CN119475329A 一种恶意程序检测方法及装置 （华为技术有限公司）

本申请实施例公开了一种恶意程序检测方存储有存在前述文件列表中的所有文件的概率2监控运行于计算机设备中的进程对目标文件的访问行为，其中若出现所述进程尝试访问所述目标文件的行为，输出利用挂钩hook函数将第一函数的入口点所述第一函数为所述计算机设备的操作系统提供的用于打开文件的所述进程尝试访问的文件为所述计算机设备中不存在响应于检测到虚拟机退出事件，利用所述ho若所述目标文件的安全等级所指示的文件重要程度低于指定阈值3利用挂钩hook函数将第一函数的入口点所述第一函数为所述计算机设备的操作系统提供的用于打开文件的所述进程尝试访问的文件为所述计算机设备中不存在响应于检测到虚拟机退出事件，利用所述ho若所述目标文件的安全等级所指示的文件重要程度低于指定阈值所述处理器，用于执行所述指令或计算机程序，执行权利要求1_9任意一项所述的方4[0003]目前的恶意程序检测方案大多是检测计算机设备中其他程序访问敏感文件的行件列表读取所述计算机设备上的文件时，必然会尝试读取该计算机设备上不存在的文件。[0008]在一种可能的实现方式中，前述敏感文件为敏感文件列表中的表项所描述的文56[0016]在一种可能的实现方式中，所述敏感文件为敏感文件列表中的表项所描述的文7[0026]第五方面，本申请实施例提供了一种包含指令或计算机[0037]正是因为恶意程序基于自身预置的文件列表读取计算机设备上的文件的这一特8名和密码、电子邮件客户端保存的用户名和密码或者登录SSH服务器的用户名和密码一旦9备上的虚拟化功能,并利用寄存器或者内存页实现对将第一函数的入口点变更为第二函开所述计算机设备中存在的文件，若进程尝试访问的文件为计算机设备中不存在的文件，windows操作系统提供的NtCreateFile机设备接收服务器发送的敏感文件列表，以便于基于该敏感文件列表对恶意程序进行检测。该敏感文件列表中的表项包括敏感文件的标识和对应在所述计算机设备中的存储位的表项，从而确定进程尝试访问的文件是否为所述敏感文件列表中的表项所描述的文件。列表中的表项所描述的文件的情况下，根据所述第一函数返回的错误码确定所述访问行意程序检测程序302在安装时，会安装运行在计算机设备的内核态的文件系统微过滤驱动[0073]当恶意程序301尝试读取文件时，计算机设备的操作系统会检测到进程尝试打开动态链接库会利用hook函数将第一函数404的入口点变更为第二函数403。第一函数404和第二函数403也运行在计算机设备的用户态。第一函数例404例如是windows操作系统提供文件，根据所述第一函数404返回的错误码2确定出现所述进程尝试访问目标文件的行为，户端，图5示出了VMM客户端501、VMM客户端502和VMM客户端503。其中，VMM客户端或者hypervisor客户端运行在虚拟机中，一个VMM客户端或者hypervisor客户端对应一个虚拟所示的恶意程序检测装置，用于执行以上方法实施例提供的恶意程序检测方法。如图6所[0083]在一种可能的实现方式中，所述敏感文件为敏感文件列表中的表项所描述的文指示所述进程尝试访问的文件为所述计算机设备中不存[0093]关于所述恶意程序检测装置600的各个单元的具体实现，由于与以上方法实施例[0096]处理器710可以是中央处理器(centralprocessingunit，CPU)，网络处理器辑器件(complexprogrammablelogicdevice，CPLD)，现场可编程逻辑门阵列(field_器(random_accessmemory，RAM)；存储器730也可以包括非易失性存储器(英文：non_[0099]总线系统740可以是外设部件互连标准(peripheralcomponentinterconnect，PCI)总线或扩展工业标准结构(extendedindustrystandardarchitecture，EISA)总线说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现存取存储器(RAM，RandomAccessMemory)、磁碟或者光盘等各种可以存储程序代码的介存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或