Linux下VFS层Rootkit技术研究

Linux下VFS层rootkit隐藏层次深,查杀难度大。其典型应用adore-ng在实际使用时无法屏蔽卡巴斯基等实时监控软件,破坏隐蔽效果。针对该问题,运用系统调用修改和VFS写函数内容过滤2种方法,设计并实现了相应的改进方案。仿真实验结果表明,该方案易于实现、效果良好,可以有效提高adore-ng的隐蔽性能。

Windows Rootkit隐藏技术研究

Rootkit是恶意软件用于隐藏自身及其他特定资源和活动的程序集合。该文分析和研究现有的针对Windows系统的代表性Rookit隐藏技术,将其总结为2类:通过修改系统内核对象数据实现隐藏和通过修改程序执行路径实现隐藏。说明并比较了相应的技术原理,展望了Rootkit隐藏技术未来的发展趋势。

Windows Rootkit隐藏技术与综合检测方法

针对Rootkit具有隐藏、通信、监听等功能但存在典型木马特征对计算机系统危害严重问题,分析近年来Windows操作系统下Rootkit中各种主流隐藏技术(包括DKOM和各种钩子),指出当前单一检测方法的缺陷,提出综合性检测技术方案。实验结果表明,该方法达到较好的检测效果,可以对目前大多数Rootkit行为进行检测。

Windows Rootkit进程隐藏与检测技术

进程隐藏是Rootkit技术的一种典型应用,隐藏运行的恶意代码威胁到计算机的安全。为此,通过分析Windows系统中利用Rootkit技术对进程进行隐藏的原理,针对用户模式和内核模式2种模式下进程隐藏技术的特点,提出几种不依赖于系统服务的隐藏进程检测技术。此类检测方法直接利用系统底层的数据结构,检测能力强。

基于协同特征的BIOS Rootkit检测技术

对木马模型框架的理论及其协同隐藏模型进行研究和分析,给出BIOS Rootkit协同隐藏模型的具体形式化描述,提出一种在Windows环境下基于协同特征的BIOS Rootkit检测技术。针对现有BIOS Rootkit检测技术存在能查但不能正常恢复的问题,采用搜索特征码并动态恢复的技术解决。实验结果表明,该检测技术具有良好的可靠性、检测效率和完整性。

Rootkit木马隐藏技术分析与检测技术综述

对Rootkit技术和Windows操作系统内核工作流程作了简要介绍,对Rootkit木马的隐藏技术进行了分析,内容包括删除进程双向链表中的进程对象实现进程隐藏、SSDT表内核挂钩实现进程、文件和注册表键值隐藏和端口隐藏等Rootkit木马的隐藏机理,同时还对通过更改注册表和修改寄存器CR0的写保护位两种方式屏蔽WindowsXP和2003操作系统SSDT表只读属性的技术手段做了简要分析。最后对采用删除进程双项链表上的进程对象、更改内核执行路径和SSDT表内核调用挂钩3种Rootkit隐藏木马的检测技术作了概要性综述。

基于驱动的通用木马结构研究与设计

在对木马结构和各种内核级rootkit技术进行分析的基础上,提出一种模块化的基于驱动的通用木马结构,该结构能够融合各类内核rootkit,具有通用性,并能有效的将运行在用户态的木马主体部分和运行在内核态的驱动程序部分有机联系起来,驱动程序通过和用户态程序相互通信实现隐蔽通信和木马程序自身的隐藏。测试结果表明,该结构能够很好的支持驱动程序对包括进程、文件、注册表、服务等木马相关信息的隐藏。

计算机病毒自我保护能力的发展趋势

目前计算机病毒的网络化趋势非常明显,集病毒、木马、间谍等功能于一身的终合性病毒不断涌现。随着杀毒软件的不断更新升级,计算机病毒的自我保护能力也变得越来越强,本文就计算机病毒自我保护能力的发展趋势进行介绍,以增加用户对这一方面的了解,提高用户查杀病毒的效率。

计算机病毒免杀技术及应对安全策略浅析

本文以计算机病毒免杀技术的发展为主线,分别介绍了不同时期杀毒软件的杀毒原理及相应的病毒免杀技术,最后总结了当前杀毒软件应对病毒免杀技术应采取的安全策略,以及涉密信息系统应对计算机病毒入侵应采取的防范措施。

基于vmem文件的隐藏信息检测研究

针对采用Rootkit技术进行隐藏的恶意程序,文中提出了一种基于虚拟机内外视图交叉比对的恶意程序检测方案来提取其隐藏的信息。该方案通过将虚拟机内部获取的不可信系统信息和虚拟机外部通过vmem文件分析得到的可信系统信息进行交叉比对,发现系统中被Rootkit所隐藏的进程信息,使得Rootkit类型恶意代码检测的有效性得到了保障。