[发明专利]一种基于内核层的拦截木马病毒系统及方法

说明书

本发明涉及一种基于内核层的拦截木马病毒系统及其方法，该系统包括策略更新模块、内核层程序监视模块、内核层决策模块，还包括木马病毒库，所述策略更新模块通过TDI创建TCP网络通信，下载并更新本地木马病毒库；所述内核层程序监视模块注册LoadImage回调接口，监视加载项，由内核层程序监视模块将待运行内容放置在内存隔离区内，决策模块进行扫描，如果检测出有木马病毒，则根据用户设置的处理方式，进行处理。本发明由内核层常驻的模块进行木马病毒扫描，防止应用层程序被其他程序终结造成扫描失败，也避免挂起用户输入造成系统不稳定，并能自动更新木马病毒库，保持扫描策略与服务器同步，时效性强。

技术领域

本发明属于木马病毒防治领域，具体涉及一种基于内核层的拦截木马病毒系统及方法。

背景技术

2010年之后，木马病毒与病毒不再有明显界限，而单纯破坏性的病毒也因缺乏利益动机失去市场，目前的病毒基本上都带有木马病毒属性，木马病毒也带有自我繁殖的病毒属性，所以两者查杀基本上是等同的。

木马病毒能对计算机的防御系统进行破坏，并进行自我复制，消耗大量系统资源，有的木马病毒可以盗取系统关键信息造成经济损失，有的木马病毒利用宿主资源发起网络攻击，有的木马病毒利用宿主免费的电力和网络资源进行挖矿运算构成偷盗行为，最严重的木马病毒对系统锁定并勒索金钱，影响极大。

传统的木马病毒查杀手段，其中一个特点是利用特征库对比，然而特征库经年累月越来越大，对比一段代码所需要耗费的系统资源越来越多，所以目前木马病毒查杀并非用单纯的特征库，而是用特征库+策略库结合的方式来构成木马病毒库，病毒库本身包含扫描策略，其本身具有程序属性。

目前大量木马病毒查杀程序采用两种方法。一种是通过应用层对目标程序进行扫描识别然后进行处理，此类方法虽然能识别大部分木马病毒，但是往往在扫描文件时会占用大量的系统资源，导致系统响应速度变慢，甚至影响其他程序正常运行。另一种通过驱动层拦截用户的输入信息，然后将拦截的数据提交到应用层进行识别，确定所述输入信息是否与保存的需要进行保护的敏感信息相同，并给出相应策略；此类方法由于需要频繁的和应用层进行交互，但应用层程序挂起时往往会导致系统不稳定，同时由于应用层程序本身容易被第三方程序卸载，删除或退出，从而导致拦截失效。

发明内容

本发明的目的就在于为了解决背景信息中扫描方法的缺陷，提出一种基于内核层的拦截木马病毒系统和方法。

本发明通过以下技术方案来实现上述目的：

一种基于内核层的拦截木马病毒系统，包括策略更新模块、内核层程序监视模块、内核层决策模块，还包括木马病毒库；

所述策略更新模块于每次拦截木马病毒系统加载时，通过TDI(Transport DriverInterface传送驱动接口)创建TCP网络通信，连接固定IP的服务器并比较服务器中木马病毒库与本地木马病毒库日期，如果本地木马病毒库日期较旧，则下载并更新本地木马病毒库；

所述内核层程序监视模块通过注册LoadImage回调接口，所述回调接口监视加载项，所有准备运行的内容都拦截，由内核层程序监视模块将待运行内容放置在内存隔离区内，由内核层决策模块根据木马病毒库提供的策略进行扫描，没有木马病毒则删除隔离区内容，恢复原代码运行，如果检测出有木马病毒，则根据用户设置的处理方式，进行处理。

作为本发明优选方式，所述用户设置是包括以下处理方式：

方式1，直接删除代码；

方式2，按照木马病毒库提供的策略，对木马病毒代码进行清除并执行清除后的代码，清除失败则删除；

方式3，按照木马病毒库提供的策略，对木马病毒代码进行清除并执行。清除失败则弹出对话框，询问计算机使用者是否删除。

其中方式2为默认设置，如用户不明白其含义，则提供最保守的策略。