勒索程序识别方法、装置、电子设备、存储介质及产品.pdf

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号CN114117436A(43)申请公布日2022.03.01(21)申请号202210097178.7(22)申请日2022.01.27(71)申请人奇安信科技集团股份有限公司地址100088北京市西城区新街口外大街28号102号楼3层332号(72)发明人李博(74)专利代理机构北京路浩知识产权代理有限公司11002代理人王宇杨(51)Int.Cl.G06F21/56(2013.01)权利要求书3页说明书13页附图1页(54)发明名称勒索程序识别方法、装置、电子设备、存储介质及产品(57)摘要本发明提供一种勒索程序识别方法、装置、电子设备、存储介质及产品，所述方法包括：确定待识别进程，根据所述待识别进程在预设时间段内对多个目标文件的操作行为，获取所述待识别进程在预设时间段内的改写数值；其中，所述目标文件是与所述待识别进程并无预设关联的文件，所述改写数值大于或等于预设的改写阈值，则判定所述待识别进程所对应的程序为勒索程序。本发明提供的勒索程序识别方法通过建立关联与设置阈值的方式保证了识别结果的准确性，提高了检测识别的效率。CN114117436ACN114117436A权利要求书1/3页1.一种勒索程序识别方法，其特征在于，包括：确定待识别进程；根据所述待识别进程在预设时间段内对多个目标文件的操作行为，获取所述待识别进程在预设时间段内的改写数值；其中，所述目标文件是与所述待识别进程并无预设关联的文件；所述改写数值大于或等于预设的改写阈值，则判定所述待识别进程所对应的程序为勒索程序。2.根据权利要求1所述的勒索程序识别方法，其特征在于，所述根据所述待识别进程在预设时间段内对多个目标文件的操作行为，获取所述待识别进程在预设时间段内的改写数值，包括：将第一目标文件在被所述待识别进程进行写操作之前的第一文件类型信息与所述第一目标文件在被所述待识别进程进行写操作之后的第二文件类型信息进行比较；其中，所述第一目标文件为任意一个目标文件；根据所述第一文件类型信息与所述第二文件类型信息，调整预设参数的值；根据所述预设参数在预设时间段内的变化值，获取所述待识别进程在预设时间段内的改写数值。3.根据权利要求2所述的勒索程序识别方法，其特征在于，所述将第一目标文件在被所述待识别进程进行写操作之前的第一文件类型信息与所述第一目标文件在被所述待识别进程进行写操作之后的第二文件类型信息进行比较，包括：在所述待识别进程对所述第一目标文件进行写打开操作的情况下，拦截所述写打开操作，并在记录所述第一文件类型信息之后，放行所述写打开操作；在所述待识别进程对所述第一目标文件进行写关闭操作的情况下，拦截所述写关闭操作，并在记录所述第二文件类型信息之后，放行所述写关闭操作；将所述第一文件类型信息与所述第二文件类型信息进行比较。4.根据权利要求2所述的勒索程序识别方法，其特征在于，所述预设参数包括用于描述文件内容改写情况的文件改写参数和/或用于描述文件格式改写情况的格式改写参数；相应的，所述根据所述第一文件类型信息与所述第二文件类型信息，调整预设参数的值，包括：在所述第一文件类型信息不同于所述第二文件类型信息的情况下，同时调整文件改写参数与格式改写参数的值；在所述第一文件类型信息与所述第二文件类型信息相同的情况下，调整文件改写参数的值。5.根据权利要求1所述的勒索程序识别方法，其特征在于，所述改写数值包括用于描述文件内容改写次数的文件改写数值和/或用于描述文件格式改写次数的格式改写数值，所述预设的改写阈值包括预设的文件改写阈值和/或预设的格式改写阈值；相应的，所述根据所述改写数值和预设的改写阈值，确定所述待识别进程所对应的程序为勒索程序，包括：在所述待识别进程对应的文件改写数值大于或等于预设的文件改写阈值的情况下，将所述待识别进程所对应的程序确定为勒索程序；2CN114117436A权利要求书2/3页或，在所述待识别进程对应的格式改写数值大于或等于预设的格式改写阈值的情况下，将所述待识别进程所对应的程序确定为勒索程序；或，在所述待识别进程对应的文件改写数值大于或等于预设的文件改写阈值，且所述待识别进程对应的格式改写数值大于或等于预设的格式改写阈值的情况下，将所述待识别进程所对应的程序确定为勒索程序。6.根据权利要求2所述的勒索程序识别方法，其特征在于，所述将第一目标文件在被所述待识别进程进行写操作之前的第一文件类型信息与所述第一目标文件在被所述待识别进程进行写操作之后的第二文件类型信息进行比较，还包括：在所述待识别进程对所述第一目标文件进行写操作的情况下，拦截所述写操作，并在记录所述第一目标文件中的被改写内容以及被改写内容的地址信息之后，放行所述写操作；相应的，在所述确定所述待识别进程所对应的程