СИСТЕМА И СПОСОБ АППАРАТНОГО ОБНАРУЖЕНИЯ И ЛЕЧЕНИЯ НЕИЗВЕСТНОГО ВРЕДОНОСНОГО ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ, УСТАНОВЛЕННОГО НА ПЕРСОНАЛЬНОМ КОМПЬЮТЕРЕ

1. Способ аппаратного обнаружения и лечения неизвестного вредоносного ПО, установленного на ПК, содержащий этапы, на которых:
I. подготавливают и осуществляют серию экспериментов, при этом экспериментом является осуществление имитации подключения к проверяемому ПК внешнего устройства или другого ПК;
II. производят анализ данных, полученных в ходе всех экспериментов;
III. определяют в рамках анализа данных, полученных в ходе всех экспериментов, наличие неизвестного вредоносного ПО на проверяемом ПК и определяют, возможно ли механизмом лечения удалить обнаруженное неизвестное вредоносное ПО, при этом:
А. если обнаружено неизвестное вредоносное ПО на проверяемом ПК, для которого существует возможность удаления с помощью механизма лечения, то формируют механизм лечения и применяют его к проверяемому ПК.
2. Способ по п.1, в котором механизмом лечения является, по меньшей мере, сценарий, и механизм лечения позволяет, по меньшей мере, удалить вредоносное ПО на проверяемом ПК.
3. Способ по п.1, в котором количество экспериментов задано или определяется в динамике в зависимости от результатов выполненных экспериментов.
4. Способ по п.1, в котором в рамках подготовки к эксперименту выбирают тип имитируемого устройства, данные, которые его идентифицируют, а также информацию, которой будет заполнено данное имитируемое устройство.
5. Способ по п.4, в котором имитируемое внешнее устройство или другой ПК заполнены информацией, целостность которой нарушает вредоносное ПО, установленное на проверяемом ПК, и по анализу добавлений и изменений в данной информации после прекращения эксперимента происходит определение факта наличия на проверяемом ПК вредоносного ПО.
6. Способ по п.1, в котором после каждого эксперимента проводят антивирусную проверку той информации, целостность которой была нарушена по сравнению с состоянием до осуществления эксперимента, позволяющую обнаружить известное вредоносное ПО на проверяемом ПК и определить, возможно ли механизмом лечения удалить обнаруженное известное вредоносное ПО.
7. Способ по п.6, в котором осуществляется формирование механизма лечения и удаление известного вредоносного ПО с возможностью удаления с помощью механизма лечения, обнаруженного на проверяемом ПК при антивирусной проверке, путем применения механизма лечения к проверяемому ПК, после чего формируется и осуществляется следующий эксперимент.
8. Способ по п.1, в котором информация, целостность которой была нарушена по сравнению с состоянием до осуществления эксперимента, сохраняется для анализа после проведения всех экспериментов в случае, если при антивирусной проверке обнаружено наличие на проверяемом ПК неизвестного вредоносного ПО.
9. Способ по п.8, в котором, если при антивирусной проверке обнаружено наличие на проверяемом ПК неизвестного вредоносного ПО, то формируется и осуществляется следующий эксперимент, при этом эксперимент формируется с учетом необходимости изучить в ходе данного эксперимента, по меньшей мере, одной особенности поведения неизвестного вредоносного ПО.
10. Способ по п.1, в котором анализ данных, полученных в ходе всех экспериментов, предназначен для выделения закономерностей в поведении неизвестного вредоносного ПО, установленного на проверяемом ПК, на основании которых определяется, возможно ли механизмом лечения удалить обнаруженное неизвестное вредоносное ПО.
11. Способ по п.1, в котором формируют рекомендации, которые следует использовать, чтобы вручную удалить обнаруженное вредоносное ПО или препятствовать его распространению в случае, если для обнаруженного вредоносного ПО на проверяемом ПК не существует возможности удаления с помощью механизма лечения.
12. Система аппаратного обнаружения и лечения неизвестного вредоносного ПО, установленного на ПК, содержащая:
I. по меньшей мере, один модуль подключения устройства, связанный с контроллером, который предназначен для соединения проверяемого ПК с заявленной системой, информирования контроллера о факте подключения, передачи на данный проверяемый ПК экспериментов и механизмов лечения, при этом модуль подключения выполнен с возможностью получать от проверяемого ПК данные в ходе каждого эксперимента;
II. упомянутый контроллер, также связанный с антивирусным модулем и предназначенный для:
А. инициирования антивирусного модуля после получения от модуля подключения информации о том, что заявленная система подключена к проверяемому ПК;
В. передачи от антивирусного модуля на модуль подключения экспериментов и механизмов лечения, а также передачи данных в ходе каждого эксперимента от модуля подключения на антивирусный модуль;
III. упомянутый антивирусный модуль, также связанный с, по меньшей мере, одним модулем памяти, и предназначенный для:
А. подготовки экспериментов и передачи их на проверяемый ПК, при этом экспериментом, который формирует и осуществляет антивирусный модуль, является имитация подключения к проверяемому ПК внешнего устройства или другого ПК;
В. проведения анализа данных, полученных в ходе всех экспериментов;
С. определения в рамках анализа данных, полученных в ходе всех экспериментов, наличия неизвестного вредоносного ПО на ПК, оценки возможности удаления данного неизвестного вредоносного ПО с помощью механизма лечения, и, если существует возможность удаления данного неизвестного вредоносного ПО с помощью механизма лечения, то формирования механизма лечения и применения его к проверяемому ПК.
IV. по меньшей мере, один модуль памяти, связанный с антивирусным модулем и содержащий информацию, необходимую для подготовки экспериментов, осуществления антивирусной проверки, а также для формирования механизма лечения обнаруженного вредоносного ПО, установленного на проверяемом ПК, для которого существует возможность удаления с помощью механизма лечения.
13. Система по п.12, в которой механизмом лечения, формируемым антивирусным модулем, является, по меньшей мере, сценарий, и механизм лечения, формируемый антивирусным модулем, позволяет, по меньшей мере, удалить вредоносное ПО на проверяемом ПК.
14. Система по п.12, в которой модуль памяти содержит:
А. контентную базу данных, содержащую объем данных, который предназначен для формирования эксперимента, а именно для заполнения имитируемого внешнего устройства или другого ПК;
В. базу данных идентификаторов устройств, содержащую объем данных, который предназначен для формирования эксперимента, а именно для определения и идентификации имитируемого устройства или другого ПК;
С. базу данных с результатами экспериментов, которая разделена на две части, при этом первая часть содержит изменяемые эксперименты, которые передаются на проверяемый ПК, а вторая часть содержит неизменяемые эксперименты, которые являются копией изменяемых экспериментов, на проверяемый ПК не передаются и используются для сравнения с информацией из первой части указанной базы данных с результатами экспериментов после прекращения эксперимента;
D. антивирусную базу данных, выполненную с возможностью обновления и содержащую информацию, предназначенную для осуществления антивирусной проверки с целью обнаружения известного вредоносного ПО, установленного на проверяемом ПК, а также предназначенную для хранения информации, которая была добавлена или изменена в изменяемом эксперименте.
15. Система по п.12, в которой антивирусный модуль для формирования эксперимента выбирает данные из контентной базы данных и базы данных идентификаторов, которые позволяют определить и идентифицировать имитируемое устройство или другой ПК, а также информацию, которой будет заполнено имитируемое устройство или другой ПК, далее помещает данный эксперимент в первую и вторую часть базы данных с результатами экспериментов, и передает на проверяемый ПК через контроллер и модуль подключения изменяемый эксперимент из первой части базы данных с экспериментами.
16. Система по п.12, в которой вредоносное ПО нарушает целостность изменяемого эксперимента, а именно информации, которой заполнено имитируемое устройство или другой ПК, и по анализу добавлений и изменений в изменяемом эксперименте антивирусный модуль может определить факт наличия на проверяемом ПК вредоносного ПО.
17. Система по п.16, в которой антивирусный модуль после прекращения эксперимента сравнивает изменяемый и неизменяемый эксперименты, и, если обнаружено нарушение целостности изменяемого эксперимента по сравнению с неизменяемым, то антивирусный модуль запускает антивирусную проверку с целью обнаружить известное вредоносное ПО, установленное на проверяемом ПК, при этом для целей антивирусной проверки антивирусный модуль использует данные из антивирусной базы данных.
18. Система по п.16, в которой антивирусный модуль определяет, возможно ли механизмом лечения удалить обнаруженное известное вредоносное ПО, и, если существует возможность осуществить удаление обнаруженного известного вредоносного ПО с помощью механизма лечения, то антивирусный модуль формирует механизм лечения и применяет его к проверяемому ПК, удаляя известное вредоносное ПО, после чего антивирусный модуль формирует и осуществляет следующий эксперимент.
19. Система по п.16, в которой данные, которые были добавлены или изменены в изменяемом эксперименте, сохраняются в антивирусной базе данных для анализа после проведения всех экспериментов, если в рамках антивирусной проверки антивирусным модулем обнаружено наличие на проверяемом ПК неизвестного вредоносного ПО.
20. Система по п.16, в которой, если при антивирусной проверке антивирусным модулем обнаружено наличие на проверяемом ПК неизвестного вредоносного ПО, то антивирусным модулем формируется и осуществляется следующий эксперимент, при этом эксперимент формируется с учетом необходимости изучить в ходе данного эксперимента, по меньшей мере, одной особенности поведения неизвестного вредоносного ПО.
21. Система по п.12, в которой количество экспериментов, которое должен выполнить антивирусный модуль, задано или определяется антивирусным модулем в динамике в зависимости от результатов выполненных экспериментов.
22. Система по п.12, в которой выполняемый антивирусным модулем анализ данных, полученных в ходе всех экспериментов, позволяет выделить закономерности в поведении неизвестного вредоносного ПО, установленного на проверяемом ПК, на основании которых антивирусный модуль определяет, возможно ли механизмом лечения удалить обнаруженное неизвестное вредоносное ПО.
23. Система по п.12, в которой антивирусный модуль выполнен с возможностью передачи информации о ходе выполнения заявленной системой экспериментов на контроллер, а также формирования отчета о проделанных экспериментах и передачи его на контроллер.
24. Система по п.12, в которой антивирусный модуль формирует и передает на контроллер рекомендации, которые следует использовать, чтобы вручную удалить вредоносное ПО или препятствовать его распространению, если для обнаруженного антивирусным модулем вредоносного ПО не существует возможности удаления с помощью механизма лечения.
25. Система по п.12, в которой антивирусный модуль передает данные, имеющие отношение к обнаруженному неизвестному вредоносному ПО, для которого не существует возможности удаления с помощью механизма лечения, на контроллер с целью дальнейшей передачи третьей стороне.
26. Система по п.12, которая дополнительно содержит модуль питания, предназначенный для обеспечения автономной работы заявленной системы.
27. Система по п.12, которая дополнительно содержит модуль связи, предназначенный для получения от контроллера данных, которые имеют отношение к неизвестному вредоносному ПО, для которого не существует возможности удаления с помощью механизма лечения, с целью передачи третьей стороне, получения информации от третьей стороны и передачи данной информации на контроллер.
28. Система по п.12, которая дополнительно содержит модуль управления и отображения информации, предназначенный управления системой, а также для предоставления информации о ходе выполнения заявленной системой экспериментов и для предоставления отчета о проделанных системой экспериментах, а также для предоставления рекомендаций, которые следует использовать, чтобы вручную удалить вредоносное ПО или препятствовать его распространению.
29. Система по п.12, в которой контроллер связан с такими дополнительными средствами, как модуль связи и модуль управления и отображения информации, и предназначен для:
- получения от модуля подключения информации о том, что заявленная система подключена к проверяемому ПК и последующего инициирования антивирусного модуля;
- получение от антивирусного модуля экспериментов и механизмов лечения и передача их на модуль подключения;
- получения от антивирусного модуля информации о ходе выполнения заявленной системой экспериментов, а также отчета о проделанных экспериментах и передачи данной информации на модуль управления и отображения информации;
- получения данных, которые имеют отношение к неизвестному вредоносному ПО, для которого не существует возможности возможность удаления с помощью механизма лечения, от антивирусного модуля и передачи этих данных на модуль связи с целью передачи этих данных третьей стороне,
- получения от модуля связи информации, переданной третьей стороной с последующей передачей данной информации на антивирусный модуль с целью обновления антивирусной базы данных.