[发明专利]即时通信客户端盗号木马程序的识别方法及装置

权利要求书

1.一种即时通信客户端盗号木马程序的识别方法，其特征在于，包括： 

记录待检测程序调用的预定应用程序接口API函数信息和待检测程序的程序数据中的至少一种； 

根据记录结果识别所述待检测程序是否为盗号木马程序。 

2.如权利要求1所述的方法，其特征在于，所述记录待检测程序调用的预定API函数信息包括： 

记录待检测程序调用的预定API函数以及传入所述预定API函数的参数信息。 

3.如权利要求2所述的方法，其特征在于，所述记录待检测程序的程序数据包括： 

截获所述待检测程序发送的网络数据；和/或 

在所述待检测程序弹出新窗口时，获得该新窗口的图片数据。 

4.如权利要求3所述的方法，其特征在于，所述根据记录结果识别所述待检测程序是否为盗号木马程序包括： 

若所述待检测程序调用了所述预定API函数，且传入所述预定API函数的参数信息包括有预定的敏感字符信息，则识别所述待检测程序为盗号木马程序； 

若所述待检测程序按照预定次序，调用了多个所述预定API函数，则识别所述待检测程序为盗号木马程序； 

若所述待检测程序弹出的新窗口的图片数据与预存的木马窗口图片数据匹配，则识别所述待检测程序为盗号木马程序； 

若所述待检测程序弹出的新窗口的图片数据与预存的木马窗口图片数据部分匹配，且发送的网络数据中包括有预定的敏感字符信息，则识别所述待检测程序为盗号木马程序。 

5.如权利要求2所述的方法，其特征在于，所述传入所述预定API函数的参数信息包括： 

挂钩盗号木马程序依赖的预定API函数； 

在待检测程序调用所述预定API函数时，记录待检测程序传入所述预定API函数的参数信息。 

6.如权利要求5所述的方法，其特征在于，所述预定API函数包括以下函数中的至少一种：用于改变指定子窗口的父窗口的父窗口设置SetParent函数、用于查找即时通信客户端登录窗口的窗口查找FindWindowExA函数、用于获取查找到的即时通信客户端登录窗的进程信息的窗口进程获得GetWindowThreadProcessId函数、用于将即时通信客户端进程附加到待检测程序进程的进程附加AttachThreadInput函数、用于获得窗口输入信息的窗口消息钩子设置SetWindowsHookExA函数。 

7.如权利要求3所述的方法，其特征在于，所述获得该新窗口的图片数据包括：从内存中读取待检测程序弹出的窗口数据，保存为图片数据。 

8.一种即时通信客户端盗号木马程序的识别装置，其特征在于，包括： 

参数记录单元，用于记录待检测程序调用的预定应用程序接口API函数信息和待检测程序的程序数据中的至少一种； 

判断单元，用于根据记录结果识别所述待检测程序是否为盗号木马程序。 

9.如权利要求7所述的装置，其特征在于，所述参数记录单元具体用于记录待检测程序调用的预定API函数以及传入所述预定API函数的参数信息。 

10.如权利要求9所述的装置，其特征在于，所述参数记录单元包括： 

图片获得子单元，用于在所述待检测程序弹出新窗口时，获得该新窗口的图片数据； 

网络数据截获子单元，用于截获所述待检测程序发送的网络数据。 

11.如权利要求10所述的装置，其特征在于，所述判断单元，具体用于： 

若所述待检测程序调用了所述预定API函数，且传入所述预定API函数的参数信息包括有预定的敏感字符信息，则识别所述待检测程序为盗号木马程序； 

若所述待检测程序按照预定次序，调用了多个所述预定API函数，则识别所述待检测程序为盗号木马程序； 

若所述待检测程序弹出的新窗口的图片数据与预存的木马窗口图片数据完全匹配，则识别所述待检测程序为盗号木马程序； 

若所述待检测程序弹出的新窗口的图片数据与预存的木马窗口图片数据部分匹配，且发送的网络数据中包括有预定的敏感字符信息，则识别所述待检测程序为盗号木马程序。