[发明专利]恶意程序检测装置以及恶意程序检测方法

权利要求书

1.一种用以检测一程序的恶意程序检测装置，该程序执行一第一处理程序，其特征在于，该恶意程序检测装置包含：

一储存单元，用以储存一恶意行为数据库，该恶意行为数据库记录一恶意程序的一恶意行为规范；以及

一处理单元，与该储存单元电性连接，并用以：

根据该第一处理程序建立一第一行为规范；

比较该第一行为规范与该恶意行为规范，并产生一比较结果；

根据该比较结果更新一行为记录表；以及

根据该行为记录表判断该程序为该恶意程序。

2.根据权利要求1所述的恶意程序检测装置，其特征在于，该恶意程序包含一恶意行为，该恶意行为执行一第二处理程序，该处理单元根据该第二处理程序建立该恶意行为规范。

3.根据权利要求2所述的恶意程序检测装置，其特征在于，该第一行为规范包含该第一处理程序的一第一执行标的以及一第一执行动作，该恶意行为规范包含该第二处理程序的一第二执行标的以及一第二执行动作，该处理单元还用以通过比较该第一执行标的与该第二执行标的，以及比较该第一执行动作与该第二执行动作以产生该比较结果。

4.根据权利要求2所述的恶意程序检测装置，其特征在于，该第一行为规范包含该第一处理程序的一第一链结信息，该恶意行为规范包含该第二处理程序的一第二链结信息，该处理单元还用以通过比较该第一链结信息与该第二链结信息以产生该比较结果。

5.根据权利要求1所述的恶意程序检测装置，其特征在于，该储存单元还用以储存一门槛数据库，该门槛数据库记录该恶意程序的一行为规范数门槛值以及一行为数门槛值，该行为记录表记录一行为规范数以及一行为数，该处理单元还用以：

根据该比较结果更新该行为规范数；

当该行为规范数达到该行为规范数门槛值时，更新该行为数；以及

当该行为数达到该行为数门槛值时，判断该程序为该恶意程序。

6.根据权利要求1所述的恶意程序检测装置，其特征在于，该处理单元还用以将与该程序相对应的一程序识别信息附加于该第一行为规范，以便该处理单元可根据该程序识别信息判断该第一行为规范对应至该程序。

7.根据权利要求1所述的恶意程序检测装置，其特征在于，该处理单元还用以产生与该恶意行为规范相对应的一编码，并以该编码表示该恶意行为规范。

8.一种用于一恶意程序检测装置的恶意程序检测方法，其特征在于，该恶意程序检测装置用以检测一程序，且包含一储存单元以及一处理单元，该储存单元用以储存一恶意行为数据库，该恶意行为数据库记录一恶意程序的一恶意行为规范，该处理单元与该储存单元电性连接，该程序执行一第一处理程序，该恶意程序检测方法包含下列步骤：

(a)令该处理单元根据该第一处理程序建立一第一行为规范；

(b)令该处理单元比较该第一行为规范与该恶意行为规范，并产生一比较结果；

(c)令该处理单元根据该比较结果更新一行为记录表；以及

(d)令该处理单元根据该行为记录表判断该程序为该恶意程序。

9.根据权利要求8所述的恶意程序检测方法，其特征在于，该恶意程序包含一恶意行为，该恶意行为执行一第二处理程序，该恶意程序检测方法还包含下列步骤：

(e)令该处理单元根据该第二处理程序建立该恶意行为规范。

10.根据权利要求9所述的恶意程序检测方法，其特征在于，该第一行为规范包含该第一处理程序的一第一执行标的以及一第一执行动作，该恶意行为规范包含该第二处理程序的一第二执行标的以及一第二执行动作，该恶意程序检测方法还包含下列步骤：

(f)令该处理单元通过比较该第一执行标的与该第二执行标的，以及比较该第一执行动作与该第二执行动作以产生该比较结果。

11.根据权利要求9所述的恶意程序检测方法，其特征在于，该第一行为规范包含该第一处理程序的一第一链结信息，该恶意行为规范包含该第二处理程序的一第二链结信息，该恶意程序检测方法还包含下列步骤：

(g)令该处理单元通过比较该第一链结信息与该第二链结信息以产生该比较结果。