[发明专利]恶意进程检测方法、装置、电子设备及存储介质

权利要求书

1.一种恶意进程检测方法，其特征在于，包括：

获取目标进程对应的进程标识；

根据所述进程标识确定所述目标进程对应的多个线程和多个执行模块；

获取所述多个线程中每一线程对应的执行地址空间，以得到多个执行地址空间；

根据所述多个执行地址空间和所述多个执行模块确定所述目标进程是否被恶意修改；

所述根据所述多个执行地址空间和所述多个执行模块确定所述目标进程是否被恶意修改，包括：

将所述多个执行地址空间中每一执行地址空间与所述多个执行模块中每一执行模块进行匹配；

若所述多个执行地址空间中的目标执行地址空间与所述多个执行模块中每一执行模块均匹配失败，则将所述目标执行地址空间对应的目标线程的线程信息标记为Shellcode线程信息；

根据所述Shellcode线程信息确定所述目标进程是否被恶意修改；所述根据所述Shellcode线程信息确定所述目标进程是否被恶意修改，包括：

根据所述Shellcode线程信息获取Shellcode线程对应的起始地址；

根据所述起始地址获取所述Shellcode线程对应的Shellcode模块；

获取所述Shellcode模块对应的调试文件信息；

若所述调试文件信息满足预设拦截规则，则确定所述目标进程被恶意修改。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

获取预先确定的多个危险进程中每一危险进程对应的可移植可执行PE文件信息，以得到多个PE文件信息；

分析所述多个PE文件信息，以得到多个目标维度；

获取所述多个PE文件信息中每一PE文件信息中与所述多个目标维度中每一目标维度对应的特征信息，以得到多个特征信息集；

根据所述多个特征信息集生成所述预设拦截规则。

3.根据权利要求2所述的方法，其特征在于，所述分析所述多个PE文件信息，以得到多个目标维度，包括：

获取所述多个PE文件信息中每一PE文件信息对应的属性类型，得到多个属性类型；

获取所述多个属性类型中每一属性类型对应的恶意修改概率，以得到多个恶意修改概率；

将所述多个恶意修改概率中小于目标阈值的恶意修改概率对应的属性类型作为所述目标维度。

4.一种恶意进程检测装置，其特征在于，包括：

获取单元，用于获取目标进程对应的进程标识；

确定单元，用于根据所述进程标识确定所述目标进程对应的多个线程和多个执行模块；

所述获取单元，还用于获取所述多个线程中每一线程对应的执行地址空间，以得到多个执行地址空间；

所述确定单元，还用于根据所述多个执行地址空间和所述多个执行模块确定所述目标进程是否被恶意修改；在所述根据所述多个执行地址空间和所述多个执行模块确定所述目标进程是否被恶意修改方面，所述确定单元具体用于将所述多个执行地址空间中每一执行地址空间与所述多个执行模块中每一执行模块进行匹配；若所述多个执行地址空间中的目标执行地址空间与所述多个执行模块中每一执行模块均匹配失败，则将所述目标执行地址空间对应的目标线程的线程信息标记为Shellcode线程信息；根据所述Shellcode线程信息确定所述目标进程是否被恶意修改；在所述根据所述Shellcode线程信息确定所述目标进程是否被恶意修改方面，所述获取单元还用于根据所述Shellcode线程信息获取Shellcode线程对应的起始地址；根据所述起始地址获取所述Shellcode线程对应的Shellcode模块；获取所述Shellcode模块对应的调试文件信息；所述确定单元具体用于若所述调试文件信息满足预设拦截规则，则确定所述目标进程被恶意修改。

5.根据权利要求4所述的装置，其特征在于，所述获取单元还用于获取预先确定的多个危险进程中每一危险进程对应的可移植可执行PE文件信息，以得到多个PE文件信息；分析所述多个PE文件信息，以得到多个目标维度；获取所述多个PE文件信息中每一PE文件信息中与所述多个目标维度中每一目标维度对应的特征信息，以得到多个特征信息集；根据所述多个特征信息集生成所述预设拦截规则。