(57)【特許請求の範囲】
【請求項１】
目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認するステップと、
前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認するステップと、
前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止するステップとを含む
ことを特徴とするウィルスの処理方法。
【請求項２】
前記目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とのマッチングし得る少なくとも１つのスレッドが存在するか否かを確認するステップは、
前記目的プロセスの名称及び前記名称のハッシュ値の少なくとも一方を取得するステップと、
前記目的プロセスに含まれたスレッドの特徴情報を取得するステップと、
前記目的プロセスの名称及び前記名称のハッシュ値の少なくとも一方と、前記目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースにてマッチング操作を行って、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る少なくとも１つのスレッドがあるか否かを確認するステップとを含む
ことを特徴とする請求項１に記載のウィルスの処理方法。
【請求項３】
前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止するステップの後に、さらに、
前記少なくとも１つのスレッドに対応する目的プロセスが実行する第１ファイルを確認するステップと、
前記ウィルス種類情報に基づいて、前記第１ファイルに修復操作を行って、ファイル名に予め設置された又はランダムに生成された修復識別符号が含まれている第２ファイルを生成するステップと、
前記第２ファイルに対してコピー操作を行って、前記第１ファイルのファイル名と同じ第３ファイルを生成するステップとを含む
ことを特徴とする請求項１に記載のウィルスの処理方法。
【請求項４】
前記第２ファイルにコピー操作を行って第３ファイルを生成した後に、さらに、
システムのリスタート操作を行うことを指示するステップと、
前記第２ファイルを削除するステップとを含む
ことを特徴とする請求項３に記載のウィルスの処理方法。
【請求項５】
前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止するステップは、
前記ウィルス種類情報に基づいて安全修復モードを起動するか否かを確認するステップと、
安全修復モードが起動することを確認すると、通知情報を生成するステップと、
前記通知情報に基づいて、プロセス生成操作の実行を禁止するステップとを含む
ことを特徴とする請求項１〜４の何れか一項に記載のウィルスの処理方法。
【請求項６】
目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認する分析ユニットと、
前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、前記マッチングし得るウィルス特徴情報に基づいてウィルス種類情報を確認する確認ユニットと、
前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止する操作ユニットとを備えている
ことを特徴とするウィルスの処理装置。
【請求項７】
前記確認ユニットは、
前記目的プロセスの名称及び前記名称のハッシュ値の少なくとも一方を取得し、
前記目的プロセスに含まれたスレッドの特徴情報を取得し、
前記目的プロセスの名称及び前記名称のハッシュ値の少なくとも一方と、前記目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースにマッチング操作を行って、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る少なくとも１つのスレッドがあるか否かを確認するために用いられる
ことを特徴とする請求項６に記載のウィルスの処理装置。
【請求項８】
前記装置は、さらに修復ユニットを備えており、前記修復ユニットは、
前記少なくとも１つのスレッドに対応する目的プロセスが実行する第１ファイルを確認し、
前記ウィルス種類情報に基づいて、前記第１ファイルに修復操作を行って、ファイル名に予め設置された又はランダムに生成された修復識別符号が含まれている第２ファイルを生成し
前記第２ファイルにコピー操作を行って、前記第１ファイルのファイル名と同じ第３ファイルを生成するために用いられる
ことを特徴とする請求項６に記載のウィルスの処理装置。
【請求項９】
前記修復ユニットは、さらに、
システムのリスタート操作を行うことを指示し、
前記第２ファイルを削除するために用いられる
ことを特徴とする請求項８に記載のウィルスの処理装置。
【請求項１０】
前記操作ユニットは、
前記ウィルス種類情報に基づいて安全修復モードを起動するか否かを確認し、
安全修復モードが起動することを確認すると、通知情報を生成し、
前記通知情報を発送することによって、プロセス生成操作の実行を禁止したことを通知する
ことを特徴とする請求項６〜９の何れか一項に記載のウィルスの処理装置。
【請求項１１】
コンピュータに、
目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認し、
前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認し、
前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止する、
という操作を行わせることを特徴とするプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、コンピュータ技術に関し、ウィルスの処理方法及び装置に関する。
【背景技術】
【０００２】
ウィルスは、プログラミングされ、又はアプリケーションに挿入されるコンピュータの機能を破壊するデータで、アプリケーションの正常的な使用に影響を及ぼし、自己複製でき、一般的には、一連のコマンド又はプログラムコードの形式で現れる。ウィルスは破壊性、コピー性と伝染性の特徴を有する。システムにおけるファイルがウィルスに感染されると、アンチウィルスエンジンでシステムをスキャンしてウィルスを削除する必要がある。ウィルスのコピー性が強いので、実行されたウィルスはシステムにおける他のファイルを感染しようと企むため、アンチウィルスソフトウェアは、システムにおけるウィルスを完全に削除できない。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
本発明は、システムの安全性を向上するためのウィルスの処理方法及び装置を提供する。
【課題を解決するための手段】
【０００４】
本発明の一態様は、目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認するステップと、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、前記マッチングし得るウィルス特徴情報に基づいてウィルス種類情報を確認するステップと、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止するステップとを含むウィルスの処理方法を提供する。
【０００５】
上記本発明の一態様及び何れの可能な実現方式は、さらに、前記目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とのマッチングし得る少なくとも１つのスレッドが存在するか否かを確認するステップは、前記目的プロセスの名称及び／又は前記名称のハッシュ値を取得するステップと、前記目的プロセスに含まれたスレッドの特徴情報を取得するステップと、前記目的プロセスの名称及び／又は前記名称のハッシュ値と、前記目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースにてマッチング操作を行って、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る少なくとも１つのスレッドがあるか否かを確認するステップとを含むウィルスの処理方法を提供する。
【０００６】
上記本発明の一態様及び何れの可能な実現方式は、さらに、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止するステップの後に、さらに、前記少なくとも１つのスレッドに対応する目的プロセスが実行する第１ファイルを確認するステップと、前記ウィルス種類情報に基づいて、前記第１ファイルに修復操作を行って、ファイル名に予め設置された又はランダムに生成された修復識別符号が含まれている第２ファイルを生成するステップと、前記第２ファイルに対してコピー操作を行って、前記第１ファイルのファイル名と同じ第３ファイルを生成するステップとを含むウィルスの処理方法を提供する。
【０００７】
上記本発明の一態様及び何れの可能な実現方式は、さらに、前記第２ファイルにコピー操作を行って第３ファイルを生成した後に、さらに、システムのリスタート操作を行うことを指示するステップと、前記第２ファイルを削除するステップとを含むウィルスの処理方法を提供する。
【０００８】
上記本発明の一態様及び何れの可能な実現方式は、さらに、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止するステップは、前記ウィルス種類情報に基づいて安全修復モードを起動するか否かを確認するステップと、安全修復モードが起動することを確認すると、通知情報を生成するステップと、前記通知情報に基づいて、プロセス生成操作の実行を禁止するステップとを含むウィルスの処理方法を提供する。
【０００９】
本発明のもう１つの態様は、目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認する分析ユニットと、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、前記マッチングし得るウィルス特徴情報に基づいてウィルス種類情報を確認する確認ユニットと、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止する操作ユニットとを備えているウィルスの処理装置を提供する。
【００１０】
上記本発明のもう１つの態様及び何れの可能な実現方式は、さらに、前記確認ユニットは、前記目的プロセスの名称及び／又は前記名称のハッシュ値を取得し、前記目的プロセスに含まれたスレッドの特徴情報を取得し、前記目的プロセスの名称及び／又は前記名称のハッシュ値と、前記目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースにマッチング操作を行って、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る少なくとも１つのスレッドがあるか否かを確認するために用いられるウィルスの処理装置を提供する。
【００１１】
上記本発明のもう１つの態様及び何れの可能な実現方式は、さらに、前記装置は、さらに修復ユニットを備えており、前記修復ユニットは、前記少なくとも１つのスレッドに対応する目的プロセスが実行する第１ファイルを確認し、前記ウィルス種類情報に基づいて、前記第１ファイルに修復操作を行って、ファイル名に予め設置された又はランダムに生成された修復識別符号が含まれている第２ファイルを生成し前記第２ファイルにコピー操作を行って、前記第１ファイルのファイル名と同じ第３ファイルを生成するために用いられるウィルスの処理装置を提供する。
【００１２】
上記本発明のもう１つの態様及び何れの可能な実現方式は、さらに、前記修復ユニットは、さらに、システムのリスタート操作を行うことを指示し、前記第２ファイルを削除するために用いられるウィルスの処理装置を提供する。
【００１３】
上記本発明のもう１つの態様及び何れの可能な実現方式は、さらに、前記操作ユニットは、前記ウィルス種類情報に基づいて安全修復モードを起動するか否かを確認し、安全修復モードが起動することを確認すると、通知情報を生成し、前記通知情報を発送することによって、プロセス生成操作の実行を禁止したことを通知するウィルスの処理装置を提供する。
【００１４】
本発明のもう１つの態様は、コンピュータに、目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認し、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認し、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止する、という操作を行わせるプログラムを提供する。
【００１５】
本発明のもう１つの態様は、目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認するように、配置される第１プログラム製品部と、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認するように、配置される第２プログラム製品部と、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止するように、配置される第３プログラム製品部と、を含むコンピュータプログラム製品を提供する。
【００１６】
上記技術案によると、本発明の実施例は、目的プロセスに含まれたスレッドの特徴を分析することによって、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認し、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認して、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止し、プロセス生成操作の実行を禁止する措置を採用していることによって、システムにおけるウィルスのコピーを有効的に阻止でき、システムの安全性を向上させた。
【００１７】
また、本発明で提供した技術案は、ファイルをユニットとして特徴分析を行うことではなく、目的プロセスに含まれたスレッドをユニットとして特徴分析を行い、特徴分析の細分性を小さくするため、システムの安全性をさらに向上させる。
【図面の簡単な説明】
【００１８】
本発明の実施例における技術案をより明確に説明するために、以下では、実施例又は従来の技術の記載に必要な図面を簡単に説明する。なお、以下に説明した図面は本発明の一部の実施例で、当業者にとって、創造的な創作をすることなく、これらの図面から他の図面が得られることも言うまでもない。
【図１】図１は、本発明の一実施例で提供するウィルスの処理方法の模式的なフロー図である。
【図２】図２は、本発明の他の実施例で提供するウィルスの処理装置の模式的な構造図である。
【図３】図３は、本発明の他の実施例で提供するウィルスの処理装置の模式的な構造図である。
【発明を実施するための形態】
【００１９】
本発明の実施例の目的、技術案及び利点をより明確にするために、以下、本発明の実施例における図面を用いて、本発明の実施例における技術案を明確かつ完全的に説明する。なお、ここに記載の実施例は本発明の実施例の一部であり、実施例のすべてではないことは言うまでもない。当業者にとって、本発明の実施例に基づいて、創造的な創作をしない前提で得た全部の他の実施例は、何れも本願の保護しようとする範囲に属する。
【００２０】
また、本明細書で、用語「及び／又は」はただ関連対象の関連関係を記載するものであり、例えば、Ａ及び／又はＢの場合は、Ａが単独に存在、ＡとＢが同時に存在、Ｂが単独に存在する３つの場合を含む。また、本明細書で記号「／」は、一般的に前後の関連対象は「又は」の関係であることを意味する。
【００２１】
図１は、本発明の一実施例で提供するウィルスの処理方法の模式的なフロー図である。
【００２２】
図１に示すように、
１０１：目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認する。
【００２３】
ここで、前記目的プロセスはシステムにおける全部のプロセスであると理解すべきである。
【００２４】
１０２：前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認する。
【００２５】
具体的に、スナップショット（ｓｎａｐｓｈｏｔ）の方法で、システムにおけるプロセスをトラバースして、例えば、プロセスの名称、スレッドの名称、スレッドの状態、及びスレッドの行為などの各プロセスのプロセス情報を得てもよい。
【００２６】
１０３、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止する。
【００２７】
ここで、ウィルスは、コンピュータウィルスとも呼ばれ、トロイの木馬、バックドア、ローカルネットワーム、メールワーム、スパイウェア、伝染型ウィルス、又はＲｏｏｔｋｉｔｓ／Ｂｏｏｔｋｉｔｓを含むが、これらに限定されない。
【００２８】
なお、１０１〜１０３の実行主体は、アンチウィルスエンジンであってもよく、ローカルのクライアント側でオフライン操作を行ってウィルスを削除し、又はネットワーク側のサーバーでオンライン操作を行ってウィルスを削除してもよく、本実施例はこれに対して限定しない。
【００２９】
前記クライアント側は、端末にインストールされたアプリケーションであってもよく、又はブラウザのウェブページであってもよく、ウィルスの削除を実現でき、安全なシステム環境を提供できる形式であれば何れでもよく、本実施例は、これに対して限定しないことを理解できる。
【００３０】
これにより、目的プロセスに含まれたスレッドの特徴を分析することによって、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認し、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認して、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止し、プロセス生成操作の実行を禁止する措置を採用していることによって、システムにおけるウィルスのコピーを有効的に阻止でき、システムの安全性を向上させた。
【００３１】
本実施例の可能な１つの実現方式は、１０１において、アンチウィルスエンジンは具体的に前記目的プロセスの名称及び／又は前記名称のハッシュ値を取得する。そして、前記アンチウィルスエンジンは、前記目的プロセスに含まれたスレッドの特徴情報を取得する。そして、前記アンチウィルスエンジンは、前記目的プロセスの名称及び／又は前記名称のハッシュ値と、前記目的プロセスに含まれたスレッドの特徴情報とに基づいて、ウィルス特徴データベースでマッチング操作を行って、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る少なくとも１つのスレッドがあるか否かを確認する。
【００３２】
ここで、特徴情報は、動的特徴及び／又は静的特徴を含んでいてもよい。動的特徴は、ウィルス行為をウィルスの判断根拠とし、静的特徴は、ウィルスの特徴コードをウィルスの判断根拠として理解することができる。
【００３３】
具体的に、前記ウィルス特徴データベースには、プロセスの識別（例えば、目的プロセスの名称及び／又は前記名称のハッシュ値）、スレッドの特徴情報、及びウィルス特徴情報的識別（ＩＤ）などのウィルス特徴情報に関する情報を記憶しているが、本発明は、これを特別に限定しない。
【００３４】
例えば、アンチウィルスエンジンは、具体的に、前記目的プロセスの名称及び／又は前記名称のハッシュ値に基づいて、ウィルス特徴データベースで第１回のマッチング操作を行って、前記目的プロセスにウィルス特徴データベースに含まれたプロセスの名称とのマッチングが成功する少なくとも１つの目的プロセスが存在するか否かを確認する。
【００３５】
マッチングすると、前記アンチウィルスエンジンは、さらにマッチングに成功した目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースで第２回のマッチングを行って、マッチングが成功した目的プロセスに含まれたスレッドにおいて、ウィルス特徴データベースに含まれた該当目的プロセスに対応するウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認する。もし上記スレッドが存在しないと、前記アンチウィルスエンジンは、さらにマッチングに成功した目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースで第３回のマッチングを行って、マッチングに成功した目的プロセスに含まれたスレッドにウィルス特徴データベース中に含まれた該当目的プロセスに対応するウィルス特徴情報以外の他のウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認する。
【００３６】
一方、もし上記スレッドがマッチングされないと、前記アンチウィルスエンジンは、さらに前記目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースで第２回のマッチングを行って、前記目的プロセスに含まれたスレッドにウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る少なくとも１つのスレッドがあるか否かを確認する。
【００３７】
さらに、１０２の後で、前記アンチウィルスエンジンは、さらに、前記少なくとも１つのスレッドに対して操作を行い、例えば、スレッドサスペンド、又は、スレッドの停止等をするようにプロセス管理ユニットを指示してもよい。
【００３８】
本実施例において、さらに、アンチウィルスエンジンは、予め前記ウィルス特徴データベースに初期化処理を行ってもよい。具体的に、前記アンチウィルスエンジンは、具体的に、プロセスの起動順序によって、前記ウィルス特徴データベースに初期化処理を行ってもよい。
【００３９】
本実施例の可能な一実現方式で、具体的に、アンチウィルスエンジンは、マスク方式を採用することによって前記マッチングに成功したウィルス特徴情報を伝送してもよい。
【００４０】
例えば、１０１で、前記アンチウィルスエンジンは、各スレッドがウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る場合、１つのウィルス特徴コードを記録することができ、そして、前記アンチウィルスエンジンは、記録されたウィルス特徴コードに対してＯＲ演算を行い、１つの戻し値を得る。具体的に、前記アンチウィルスエンジンは、この戻し値をグローバル変数に記憶してもよい。
【００４１】
具体的に、前記ウィルス特徴コードは、ウィルスコードにおける４バイトであり、２，３のコマンドを含み、又は、ウィルスコードにおける他の個数のバイトで、本実施例ではこれに対して特別に限定しない。
【００４２】
１０２で、前記アンチウィルスエンジンは、１０１で取得した戻し値に基づいてＯＲ演算を行い、ウィルス特徴コードを得る。
【００４３】
本実施例の可能な一実現方式は、１０３の後に、アンチウィルスエンジンは、具体的に前記少なくとも１つのスレッドに対応する目的プロセスが実行する第１ファイルを確認してもよい。そして、前記アンチウィルスエンジンは、前記ウィルス種類情報に基づいて、前記第１ファイルに修復操作を行って、ファイル名に予め設置された又はランダムに生成された修復識別符号が含まれている第２ファイルを生成してもよい。そして、前記アンチウィルスエンジンは、前記第２ファイルに対してコピー操作を行って、前記第１ファイルのファイル名と同じ第３ファイルを生成してもよい。
【００４４】
具体的に、前記アンチウィルスエンジンは、具体的に、確認したウィルス種類情報に基づいて、このウィルス種類情報に対応する専門的なアンチウィルスエンジンをアップロードし、前記ウィルス種類情報に基づいて、前記第１ファイルに修復操作を行う。前記第２ファイルは、前記第１ファイルを修復してから生成したファイルであり、ウィルスに伝染されなかったファイルである。まだそのファイル名と第１ファイルのファイル名を同じく設置する場合、専門的なアンチウィルスエンジンはそれに対して走査及びウィルス削除を繰り返して行い、それによって専門的なアンチウィルスエンジンは無限ループになる。本発明の技術案を採用すると、専門的なアンチウィルスエンジンが無限ループになることを効果的に回避できる。
【００４５】
それに応じて、続いて、前記アンチウィルスエンジンは、さらに指示システムにリスタート操作を行うことを指示してもよい。そして、システムのリスタートの過程で、又はシステムリスタートの後で、前記アンチウィルスエンジンは、前記第２ファイルを削除してもよい。例えば、前記アンチウィルスエンジンは、遅延削除表記ビットを設置し、遅延削除表記ビットが「真（Ｔｒｕｅ）」である場合、前記アンチウィルスエンジンは、システムにリスタート操作を実行することを指示でき、そして、修復識別符号に基づいて、前記第２ファイルを確認しそれを削除してもよい。遅延表記ビットが「偽（Ｆａｌｓｅ）」場合、前記アンチウィルスエンジンは、通知情報を生成し、前記通知情報をドライバに発送して、該当ドライバが正常な状態になることにし、即ち、プロセス生成操作を実行することを禁止しなくてもよい。
【００４６】
本実施例の可能な一実現方式は、１０３で、アンチウィルスエンジンは、具体的に前記ウィルス種類情報に基づいて、安全修復モードを起動するか否かを確認してもよい。安全修復モードが起動することを確認したら、前記アンチウィルスエンジンは、通知情報を生成し前記通知情報を発送して、プロセス生成操作の実行を禁止するよう知らせる。
【００４７】
具体的に、前記ウィルス種類情報で表わされたウィルスが具体的にプロセスの常駐特性を有していると、前記アンチウィルスエンジンは、従来の方法を採用して、係るスレッドを直接にサスペンドさせ又は停止させるようにする。一方、前記ウィルス種類情報で表わされたウィルスがマルチプロセス常駐の特性を有していると、前記アンチウィルスエンジンは、ダイアログボックスを弾き出して、ユーザに安全修復モードを起動するか否かを問い合わせる。例えば、ダイアログボックスのコンテンツは、「アンチウィルスご注意：強いｘｘｘウィルスを発見しました。安全修復モードに切り替えて完全に削除して下さい。修復中、他のアプリケーションは操作できません。」である。
【００４８】
そして、ユーザが「確認」ボタンをクリックすると、前記アンチウィルスエンジンは通知情報を生成し、前記通知情報をドライバに発送して該当ドライバにプロセス生成操作を実行することを禁止しようと知らせ、ユーザが「キャンセル」ボタンをクリックすると、前記アンチウィルスエンジンは従来の方法を利用して、かかるスレッドを直接にサスペンドさせ又は停止させるようにする。
【００４９】
本実施例で、目的プロセスに含まれたスレッドの特徴を分析することによって、前記目的プロセスに含まれたスレッドにおいて、ウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認し、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認して、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止し、プロセス生成操作の実行を禁止する措置を採用していることによって、システムにおけるウィルスのコピーを有効的に阻止でき、システムの安全性を向上させた。
【００５０】
また、本発明で提供する技術案を採用すると、ファイルをユニットとして特徴分析せず、目的プロセスに含まれたスレッドをユニットとして特徴分析を行い、特徴分析の細分性を小さくするため、システムの安全性を向上できる。
【００５１】
前記の各方法の実施例に対して、簡単に説明するために、それらを一連の動作として記載したが、当業者にとって、本発明は記載した動作の順序に限定されず、一部のステップは他の順序で又は同時に行ってもよい。また、当業者にとって、明細書に記載した実施例は何れも好ましい実施例であり、かかる動作及びモジュールは本発明で必ず必要なものではない。
【００５２】
前記実施例で、各実施例の記載にはそれぞれ重点があり、ある実施例で詳しく記載しなかった部分は、他の実施例に係る記載を参照してもよい。
【００５３】
図２は、本発明のもう一実施例で提供するウィルスの処理装置の模式的な構造図である。図２に示すように、本実施例的ウィルスの処理装置は、分析ユニット２１と、確認ユニット２２と、操作ユニット２３とを備えていてもよい。
【００５４】
ここで、分析ユニット２１は、目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにウィルス特徴情報とのマッチングし得る少なくとも１つのスレッドが存在するか否かを確認する。ここで、前記目的プロセスは、システムにおける全部のプロセスであると理解してよい。
【００５５】
確認ユニット２２は、前記目的プロセスに含まれたスレッドにウィルス特徴情報とのマッチングし得る少なくとも１つのスレッドが存在する場合、前記マッチングし得るウィルス特徴情報に基づいてウィルス種類情報を確認する。具体的に、前記確認ユニット２２は、スナップショット方法を利用して、システムにおけるプロセスをトラバースして、例えば、プロセスの名称、スレッドの名称、スレッドの状態、スレッドの行為などの各プロセスのプロセス情報を得てもよい。
【００５６】
操作ユニット２３は、前記ウィルス種類情報に基づいて、プロセス生成操作の実行を禁止する。ここで、ウィルスは、コンピュータウィルスとも呼ばれ、トロイの木馬、バックドア、ランドネットワーム、メールワーム、スパイウェア、伝染型ウィルス、又はＲｏｏｔｋｉｔｓ／Ｂｏｏｔｋｉｔｓを含むが、これらに限定されない。
【００５７】
本実施例で提供するウィルスの処理装置は、アンチウィルスエンジンであってもよく、ローカルのクライアント側でオフライン操作を行ってウィルスを削除し、又はネットワーク側のサーバーでオンライン操作を行ってウィルスを削除してもよく、本実施例はこれに対して限定しない。
【００５８】
前記クライアント側は、端末にインストールされたアプリケーションであってもよく、又はブラウザのウェブページであってもよく、ウィルスの削除を実現でき、安全なシステム環境を提供できる形式であれば何れでもよく、本実施例は、これに対して限定しないことを理解できる。
【００５９】
分析ユニットが目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認し、確認ユニットが前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、前記マッチングし得るウィルス特徴情報に基づいてウィルス種類情報を確認して、操作ユニットは、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止することによって、プロセス生成操作の実行を禁止する措置を採用したので、システムにおけるウィルスのコピーを有効的に阻止でき、システムの安全性を向上させる。
【００６０】
本実施例の可能な一実現方式で、前記確認ユニット２２は、具体的に、前記目的プロセスの名称及び／又は前記名称のハッシュ値を取得し、前記目的プロセスに含まれたスレッドの特徴情報を取得し、前記目的プロセスの名称及び／又は前記名称のハッシュ値と、前記目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースにマッチング操作を行って、前記目的プロセスに含まれたスレッドにウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る少なくとも１つのスレッドがあるか否かを確認する。
【００６１】
ここで、特徴情報は、動的特徴及び／又は静的特徴を含んでいてもよい。動的特徴は、ウィルス行為をウィルスの判断根拠とし、静的特徴は、ウィルスの特徴コードをウィルスの判断根拠として理解することができる。
【００６２】
具体的に、前記ウィルス特徴データベースには、プロセスの識別（例えば、目的プロセスの名称及び／又は前記名称のハッシュ値）、スレッドの特徴情報、及びウィルス特徴情報的識別（ＩＤ）などのウィルス特徴情報に関する情報を記憶しているが、本発明は、これを特別に限定しない。
【００６３】
例えば、
前記確認ユニット２２は、具体的に、前記目的プロセスの名称及び／又は前記名称のハッシュ値に基づいて、ウィルス特徴データベースで第１回のマッチング操作を行って、前記目的プロセスにウィルス特徴データベースに含まれたプロセスの名称とのマッチングが成功する少なくとも１つの目的プロセスが存在するか否かを確認する。
【００６４】
マッチングすると、前記確認ユニット２２、さらにマッチングに成功した目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースで第２回のマッチングを行って、マッチングが成功した目的プロセスに含まれたスレッドにウィルス特徴データベースに含まれた該当目的プロセスに対応するウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認する。もし上記スレッドが存在しないと、前記確認ユニット２２は、さらに、マッチングに成功した目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースで第３回のマッチングを行って、マッチングに成功した目的プロセスに含まれたスレッドにウィルス特徴データベース中に含まれた該当目的プロセスに対応するウィルス特徴情報以外の他のウィルス特徴情報とのマッチングし得る少なくとも１つのスレッドが存在するか否かを確認する。
【００６５】
一方、もし上記スレッドがマッチングに成功しなかった場合、前記確認ユニット２２は、さらに前記目的プロセスに含まれたスレッドの特徴情報に基づいて、ウィルス特徴データベースで第２回のマッチングを行って、前記目的プロセスに含まれたスレッドにウィルス特徴データベースに含まれたウィルス特徴情報とのマッチングし得る少なくとも１つのスレッドがあるか否かを確認する。
【００６６】
さらに、１０２の後で、前記確認ユニット２２は、さらに、前記少なくとも１つのスレッドに対して操作を行い、プロセス管理ユニットに、例えば、サスペンドスレッド、又は、スレッドの停止等をするようにプロセス管理ユニットを指示してもよい。
【００６７】
本実施例において、さらに、本実施例で提供する装置は、予め前記ウィルス特徴データベースに初期化処理を行ってもよい。具体的に、プロセスの起動順序によって、前記ウィルス特徴データベースに初期化処理を行ってもよい。
【００６８】
本実施例の可能な一実現方式で提供されたウィルスの処理装置は、例えば、分析ユニット２１と、確認ユニット２２と、操作ユニット２３等は、具体的にマスク方式によって前記マッチングに成功したウィルス特徴情報を伝送してもよい。
【００６９】
例えば、前記分析ユニット２１は、各スレッドがウィルス特徴データベースに含まれたウィルス特徴情報とマッチングし得る場合、１つのウィルス特徴コードを記録することができ、そして、前記分析ユニット２１は、記録されたウィルス特徴コードのＯＲ演算を行い、１つの戻し値を得る。具体的に、前記アンチウィルスエンジンは、この戻し値をグローバル変数に記憶してもよい。
【００７０】
具体的に、前記ウィルス特徴コードは、ウィルスコードにおける４バイトであり、２，３のコマンドを含み、又は、ウィルスコードにおける他の個数のバイトで、本実施例ではこれに対して特別に限定しない。
【００７１】
前記確認ユニット２２は、前記分析ユニット２１が取得した戻し値に基づいてＯＲ演算を行い、ウィルス特徴コードを得る。
【００７２】
本実施例の可能な一実現方式は、図３に示すように、本実施例で提供するウィルスの処理装置は、さらに、前記少なくとも１つのスレッドに対応する目的プロセスが実行する第１ファイルを確認し、前記ウィルス種類情報に基づいて、前記第１ファイルに修復操作を行って、ファイル名に予め設置又はランダムに生成された修復識別符号を含まれている第２ファイルを生成し、前記第２ファイルに対してコピー操作を行って、前記第１ファイルのファイル名と同じ第３ファイルを生成する修復ユニット３１を含んでいてもよい。
【００７３】
具体的に、前記修復ユニット３１は、具体的に、前記確認ユニット２２が確認したウィルス種類情報に基づいて、このウィルス種類情報に対応する専門的なアンチウィルスエンジンをアップロードし、前記ウィルス種類情報に基づいて、前記第１ファイルに修復操作を行う。前記第２ファイルは、前記第１ファイルを修復してから生成したファイルであり、ウィルスに伝染されなかったファイルである。まだそのファイル名と第１ファイルのファイル名を同じく設置する場合、専門的なアンチウィルスエンジンはそれに対して走査及びウィルス削除を繰り返して行い、それによって専門的なアンチウィルスエンジンは無限ループになる。本発明の技術案を採用すると、専門的なアンチウィルスエンジンが無限ループになることを効果的に回避できる。
【００７４】
それに応じて、前記修復ユニット３１は、さらに指示システムにリスタート操作を行うことを指示し、前記第２ファイルを削除してもよい。具体的に、システムリスタートの過程で、又はシステムリスタートの後で、前記修復ユニット３１は、前記第２ファイルを削除してもよい。例えば、前記修復ユニット３１は、遅延削除表記ビットを設置し、遅延削除表記ビットが「真」である場合、前記修復ユニット３１は、システムにリスタート操作を実行することを指示でき、そして、修復識別符号に基づいて、前記第２ファイルを確認しそれを削除してもよい。遅延表記ビットが「偽」場合、前記アンチウィルスエンジンは、通知情報を生成し、前記通知情報をドライバに発送して、該当ドライバが正常な状態になることにし、即ち、プロセス生成操作を実行することを禁止しなくてもよい。
【００７５】
本実施例の可能な一実現方式は、前記操作ユニット２３は、具体的に前記ウィルス種類情報に基づいて、安全修復モードを起動するか否かを確認してもよく、安全修復モードが起動することを確認したら、前記アンチウィルスエンジンは、通知情報を生成し前記通知情報を発送して、プロセス生成操作の実行を禁止するよう知らせる。
【００７６】
具体的に、前記ウィルス種類情報で表わされたウィルスが具体的にプロセスの常駐特性を有していると、前記操作ユニット２３は、従来の方法を採用して、係るスレッドを直接にサスペンドさせ又は停止させるようにする。一方、前記ウィルス種類情報で表わされたウィルスがマルチプロセス常駐の特性を有していると、前記操作ユニット２３は、ダイアログボックスを弾き出して、ユーザに安全修復モードを起動するか否かを問い合わせる。例えば、ダイアログボックスのコンテンツは、「アンチウィルスご注意：強いｘｘｘウィルスを発見しました。安全修復モードに切り替えて完全に削除して下さい。修復中、他のアプリケーションは操作できません。」である。
【００７７】
そして、ユーザが「確認」ボタンをクリックすると、前記操作ユニット２３は通知情報を生成し、前記通知情報をドライバに発送して該当ドライバにプロセス生成操作を実行することを禁止しようと知らせ、ユーザが「キャンセル」ボタンをクリックすると、前記アンチウィルスエンジンは従来の方法を利用して、かかるスレッドを直接にサスペンドさせ又は停止させてもよい。
【００７８】
本実施例で、分析ユニットが、目的プロセスに含まれたスレッドの特徴を分析して、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在するか否かを確認し、さらに、確認ユニットが、前記目的プロセスに含まれたスレッドにウィルス特徴情報とマッチングし得る少なくとも１つのスレッドが存在する場合、マッチングに成功した前記ウィルス特徴情報に基づいてウィルス種類情報を確認し、操作ユニットが、前記ウィルス種類情報に基づいてプロセス生成操作の実行を禁止することによって、プロセス生成操作の実行を禁止する措置を採用したので、システムにおけるウィルスのコピーを有効的に阻止でき、システムの安全性を向上させた。
【００７９】
また、本発明で提供する技術案を採用すると、ファイルをユニットとして特徴分析せず、目的プロセスに含まれたスレッドをユニットとして特徴分析を行い、特徴分析の細分性を小さくするため、システムの安全性を向上できる。
【００８０】
本分野の当業者であれば、便利かつ簡潔に説明するために、前記記載のシステム、装置やユニットの具体的な動作過程は、前記方法の実施例における対応する過程を参照するとよく、ここでは重複に説明しない。
【００８１】
本発明で提供する幾つかの実施例によって、開示したシステム、装置、方法は、他の方式によって実現できることを了解すべきである。例えば、以上に記載した装置の実施例は、ただ例示的なもので、例えば、前記ユニットの分類はただロジック機能の分類で、実際に実現する時は、他の分類方式があり、例えば、複数のユニット或いはモジュールは結合されてもよく、又は別のシステムに集積されてもよく、又はある特徴は省略或いは実行しなくてもよい。また、前記記載また討論した互いの結合、直接結合又は通信接続はあるインタフェース、装置又はユニットを通じて間接に結合又は通信接続されてもよく、電気的、機械的、または他の形式でもよい。
【００８２】
前記の分けた部材として説明したユニットは、物理的に分けても分けなくてもよく、ユニットとして表示された部材は物理ユニットであってもよくなくてもよく、１つの場所にあってもよく、又は複数のネットワークユニットに配置されてもよい。実際の必要によって、それらの一部又は全部のユニットを選択して、本実施例の方案の目的を実現してもよい。
【００８３】
また、本発明の各実施例における各機能ユニットは１つの処理ユニットに集積してもよく、各ユニットが単独に物理的に存在してもよく、２つ以上のユニットが１つのユニットに集積されてもよい。前記集積されたユニットはハードウェアの形式で実現でき、ハードウェアとソフトウェア機能ユニットの組み合わせ形式によって実現してもよい。
【００８４】
前記のソフト機能ユニットの形式に実現した集積ユニットは、コンピュータの読み取り可能な記憶媒体に記憶されていてもよい。前記ソフト機能ユニットは記憶媒体に記憶され、コンピュータ装置（パーソナルコンピュータ、サーバー、又はネットワーク装置等）又はプロセッサ（ｐｒｏｃｅｓｓｏｒ）に本発明の各実施例に記載の前記方法の一部ステップを実行させるように、若干のコマンドを含んでいる。前記記憶媒体は、ＵＳＢフラッシュディスク、移動ハードディスク、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ、）、ＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）、ディスク又は光ディスク等の色々なプログラムコードを記憶できる媒体である。
【００８５】
最後に、以上の実施例はただ本発明の技術案を説明するためのものであり、それに対しての限定ではない。前記の実施例を参照して本発明を詳細に説明したが、当業者にとって、前記の各実施例に記載の技術案はまだ修正でき、又はそれの一部の技術特徴に対して均等の置換を実施できる。これらの修正又は置換は、相応する技術案の主旨は本発明の各実施例に記載を技術案の主旨及び範囲に属する。
【図１】
0005888386.tif 000002
【図２】
0005888386.tif 000003
【図３】
0005888386.tif 000004