申请/专利权人：广东云智安信科技有限公司

申请日：2022-03-21

公开（公告）日：2024-02-06

公开（公告）号：CN114629711B

主分类号：H04L9/40

分类号：H04L9/40

优先权：

专利状态码：有效-授权

法律状态：2024.02.06#授权;2022.07.01#实质审查的生效;2022.06.14#公开

摘要：本发明公开了一种针对Windows平台特种木马检测的方法及系统，该方法包括：根据内存解析规则对被检测设备的内存进行处理，筛选出异常的内存地址并标记；解析并遍历被检测终端设备的硬盘，根据硬盘解析规则扫描出异常硬盘地址并标记；扫描终端设备的进程，根据系统内置名单，处理被HOOK的进程并告警；对被检测终端设备上的网卡流量进行抽帧检测，对异常帧进行标记并保存；通过API对Windows的注册表进行处理，和计算注册表中的内容对比，标记异常数据；根据异常信息和参考值，生成参考值对比结果；根据异常记录，对含有异常信息标记的进程研判，判断其是否为特种木马，并生成研判结果。本发明，能够实现对Windows平台特种木马的检测，可靠性强，安全性高，检测效率高。

主权项：1.一种针对Windows平台特种木马检测的方法，其特征在于，包括以下步骤：根据内存解析规则对被检测终端设备的内存进行快速解析，筛选出异常的内存地址并标记；所述内存解析规则包括线程注入、异常父进程、非规范进程、异常权限进程和孤进程；解析并遍历被检测终端设备的硬盘，根据硬盘解析规则扫描出异常硬盘地址并标记；扫描被检测终端设备的进程，筛选并标记被HOOK的进程，产生告警；对被检测终端设备上的网卡流量进行抽帧检测，对异常帧进行标记并保存；对被检测终端设备上当前进程的模块进行分析，根据系统内置的白名单，标记出不可信的进程及进程中的模块；所述进程的模块包括进程的句柄、子进程、调用API的方式、进程内存特征和数字签名；通过API对Windows的注册表进行读取、解析、分析，扫描并计算注册表中的内容，标记出加密数据、恶意值、异常值；根据异常信息和设定的参考值，生成参考值对比结果；根据参考值的对比结果、标记异常的数量、产生异常的时间，对含有异常信息标记的进程研判，判断其是否为特种木马，并生成研判结果。

全文数据：

权利要求：

百度查询： 广东云智安信科技有限公司 一种针对Windows平台特种木马检测的方法及系统

免责声明
1、本报告根据公开、合法渠道获得相关数据和信息，力求客观、公正，但并不保证数据的最终完整性和准确性。
2、报告中的分析和结论仅反映本公司于发布本报告当日的职业理解，仅供参考使用，不能作为本公司承担任何法律责任的依据或者凭证。

阅读全文 双屏查看 官方信息 专利公告 收藏专利 下载PDF 下载WORD