检测磁盘中是否存在目标应用程序对应的磁盘文件，其中，所述目标应用程序为所述关机通知链表对应的应用程序；

确定所述目标应用程序中，不存在对应的磁盘文件的应用程序为恶意程序。

3.如权利要求1所述的方法，其特征在于，所述按照预设检测规则，从所确定的应用程序中确定恶意程序的步骤，包括：

将所确定的所有的应用程序确定为恶意程序。

4.如权利要求1所述的方法，其特征在于，所述在遍历所述关机通知链表过程中，确定所述关机通知链表对应的应用程序，作为可疑程序的步骤，包括：

在遍历所述关机通知链表过程中，确定其中包括的关机通知回调函数；

将所述关机通知回调函数对应的应用程序，确定为可疑程序。

5.如权利要求1-4任一项所述的方法，其特征在于，在所述按照预设检测规则，从所确定的应用程序中确定恶意程序的步骤之后，所述方法还包括：

对所述恶意程序的内存数据进行二进制扫描，获得所述恶意程序的特征；

将所述特征添加至预先建立的恶意程序库中。

6.一种恶意程序的检测装置，其特征在于，所述装置包括：

检测指令获取模块，用于在获取检测指令时，遍历关机通知链表，其中，所述关机通知链表用于记录向内核注册关机通知的应用程序，所述关机通知用于在系统进行关机时，通知注册了关机通知的应用程序此时系统正在进行关机处理；

可疑程序确定模块，用于在遍历所述关机通知链表过程中，确定所述关机通知链表对应的应用程序，作为可疑程序；

恶意程序确定模块，用于按照预设检测规则，从所确定的应用程序中确定恶意程序。

7.如权利要求6所述的装置，其特征在于，所述恶意程序确定模块包括：

磁盘文件检测单元，用于检测磁盘中是否存在目标应用程序对应的磁盘文件，其中，所述目标应用程序为所述关机通知链表对应的应用程序；

第一恶意程序确定单元，用于确定所述目标应用程序中，不存在对应的磁盘文件的应用程序为恶意程序。

8.如权利要求6所述的装置，其特征在于，所述恶意程序确定模块包括：

第二恶意程序确定单元，用于将所确定的所有的应用程序确定为恶意程序。

9.如权利要求6所述的装置，其特征在于，所述可疑程序确定模块包括：

回调函数确定单元，用于在遍历所述关机通知链表过程中，确定其中包括的关机通知回调函数；

可疑程序确定单元，用于将所述关机通知回调函数对应的应用程序，确定为可疑程序。

10.如权利要求6-9任一项所述的装置，其特征在于，所述装置还包括：

二进制扫描模块，用于在所述按照预设检测规则，从所确定的应用程序中确定恶意程序之后，对所述恶意程序的内存数据进行二进制扫描，获得所述恶意程序的特征；

特征添加模块，用于将所述特征添加至预先建立的恶意程序库中。