[发明专利]用于检测可在虚拟堆栈机上执行的有害文件的系统和方法

摘要

本发明公开了用于检测可在虚拟堆栈机上执行的有害文件的系统和方法。一种示例性方法包括：从在虚拟堆栈机上执行的文件识别数据，该数据包括该文件的文件节段的参数和/或该文件的函数的参数；在数据库中搜索安全文件的至少一个群集，该安全文件的至少一个群集包含以下中的至少一者：文件节段的参数中的超过第一阈值的值、和函数的参数中的超过第二阈值的值；基于所识别的安全文件的群集，创建该文件的数据的群集；计算所创建的该文件的数据的群集的校验和；以及如果所计算的校验和匹配有害文件的校验和的数据库中的校验和，则确定该文件是有害文件。

主权项

1.一种用于检测在虚拟堆栈机上执行的有害文件的方法，所述方法包括：通过硬件处理器从在所述虚拟堆栈机上执行的文件识别数据，所述数据包括所述文件的文件节段的参数和由所述虚拟堆栈机执行的所述文件的函数的参数中的至少一者；基于所识别的所述数据，通过所述硬件处理器在数据库中搜索安全文件的至少一个群集，所述安全文件的至少一个群集包含以下中的至少一者：所述文件节段的所述参数中的一个参数的超过第一阈值的值、和所述函数的所述参数中的一个参数的超过第二阈值的值；至少部分地基于所识别的所述安全文件的至少一个群集，通过所述硬件处理器创建由所述虚拟堆栈机执行的所述文件的数据的群集；通过所述硬件处理器计算所创建的所述由所述虚拟堆栈机执行的所述文件的数据的群集的至少一个校验和；通过所述硬件处理器访问有害文件的校验和的数据库；以及如果所计算的所述至少一个校验和匹配所述有害文件的校验和的数据库中的校验和，则通过所述硬件处理器确定在所述虚拟堆栈机上执行的所述文件是有害文件。