一种恶意程序检测方法、装置及电子设备与流程

技术特征：
1.一种恶意程序检测方法，其特征在于，包括：获取第一待检测信息和第二待检测信息，所述第一待检测信息和所述第二待检测信息为不同目标类程序的应用程序编程接口api信息，或者，为相同目标类程序的api信息，所述目标类程序为恶意程序或非恶意程序；确定所述第一待检测信息和所述第二待检测信息之间的第一最大公共子串；获取所述第一最大公共子串的信息摘要md5值；将所述第一最大公共子串的md5值用于目标类程序检测。2.根据权利要求1所述的方法，其特征在于，所述获取所述第一最大公共子串的信息摘要md5值，包括：计算所述第一最大公共子串中至少一个api的md5值；和/或，所述第一最大公共子串的总md5值。3.根据权利要求2所述的方法，其特征在于，所述获取所述第一最大公共子串的信息摘要md5值之后，还包括：获取所述第一最大公共子串的api数量；所述获取所述第一最大公共子串的信息摘要md5值，包括：计算所述第一最大公共子串中第一个api的md5值；根据所述第一最大公共子串的api数量，确定所述第一最大公共子串中最后一个api；计算所述第一最大公共子串中最后一个api的md5值。4.根据权利要求1所述的方法，其特征在于，所述第一待检测信息和第二待检测信息为不同目标类程序的应用程序编程接口api信息；所述获取第一待检测信息和第二待检测信息之前，还包括：确定第三待检测信息和第四待检测信息之间的第二最大公共子串；将所述第二最大公共子串的md5值用于恶意程序检测；所述获取第一待检测信息和第二待检测信息，包括：从所述第三待检测信息中去除所述第二最大公共子串，得到所述第一待检测信息；从所述第四待检测信息中去除所述第二最大公共子串，得到所述第二待检测信息。5.根据权利要求1所述的方法，其特征在于，所述第一待检测信息和第二待检测信息为相同目标类程序的api信息；所述获取第一待检测信息和第二待检测信息之前，还包括：确定第三待检测信息和第四待检测信息之间的第二最大公共子串；将所述第二最大公共子串的md5值用于恶意程序检测；所述获取第一待检测信息和第二待检测信息，包括：从所述第三待检测信息中去除所述第二最大公共子串，得到所述第一待检测信息和所述第二待检测信息。6.根据权利要求4或5所述的方法，其特征在于，所述获取所述第一最大公共子串的md5值之后，还包括：若所述第一最大公共子串与所述第二最大公共子串相同，则删除所述第一最大公共子串的md5值。
7.根据权利要求1所述的方法，所述确定所述第一待检测信息和所述第二待检测信息之间的第一最大公共子串，包括：若所述第二最大公共子串的长度大于或等于预设长度，则确定所述第一待检测信息和所述第二待检测信息之间的第一最大公共子串。8.根据权利要求1至7任一项所述的方法，其特征在于，所述目标类程序为恶意程序；所述将所述第一最大公共子串的md5值用于目标类程序检测，包括：若目标存储数据中不存在所述第一最大公共子串的md5值，则将所述第一最大公共子串的md5值用于恶意程序检测；其中，所述目标存储数据为用于进行非恶意程序检测的数据。9.一种恶意程序检测装置，其特征在于，包括：接收模块，用于获取第一待检测信息和第二待检测信息，所述第一待检测信息和所述第二待检测信息为不同目标类程序的应用程序编程接口api信息，或者，为相同目标类程序的api信息，所述目标类程序为恶意程序或非恶意程序；处理模块，用于确定所述第一待检测信息和所述第二待检测信息之间的第一最大公共子串；获取所述第一最大公共子串的信息摘要md5值；将所述第一最大公共子串的md5值用于目标类程序检测。10.一种电子设备，其特征在于，包括：处理器，存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现如权利要求1至8任一项所述的一种恶意程序检测方法。

技术总结
本公开涉及一种恶意程序检测方法、装置及电子设备，应用于网络安全技术领域，解决压缩API信息过程中丢弃大量信息导致检测误报率高的问题，其中该方法包括：获取第一待检测信息和第二待检测信息，第一待检测信息和第二待检测信息为不同目标类程序的应用程序编程接口API信息，或者，为相同目标类程序的API信息，目标类程序为恶意程序或非恶意程序；确定第一待检测信息和第二待检测信息之间的第一最大公共子串；获取第一最大公共子串的信息摘要MD5值；将第一最大公共子串的MD5值用于目标类程序检测。序检测。序检测。


技术研发人员：段亚伦
受保护的技术使用者：北京天融信科技有限公司 北京天融信软件有限公司
技术研发日：2021.10.14
技术公布日：2022/1/28