[发明专利]一种恶意程序检测的方法和装置

摘要

本发明公开了一种恶意程序检测的方法和装置，其中，所述的方法包括：启动虚拟机，在所述虚拟机中运行样本程序；获取所述样本程序在虚拟机中执行指定操作的信息，所述执行指定操作的信息包括所述执行指定操作的对象数据；检测所述对象数据是否存在预置的恶意特征数据；若检测到所述对象数据存在预置的恶意特征数据，则判定所述样本程序为恶意程序。本发明可以降低主机感染的风险，降低恶意程序的误报率，降低新型恶意程序的漏报率。

主权项

一种恶意程序检测的方法，包括：预先定义已知的针对硬盘的主引导记录MBR的病毒的特征码；所述特征码包括预置的恶意特征数据和预置的非恶意特征数据；启动虚拟机，在所述虚拟机中运行样本程序；获取所述样本程序在虚拟机中执行指定操作的信息，所述执行指定操作的信息包括所述执行指定操作的对象数据；所述指定操作包括样本程序在虚拟机内针对磁盘的写操作，所述执行指定操作的对象数据为所述写操作对应的数据；所述执行指定操作的信息还包括，写操作对应的磁盘扇区号，写操作对应的数据写入的磁盘镜像文件的信息，写操作对应的数据在磁盘镜像文件中的位置信息，以及，磁盘镜像文件索引；所述获取样本程序在虚拟机中执行指定操作的信息的步骤包括：获取所述写操作对应的磁盘扇区号；获取所述写操作对应的数据；将所述写操作对应的数据写入磁盘镜像文件，并记录所述写操作对应的数据在磁盘镜像文件当中的位置信息；将所述磁盘扇区号和位置信息写入所述磁盘镜像文件的索引；检测所述对象数据是否存在预置的恶意特征数据；所述检测对象数据是否存在预置的恶意特征数据的步骤在所述样本程序在虚拟机中运行完毕后执行，具体包括：针对指定的一个或多个扇区，判断在所述磁盘镜像文件的索引中是否存对应的磁盘扇区号，若是，则依据所述磁盘扇区号和位置信息在磁盘镜像文件中提取相应位置的写操作对应的数据，并存储至预设转储文件中；检测所述预设转储文件中的数据是否存在预置的恶意特征数据；若检测到所述对象数据存在预置的恶意特征数据，则判定所述样本程序为恶意程序。