[发明专利]用于恶意代码检测的系统及方法

说明书

背景技术

本发明，于其一些实施例中，是有关于用于恶意连线检测的多个系统及多个方法，特别是，但非专门是，有关于用于检测一恶意代码的多个系统及多个方法，其中所述恶意代码利用多个网络连线进行一恶意活动及/或通信。

某些种类的恶意代码攻击多个计算机且使用所述主计算机以通过一网络连线与多个其它服务器连接。于一示例中，所述网络连线是由所述恶意代码本身所引发，例如，以传送一被窃取的数据至一远程服务器。于另一示例中，所述恶意软件将一代码插入至一正当的应用程序，接着，所述被插入的代码引发至一远程服务器的一连线，以传送一被窃取的数据。

一种恶意攻击的一示例为一先进的有针对性的攻击(ATA)，所述先进的有针对性的攻击为一复杂的攻击，于所述复杂的攻击中，未经授权的一方获得存取一网络的权限，且保持长时间不被检测到。大多数的先进的有针对性的攻击的意图为窃取数据，而非为对所述网络造成损害。多个先进的有针对性的攻击是针对具有高价值信息的多个行业中的多个组织，所述多个行业例如为多个信用卡服务商、多个政府机关，及金融服务业。

多个反先进的有针对性的攻击的解决方案的多个示例是基于所述攻击的检测或所述渗透的恶意代码的检测。于另一示例中，多个其它的工具被设计以检测在行动中的一不正常或恶意活动。

发明内容

依据本发明的一些实施例的一方面，一种用于检测及防止建立用于恶意通信的一网络连线的一企图的计算机实现的方法被提供，所述方法包含步骤：检测用于建立一网络连线的一连线建立过程，其中所述连线建立过程是由在一用户端上运行的一代码所引发；分析在所述引发代码的至少一堆栈跟踪中的多笔记录，以检测建立一恶意通信的一尝试，其中所述网络连线被使用于一恶意活动；及当所述分析的步骤检测到基于所述网络连线建立所述恶意通信的所述尝试时，阻挡所述网络连线的建立。

可选地，所述分析所述多笔记录的步骤包含：分析流动数据，其中所述流动数据包括所述至少一堆栈跟踪，及由下述组成的群组中的至少一成员：与所述连线建立相关的线程数据、模块数据及程序数据。

可选地，所述方法还包含︰分别在每一用户处收集与所述至少一堆栈跟踪及/或流动数据相关的一数据；分别从每一用户传输与所述至少一堆栈跟踪相关的所述数据至一中央服务器；其中由所述中央服务器进行所述分析的步骤。可选地，与所述至少一堆栈跟踪相关的所述数据包括一动态代码。

可选地，所述方法还包含︰当基于所述网络连线建立所述恶意通信的所述尝试没有被检测到时，准许所述连线建立过程激活所述网络连线。

可选地，所述分析的步骤在所述网络连线的激活前被进行。

可选地，当所述网络连线被激活时，所述分析的步骤在由所述引发应用程序进行的一恶意活动及/或通信相关数据前送之前被进行。

可选地，所述至少一堆栈跟踪是在依据用于引发所述连线建立过程的一互联网协议的一传输控制协议(TCP)而执行的所述连线建立期间被收集。

可选地，在所述检测后停止所述连线建立过程。

可选地，所述至少一堆栈跟踪及/或流动数据是在引发所述连线建立过程时被获得。

可选地，所述至少一堆栈跟踪包括多个堆栈跟踪的至少一顺序，其中所述多个堆栈跟踪是在所述连线建立过程中的多个点位被获得；及所述分析的步骤包含：将所述多个堆栈跟踪与流动数据分析匹配，其中所述流动数据分析代表建立所述恶意通信的所述尝试。

可选地，所述分析的步骤包含：分析所述至少一堆栈跟踪的所述多笔记录，以用于一未知模块及一列入黑名单的或列入白名单的模块中的至少一个，其中所述未知模块及所述列入黑名单的或列入白名单的模块中的至少一个代表所述引发应用程序的感染。

可选地，所述分析的步骤包含：分析所述至少一堆栈跟踪，以用于被多个未被感染的应用程序使用的连线建立流动数据分析，其中所述多个未被感染的应用程序在进行所述分析的步骤的一中央服务器处被指定为有效。

可选地，所述分析的步骤包含：比对所述至少一堆栈跟踪与连线建立堆栈流动数据分析，其中当所述应用程序没有被一被插入代码感染时，所述连线建立堆栈流动数据分析被预期将会被所述应用程序产生，其中所述被插入代码引发建立所述恶意活动/通信的所述尝试。