[发明专利]基于集群僵尸网络监控捕获放马站点的方法及系统

权利要求书

1.一种基于集群僵尸网络监控捕获放马站点的方法，其特征在于，包括：

获取已知各恶意代码家族的僵尸网络的恶意代码；

对获取的恶意代码进行静态解析，获取对应僵尸网络的控制节点；

分析各恶意代码家族，分别获取各恶意代码家族的通信交互协议，对应建立协议解析模块；

模拟僵尸网络被控端，与各控制节点进行信息交互；

根据获取的僵尸网络的控制节点，及控制节点对应的协议解析模块，对被控端与各控制节点的交互信息进行监控；

判断是否存在交叉感染指令，若存在，则将监控到的交叉感染指令进行解析，提取恶意代码存放地址URL；

将提取的URL所对应的控制节点，加入僵尸网络的控制节点中；所述判断是否存在交叉感染指令，具体为，判断控制端所下发的样本下载指令所下载的文件，是否为其他僵尸网络的恶意代码文件，如果是，则存在交叉感染指令，否则不存在。

2.如权利要求1所述的方法，其特征在于，还包括：根据提取的URL所对应的控制节点，自动化下载所述控制节点中存储的文件。

3.如权利要求2所述的方法，其特征在于，根据提取的URL所对应的控制节点，自动化下载所述控制节点中存储的文件，具体为：

根据提取的URL，获取放马站点根目录，对放马站点根目录下的文件进行打包下载。

4.如权利要求2所述的方法，其特征在于，根据提取的URL所对应的控制节点，自动化下载所述控制节点中存储的文件，具体为：

根据提取的URL，获取对应指定恶意代码。

5.一种基于集群僵尸网络监控捕获放马站点的系统，其特征在于，包括：

第一获取模块，获取已知各恶意代码家族的僵尸网络的恶意代码；

第二获取模块，对获取的恶意代码进行静态解析，获取对应僵尸网络的控制节点；

协议解析模块，分析各恶意代码家族，分别获取各恶意代码家族的通信交互协议，对应建立协议解析模块；

模拟模块，模拟僵尸网络被控端，与各控制节点进行信息交互；

监控模块，根据获取的僵尸网络的控制节点，及控制节点对应的协议解析模块，对被控端与各控制节点的交互信息进行监控；

地址提取模块，判断是否存在交叉感染指令，若存在，则将监控到的交叉感染指令进行解析，提取恶意代码存放地址URL；

将提取的URL所对应的控制节点，加入监控模块僵尸网络的控制节点中；所述判断是否存在交叉感染指令，具体为，判断控制端所下发的样本下载指令所下载的文件，是否为其他僵尸网络的恶意代码文件，如果是，则存在交叉感染指令，否则不存在。

6.如权利要求5所述的系统，其特征在于，还包括下载模块，根据提取的URL所对应的控制节点，自动化下载所述控制节点中存储的文件；

7.如权利要求6所述的系统，其特征在于，根据提取的URL所对应的控制节点，自动化下载所述控制节点中存储的文件，具体为：

根据提取的URL，获取放马站点根目录，对放马站点根目录下的文件进行打包下载。

8.如权利要求6所述的系统，其特征在于，根据提取的URL所对应的控制节点，自动化下载所述控制节点中存储的文件，具体为：

根据提取的URL，获取对应指定恶意代码。

9.一种非临时性计算机可读存储介质，其上存储有计算机程序，其特征在于，该程序被处理器执行时实现如权利要求1-4中任一所述的基于集群僵尸网络监控捕获放马站点的方法。