主引导记录型Rootkit建模及其静态检测方法

doi:10.3969/j.issn.1000-3428.2015.07.035

计算机工程

主引导记录型Rootkit建模及其静态检测方法

金戈,薛质,齐开悦

(上海交通大学信息安全研究所,上海 200240)

收稿日期:2014-06-18 出版日期:2015-07-15 发布日期:2015-07-15
作者简介:金戈(1990-),男,硕士,主研方向:信息安全;薛质,教授;齐开悦,副教授。
基金项目:
国家自然科学基金资助项目“云计算环境下软件可靠性和安全性理论、技术与实证研究”(61332010)。

Main Boot Record Rootkit Modeling and Its Static Detection Method

JIN Ge,XUE Zhi,QI Kaiyue

(Institute of Information Security,Shanghai Jiaotong University,Shanghai 200240,China)

Received:2014-06-18 Online:2015-07-15 Published:2015-07-15

摘要/Abstract

摘要： 主引导记录(MBR)型Rootkit是一种新型Rootkit,其隐蔽性强难以检测。针对该问题,分析MBR型Rootkit的关键技术及总体工作流程,扩展木马协同隐藏模型,给出多级协同隐藏的概念并将其应用于MBR型Rootkit隐藏机制的形式化描述中。针对MBR型Rootkit的静态特征提出一种静态检测方法,通过对隐蔽扇区空间数据进行模式匹配寻找该类恶意代码的磁盘驻留数据,通过分析计算机MBR数据格式,设计并实现模式匹配算法。实验结果表明,该方法在针对系列样本的检测中取得了良好效果,并且可以从磁盘驻留数据中获得原始MBR备份数据以恢复系统。

关键词: 主引导记录, 形式化描述, 协同隐藏, 静态特征, 静态检测, 模式匹配

Abstract: Main Boot Record(MBR) Rootkit is a new kind of Rootkit which is much harder to detect.This paper analyzes the key technical points and the workflow of MBR Rootkit and develops cooperative concealment model.Two-level cooperative concealment and multiple-level cooperative concealment are proposed.It applies these concealment models to the formal description of concealing mechanism of MBR Rootkit.A new static detection method is presented and corresponding MBR matching algorithm is designed and implemented based on the analysis of MBR data format.The static method focuses on searching MBR backup data in some hidden disk areas.Experimental results show that the method gains a high detection accuracy,and the found MBR backup data can be used to restore the system.

Key words: Main Boot Record(MBR), formal description, cooperative concealment, static feature, static detection, pattern matching

中图分类号:

TP309

金戈,薛质,齐开悦. 主引导记录型Rootkit建模及其静态检测方法[J]. 计算机工程, doi: 10.3969/j.issn.1000-3428.2015.07.035.

JIN Ge,XUE Zhi,QI Kaiyue. Main Boot Record Rootkit Modeling and Its Static Detection Method[J]. Computer Engineering, doi: 10.3969/j.issn.1000-3428.2015.07.035.

[1]	刘治国, 宋广跃, 蔡文珠, 刘庆利. 基于TextRank算法的未知网络协议帧定位方法[J]. 计算机工程, 2020, 46(7): 179-184.
[2]	卢正军,方勇,刘亮,张文杰,左政. 基于上下文信息的Android恶意行为检测方法[J]. 计算机工程, 2018, 44(7): 150-155.
[3]	樊子华,常朝稳,韩培胜,潘冬存. 基于Rete算法的攻击图构建方法[J]. 计算机工程, 2018, 44(3): 151-155,165.
[4]	冯玉伯,丁承君,赵兴华. 基于时空事件驱动的信息物理系统架构[J]. 计算机工程, 2018, 44(10): 64-68.
[5]	金俊平,杜军龙,周剑涛. 一种可推演的外设细粒度管控模型[J]. 计算机工程, 2018, 44(10): 80-84.
[6]	胡彬,王春东,胡思琦,周景春. 基于机器学习的移动终端高级持续性威胁检测技术研究[J]. 计算机工程, 2017, 43(1): 241-246.
[7]	彭展,梁根,周炳. 电信服务系统特征交互的Z规格及验证[J]. 计算机工程, 2016, 42(8): 19-23.
[8]	王雷,姜久雷,王晓峰. 基于Petri网的设计模式形式化描述[J]. 计算机工程, 2016, 42(7): 33-36,48.
[9]	翟晓芳,刘全明,程耀东,胡庆宝,李海波. 基于转发层次分析的新浪微博热度预测研究[J]. 计算机工程, 2015, 41(7): 31-35.
[10]	金戈,薛质,齐开悦. 基于磁盘隐藏PE 文件搜索的Bootkit 检测方法[J]. 计算机工程, 2015, 41(6): 116-120.
[11]	吴旭婧,许勇,张亚楠. 基于指纹模式匹配的无线传感器网络密钥预分配方案[J]. 计算机工程, 2015, 41(3): 106-109.
[12]	贺毅辉,潘明聪,徐伟,彭辉. 基于概率推理的不确定性任务分配评价方法[J]. 计算机工程, 2015, 41(2): 31-35.
[13]	张志昌,陈松毅,刘鑫,马慧芳. 结合语境与布朗聚类特征的上下位关系验证[J]. 计算机工程, 2015, 41(2): 145-150.
[14]	陈伟,滕宏舜. 基于BM窗口竞争的高效单模式匹配算法[J]. 计算机工程, 2015, 41(12): 144-149.
[15]	刘春晖,黄宇,宋琦. 一种改进的AC多模式匹配算法[J]. 计算机工程, 2015, 41(10): 280-285.

主引导记录型Rootkit建模及其静态检测方法

Main Boot Record Rootkit Modeling and Its Static Detection Method

PDF

可视化

被引次数

摘要/Abstract

引用本文

使用本文

参考文献

相关文章 15

Metrics

本文评价

推荐阅读 10