[发明专利]样本文件检测方法、装置、终端设备以及存储介质

权利要求书

1.一种样本文件检测方法，其特征在于，所述方法包括以下步骤：

当样本文件在动态分析沙盒中运行时，获取所述样本文件在所述动态分析沙盒中的运行状态信息；

根据所述运行状态信息，生成内存转储文件；

对所述内存转储文件进行文本匹配，获得匹配结果；

根据所述匹配结果，获得所述样本文件的检测结果。

2.如权利要求1所述的样本文件检测方法，其特征在于，所述根据所述匹配结果，获得所述样本文件的检测结果的步骤之前，所述方法还包括：

对所述内存转储文件进行特征分析，获得内存分析日志；

根据所述匹配结果，获得所述样本文件的检测结果的步骤包括：

根据所述匹配结果和所述内存分析日志，获得所述样本文件的检测结果。

3.如权利要求2所述的样本文件检测方法，其特征在于，所述当样本文件在动态分析沙盒中运行时，获取所述样本文件在所述动态分析沙盒中的运行状态信息的步骤之前，所述方法还包括：

在接收到发送端发送的样本文件时，获取所述样本文件的文件类型；

将所述样本文件投放在与所述文件类型对应的选定动态分析沙盒中；

当样本文件在动态分析沙盒中运行时，获取所述样本文件在所述动态分析沙盒中的运行状态信息的步骤包括：

当样本文件在所述选定动态分析沙盒中运行时，获取所述样本文件在所述选定动态分析沙盒中的运行状态信息。

4.如权利要求3所述的样本文件检测方法，其特征在于，所述将所述样本文件投放在与所述文件类型对应的选定动态分析沙盒中的步骤包括：

根据所述文件类型，确定所述样本文件的运行环境；

在动态分析沙盒集群中查找与所述运行环境对应的选定动态分析沙盒；

将所述样本文件投放在所述选定动态分析沙盒中。

5.如权利要求4所述的样本文件检测方法，其特征在于，所述在接收到发送端发送的样本文件时，获取所述样本文件的文件类型的步骤包括：

在接收到发送端发送的样本文件时，将所述样本文件存储到存储服务器；

从所述存储服务器获取所述样本文件的文件类型；

所述将所述样本文件投放在所述选定动态分析沙盒中的步骤包括：

在获取到所述存储服务器存储的所述样本文件时，将所述样本文件投放在所述选定动态分析沙盒中。

6.如权利要求5所述的样本文件检测方法，其特征在于，所述对所述内存转储文件进行文本匹配，获得匹配结果的步骤包括：

利用yara规则对所述内存转储文件进行文本匹配，获得匹配结果。

7.如权利要求6所述的样本文件检测方法，其特征在于，所述利用yara规则对所述内存转储文件进行文本匹配，获得匹配结果的步骤之前，所述方法还包括：

获取基于yara规则的恶意文件特征码，建立yara规则库；

所述利用yara规则对所述内存转储文件进行文本匹配，获得匹配结果的步骤包括：

获取所述内存转储文件的样本特征码；

将所述样本特征码与所述yara规则库中的恶意文件特征码进行匹配，获得匹配结果。

8.一种样本文件检测装置，其特征在于，所述装置包括：

获取模块，用于当样本文件在动态分析沙盒中运行时，获取所述样本文件在所述动态分析沙盒中的运行状态信息；

文件生成模块，用于根据所述运行状态信息，生成内存转储文件；

匹配模块，用于对所述内存转储文件进行文本匹配，获得匹配结果；

获得模块，用于根据所述匹配结果，获得所述样本文件的检测结果。

9.一种终端设备，其特征在于，所述终端设备包括：存储器、处理器及存储在所述存储器上并在所述处理器上运行样本文件检测程序，所述样本文件检测程序被所述处理器执行时实现如权利要求1至7中任一项所述的样本文件检测方法的步骤。

10.一种存储介质，其特征在于，所述存储介质上存储有样本文件检测程序，所述样本文件检测程序被处理器执行时实现如权利要求1至7中任一项所述的样本文件检测方法的步骤。