Способ обнаружения вредоносных файлов на основании фрагментов файлов

1. Способ признания файла вредоносным, реализуемый при помощи электронного вычислительного устройства, согласно которому:
a. выделяют набор фрагментов данных из файла;
при этом фрагментом данных является непрерывная последовательность байт файла фиксированной длины, которая удовлетворяет правилам выделения фрагментов;
при этом правило выделения фрагмента предназначено для выделения только таких фрагментов данных, которые удовлетворяют правилам выделения;
b. для каждого фрагмента данных из выделенного набора определяют категорию фрагмента;
при этом фрагмент относится к категории вредоносных фрагментов, если относительно него известно, что он встречается во вредоносных файлах;
c. осуществляют поиск правила обнаружения, соответствующего набору вредоносных фрагментов данных файла, если количество фрагментов из набора, относящихся к категории вредоносных, превышает пороговое значение;
d. признают файл вредоносным, если было найдено правило, предписывающее признать файл вредоносным.
2. Способ по п. 1, в котором правило выделения фрагментов содержит требования к фрагменту данных, удовлетворение фрагмента данных всем требованиям правила означает удовлетворение фрагмента данных данному правилу выделения фрагментов.
3. Способ по п. 1, в котором поиск правила осуществляется в базе данных правил обнаружения.
4. Способ по п. 1, в котором фрагмент данных файла может относиться к одной из категорий: доверенный, вредоносный, недоверенный.
5. Способ по п. 1, в котором известность присутствия фрагмента данных в файле одной из категорий - вредоносный, доверенный или недоверенный - осуществляется путем поиска соответствующей маски фрагмента в базе данных фрагментов, при этом каждая маска в такой базе данных помечена идентификатором категории файлов, фрагменты данных которых соответствуют упомянутой маске.
6. Способ по п. 1, в котором выделение фрагмента данных не требует декомпиляции файла.