[发明专利]一种恶意程序的检测方法、装置、电子设备及存储介质

说明书

本发明实施例提供了一种恶意程序的检测方法、装置、电子设备及存储介质，所述方法包括：在获取检测指令时，遍历关机通知链表，其中，所述关机通知链表用于记录向内核注册关机通知的应用程序；在遍历所述关机通知链表过程中，确定所述关机通知链表对应的应用程序，作为可疑程序；按照预设检测规则，从所确定的应用程序中确定恶意程序。由于恶意软件需要向内核注册关机通知，进而在关机时可以将内存文件复制到磁盘上，同时设置开机启动项，这样，在系统再次启动时，恶意软件便可以启动并开始运行，所以通过对关机通知链表的遍历确定恶意程序，即使恶意程序在系统启动的时从磁盘中删除自身的磁盘文件，也可以准确检测出恶意程序。

技术领域

本发明涉及设备安全监测技术领域，特别是涉及一种恶意程序的检测方法、装置、电子设备及存储介质。

背景技术

恶意程序是带有攻击意图的一段计算机程序，恶意程序已经成为一种常见的网络问题，恶意程序的一般具有强制安装的特点。在电子设备运行时，恶意程序会干拢安全软件的运行或者系统的正常运行，从而达到盗取数据或者破坏电子设备系统及已安装的安全软件的目的。因此，为了保证电子设备的安全运行，对恶意程序的检测便尤为重要。

由于恶意程序一般运行在内核态，其在运行时会在磁盘中生成相应的磁盘文件，所以目前的恶意程序的检测方式通过对文件系统的检测来确定是否存在恶意程序，具体来说，就是通过对磁盘文件进行扫描，进而确定是否存在恶意程序。

而为了避免被杀毒软件等检测到，恶意程序会在系统启动的时从磁盘中删除自身的磁盘文件，这样就能绕过对恶意程序的检测。可见，目前的恶意程序的检测方式无法准确检测出恶意程序，无法达到良好的检测效果。

发明内容

本发明实施例的目的在于提供一种恶意程序的检测方法、装置、电子设备及存储介质，以对恶意程序进行准确检测。具体技术方案如下：

第一方面，本发明实施例提供了一种恶意程序的检测方法，所述方法包括：

在获取检测指令时，遍历关机通知链表，其中，所述关机通知链表用于记录向内核注册关机通知的应用程序；

在遍历所述关机通知链表过程中，确定所述关机通知链表对应的应用程序，作为可疑程序；

按照预设检测规则，从所确定的应用程序中确定恶意程序。

可选的，所述按照预设检测规则，从所确定的应用程序中确定恶意程序的步骤，包括：

检测磁盘中是否存在目标应用程序对应的磁盘文件，其中，所述目标应用程序为所述关机通知链表对应的应用程序；

确定所述目标应用程序中，不存在对应的磁盘文件的应用程序为恶意程序。

可选的，所述按照预设检测规则，从所确定的应用程序中确定恶意程序的步骤，包括：

将所确定的所有的应用程序确定为恶意程序。

可选的，所述在遍历所述关机通知链表过程中，确定所述关机通知链表对应的应用程序，作为可疑程序的步骤，包括：

在遍历所述关机通知链表过程中，确定其中包括的关机通知回调函数；

将所述关机通知回调函数对应的应用程序，确定为可疑程序。

可选的，在所述按照预设检测规则，从所确定的应用程序中确定恶意程序的步骤之后，所述方法还包括：

对所述恶意程序的内存数据进行二进制扫描，获得所述恶意程序的特征；

将所述特征添加至预先建立的恶意程序库中。

第二方面，本发明实施例提供了一种恶意程序的检测装置，所述装置包括：