[发明专利]恶意程序的检测方法、装置、计算设备及计算机存储介质

权利要求书

1.一种恶意程序的检测方法，包括：

在运行待检测程序时，监控所述待检测程序的指令特征；所述指令特征至少包含待测方法调用序列，和/或，各个方法所对应的待测指令序列；

将所述待测方法调用序列与已知恶意程序的参考方法调用序列进行匹配；和/或，将所述各个方法所对应的待测指令序列与已知恶意程序的参考指令序列进行匹配；

根据匹配结果确定所述待检测程序是否为恶意程序。

2.根据权利要求1所述的方法，其中，在所述运行待检测程序之前，所述方法还包括：

将运行待检测程序的虚拟机的解释模式修改为可移植模式；

所述运行待检测程序具体为：在可移植模式下，由解释器解释运行待检测程序。

3.根据权利要求2所述的方法，其中，在所述监控所述待检测程序的指令特征之前，所述方法还包括：

在待检测程序进入解释器函数的初始位置处设置监控代码；

所述监控所述待检测程序的指令特征具体为：根据监控代码监控多个方法被调用的顺序，得到待测方法调用序列；和/或，根据监控代码监控指令被执行的顺序，得到各个方法所对应的待测指令序列。

4.根据权利要求3所述的方法，其中，在所述将所述待测方法调用序列与已知恶意程序的参考方法调用序列进行匹配；和/或，将所述各个方法所对应的待测指令序列与已知恶意程序的参考指令序列进行匹配之前，所述方法还包括：

对已知恶意程序进行反编译，得到已知恶意程序的反编译指令；

从所述已知恶意程序的反编译指令中的预设位置处提取出参考方法调用序列和/或各个方法所对应的参考指令序列。

5.根据权利要求4所述的方法，其中，所述根据匹配结果确定所述待检测程序是否为恶意程序进一步包括：

判断匹配结果是否符合预设结果；若匹配结果符合预设结果，则确定待检测程序为恶意程序。

6.根据权利要求5所述的方法，其中，所述监控所述待检测程序的指令特征进一步包括：根据监控代码监控所述待检测程序的指令集合；

所述根据匹配结果确定所述待检测程序是否为恶意程序进一步包括：若匹配结果不符合预设结果，则将所述指令集合与已知恶意程序的参考指令片段进行匹配，并确定所述待检测程序是否为恶意程序。

7.根据权利要求6所述的方法，其中，在所述将所述指令集合与已知恶意程序的参考指令片段进行匹配之前，所述方法还包括：

从所述已知恶意程序的反编译指令中的预设位置处提取出参考指令片段；

对所述参考指令片段进行修改处理，得到修改后的参考指令片段。

8.一种恶意程序的检测装置，包括：

监控模块，适于在运行待检测程序时，监控所述待检测程序的指令特征；所述指令特征至少包含待测方法调用序列，和/或，各个装置所对应的待测指令序列；

匹配模块，适于将所述装置调用序列与已知恶意程序的参考方法调用序列进行匹配；和/或，将所述各个装置所对应的待测指令序列与已知恶意程序的参考指令序列进行匹配；

确定模块，适于根据匹配结果确定所述待检测程序是否为恶意程序。

9.一种计算设备，包括：处理器、存储器、通信接口和通信总线，所述处理器、所述存储器和所述通信接口通过所述通信总线完成相互间的通信；

所述存储器用于存放至少一可执行指令，所述可执行指令使所述处理器执行如权利要求1-7中任一项所述的恶意程序的检测方法对应的操作。

10.一种计算机存储介质，所述存储介质中存储有至少一可执行指令，所述可执行指令使处理器执行如权利要求1-7中任一项所述的恶意程序的检测方法对应的操作。