恶意家族情报查询接口

接口用途

本接口主要为机读情报查询提供关联恶意家族的详细信息。360提供的失陷检测情报中的恶意家族都可在此接口中获取更丰富信息。

可使用的查询值: 1恶意家族名（主名） 2恶意家族别名

接口定义

QueryFamily(query string) *C.char

请求参数

字段	类型	说明
query	string	恶意家族主名称或别名

响应参数

一级字段	二级字段	三级字段	类型	可选值	说明
errno			int		状态码（详见状态码说明）
msg			string		结果说明
result			map		查询结果
	query		map		查询的query以及结果
		alias	array of string		别名
		attack_impact	int	1: 数据销毁；2: 数据加密；3: 系统拒绝服务；4: 网路拒绝服务；5: 资源劫持；6: 服务停止；7: 隐私窃取；8: 机密窃取；9: 系统操控；	攻击影响
		communication_ways	array of int	1: 钓鱼邮件；2: 网络下载；3: 文件共享；4: 文件感染；5: 漏洞利用；6: 移动存储介质；7: 流氓推广；	传播方式（详见传播方式说明表）
		description	string		描述
		features	array of int	1: 内存驻留; 2: 多态; 3: 加密; 4: 加壳；5: 破坏性；6: 反调试/反虚拟机；	特点（详见特点说明表）
		malicious_type	int		威胁类型（详见威胁类型说明表）
		name	string		恶意家族名称
		platforms	array of string	windows、linux、android、ios、macos、other	影响平台
		reference	string		参考链接
		response_proposal	string		处置建议
		sub_malicious_types	array of int	同上面的MALICIOUS_TYPE	辅助威胁类型
		targeted	bool		是否定向

响应示例

 
{
    "errno":2000,
    "msg":"success",
    "result":{
        "Jorker":{
            "name":"Jorker",
            "alias":[
 
            ],
            "attack_impact":"7",
            "targeted":false,
            "description":"Jorker恶意软件通过Google Play进行传播，在用户未之情的情况下，通过模拟用户订阅等方式，窃取用户短信，从而达到实现二次验证，从而达到窃取用户金钱的目的。",
            "communication_ways":[
                "2"
            ],
            "malicious_type":8,
            "sub_malicious_types":[
                "3"
            ],
            "platforms":[
                "other"
            ],
            "response_proposal":"第一步：结束病毒相关进程。\n第二步：使用360终端安全管理系统全盘扫描，查杀病毒文件，修复被感染文件。处理过程中请不要运行其他软件，避免再次感染。\n第三步：修复被篡改的系统设置，包括注册表、系统服务、计划任务等感染型病毒常用位置。\n第四步：如果以上方法无法彻底清除，建议进入PE系统，使用360急救箱进行查杀或者联系技术人员处理。\n    ",
            "reference":"https://indianexpress.com/article/technology/tech-news-technology/what-is-joker-malware-google-play-store-affected-apps-6500981/",
            "features":[
                "5"
            ]
        }
    }
}

攻击影响说明表

枚举值	说明
数据销毁	攻击者可能破坏系统或网络上的大量数据和文件，数据销毁可能会通过覆盖本地或远程驱动器上的文件而使存储的数据无法恢复。
数据加密	攻击者会加密目标系统或网络上的数据，以中断系统和网络资源的可用性。他们可以通过加密本地和远程驱动器上的文件或使存储的数据无法访问。为了从受害者那里获得金钱补偿，以换取解密或解密密钥（勒索软件）。
系统拒绝服务	攻击者可能会执行端点拒绝服务（DoS）攻击，以降低或阻止用户对服务的可用性。可以通过耗尽服务所在的系统资源或利用系统导致持续崩溃的状况来执行端点DoS。
网路拒绝服务	攻击者可能执行网络拒绝服务（DoS）攻击，以降低或阻止目标资源对用户的可用性。可以通过耗尽网络带宽服务所依赖的网络来执行DoS。
资源劫持	资源劫持一个常见目的是进行挖矿并获得虚拟货币。攻击者可能会消耗足够的系统资源，从而对受影响的计算机造成负面影响或使它们失去响应。
服务停止	攻击者可以停止或禁用系统上的服务，以使用户无法使用这些服务。停止关键服务可能会抑制或停止对事件的响应。
隐私窃取	攻击者可以通过钓鱼等手法诱导用户安装恶意软件从而窃取隐私信息，另一方面可以攻击在线平台，通过平台上的漏洞窃取平台上大量存储的隐私信息。
机密窃取	攻击者可以通过安装恶意软件从而窃取机密信息。
系统操作	攻击者可能会删除或删除内置的操作系统数据，并关闭旨在帮助恢复已损坏的系统，以防止服务恢复。

传播方式说明表

枚举值	说明
钓鱼邮件	钓鱼邮件是一种多阶段攻击，通过使用以前安装的恶意软件控制用户的设备或破坏用户的帐户凭据来拥有电子邮件帐户。攻击者试图利用可信任的内部帐户来增加诱骗目标使其陷入网络钓鱼的可能性。
网络下载	通过互联网或利用客户端执行漏洞、浏览器或应用程序漏洞，导致用户下载恶意文件并在本地执行。
文件共享	攻击者可以使用内部文件共享协议在内部受害者系统之间横向复制文件，进行横向移动，例如通过SMB与共享的网络共享进行文件共享，或者通过与 Windows Admin Shares进行身份验证的连接。
文件感染	通过将恶意程序、脚本或漏洞将恶意代码添加到文件中，用户打开受污染文件内容后，即可执行恶意部分，以在远程系统上运行攻击者的代码。
漏洞利用	攻击者一旦进入网络，会利用远程服务获得对内部系统的授权访问。攻击者会利用应用程序、操作系统、或内核本身的编程漏洞来执行恶意攻击代码。
移动存储介质	通过将恶意软件复制到可移动存储介质上，并在移动介质接入到其他系统中时利用自动运行功能，攻击者可以将恶意软件迁移到该系统上。
流氓推广	安装包病毒主要是一些实用工具、游戏、播放器和安装程序, 攻击者会把一个木马程序和一个正常的安装包做成一个伪安装包, 诱导用户执行，并且释放新的恶意程序，进行流氓推广。

特点说明表

枚举值	说明
内存驻留	内存驻留是一种特殊应用程序，它在装入内存运行后，其部分代码仍然驻留在内存，当该段代码被激活时，它又进入运行状态。
多态	恶意代码传播到目标后，自身代码和结构在空间上、时间上产生不同的变化，恶意代码的这种技术被称为多态。
加密	恶意代码初级阶段，目的在于隐藏代码体，攻击者会对恶意代码体利用加密进行保护。
加壳	恶意软件作者通常会使用一些技巧来规避检测和分析，最流行的方法之一就是使用加壳工具对恶意软件进行加壳，加壳工具是一种压缩、加密、和／或修改恶意文件格式的工具。
破坏性	破坏性攻击是以入侵他人电脑系统、窃取系统保密信息、破坏目标系统的数据为目的。
反调试/反虚拟机	为了逃避沙箱/安全人员的检测，恶意软件使用了各类识别沙箱/虚拟机的技术，用于判断自身程序是否运行在沙箱/虚拟机中。