面向编辑过程还原的勒索病毒删除文档重组方法

摘要：

勒索病毒会加密用户主机内全部办公文档,覆盖删除原始数据,在无解密秘钥情况下,很难还原文档内容.针对上述问题,提出一种基于编辑过程还原的勒索病毒删除文档重组方法,通过扫描磁盘空闲存储空间,根据ZIP标志位和修改时间字段识别全部办公文档编辑过程痕迹分片,再利用目录项特征值匹配方法识别、重组电子文档数据块,对分片边界位置识别错误数据块,利用CRC32校验技术探测正确的块分界位置,进而修正识别错误数据块.实验结果表明,在主机感染勒索病毒情况下,该方法可准确识别、恢复2007以上版本Office电子文档编辑痕迹数据分片,重组原始文档内容.

关键词：勒索病毒、办公文档、编辑过程、分片边界、CRC32

所属期刊栏目：44

分类号：TP399(计算技术、计算机技术)

资助基金：公安部技术研究计划项目;辽宁省自然科学基金课题项目;辽宁省自然科学基金课题项目;辽宁省自然科学基金课题项目;中央高校基本科研业务费项目;中央高校基本科研业务费项目;公安部技术研究计划项目;辽宁省社会科学规划基金项目;辽宁网络安全执法协同创新中心项目;辽宁省教育厅科学研究项目

在线出版日期：2023-05-23（万方平台首次上网日期，不代表论文的发表时间）

页数：共8页

页码：1087-1094