[发明专利]一种检测和清除计算机病毒的方法和装置

说明书

技术领域

本发明涉及计算机安全，具体涉及一种用于检测和清除计算机病毒的方法和装置。

背景技术

计算机病毒是一个概括性的术语，指任何故意创建用来执行未经授权并通常是有害行为的软件程序。感染性病毒、后门程序、键盘记录器、密码盗取者、Word和Excel宏病毒、引导区病毒、脚本病毒（batch，windows shell，java等）、木马、犯罪软件、间谍软件和广告软件等等，都是一些可以称之为计算机病毒的例子。

在传统的计算机病毒查杀技术中，在应用层（Ring 3）枚举所有文件和注册表，然后与云端的病毒数据库进行对比，对存在问题的文件和注册表进行清除处理。随着Rootkit技术的发展，出现了针对内核驱动层（Ring 0）的计算机病毒查杀技术，包括内核驱动的穿越技术和防回写技术。但随着木马技术的发展，这些传统的计算机病毒查杀技术已经显得黔驴技穷。

Rootkit是一种特殊的病毒（恶意软件），它的功能是在安装目标上隐藏自身及指定的文件、进程和网络链接等信息，比较多见到的是Rootkit一般都和木马、后门等其他恶意程序结合使用。Rootkit通过加载特殊的驱动，修改系统内核，进而达到隐藏信息的目的。Bootkit是更高级的Rootkit，该概念最早于2005年被eEye Digital公司在他们的“BootRoot″项目中提及，该项目通过感染MBR（Master Boot Record，（硬盘的）主引导记录）的方式，实现绕过内核检查和启动隐身。可以认为，所有在开机时比Windows内核更早加载，实现内核劫持的技术，都可以称之为Bootkit，例如后来的BIOS Rootkit，VBootkit，SMM Rootkit等。随着Bootkit技术的发展，目前包括木马的计算机病毒已经朝着无文件、无注册表、无模块的方向发展，只存在于计算机操作系统之外的扇区和Shellcode（填充数据）中，使传统的病毒查杀技术无的放矢，这样的病毒例如鬼影系列（1、2、3）、TLD4、以及BMW BIOS木马。因此，即使查杀了木马文件，但由于根源没有清除，导致重启后木马又复活，反复查杀，仍旧无法清除该木马。同时，MBR内的木马还会释放出恶意驱动，干扰查杀，甚至导致查杀程序无法启动。

发明内容

鉴于上述问题，提出了本发明，以便提供一种克服上述问题或者至少部分地解决上述问题的用于检测和清除计算机病毒的方法以及相应的装置。

依据本发明的一个方面，提供了一种用于检测和清除计算机病毒的方法，包括：

检测计算机基本输入输出系统，在存在病毒的情况下对其进行清除处理；和/或

检测计算机硬盘的主引导记录，在存在病毒的情况下恢复默认的主引导记录；和/或

检测计算机操作系统的驱动层，在存在病毒的情况下禁止加载感染病毒的驱动；和

检测计算机操作系统的应用层，在存在病毒的情况下对其进行清除处理。

在本发明的实施例中，在所述检测计算机基本输入输出系统的步骤中，基于包含计算机基本输入输出系统的病毒的特征码的预先定义的第一病毒数据库，检测计算机基本输入输出系统中是否存在病毒。

在本发明的实施例中，在所述检测计算机硬盘的主引导记录的步骤中，基于包含计算机硬盘的主引导记录的病毒的特征码的预先定义的第二病毒数据库，检测计算机硬盘的主引导记录中是否存在Bootkit病毒。

在本发明的实施例中，在所述检测计算机操作系统的驱动层的步骤中，基于包含计算机操作系统的驱动层的病毒的特征码的预先定义的第三病毒数据库，检测计算机操作系统的驱动层中是否存在Rootkit病毒。

在本发明的实施例中，在所述检测计算机操作系统的应用层的步骤中，基于包含计算机操作系统的应用层的病毒的特征码的预先定义的第四病毒数据库，检测计算机操作系统的应用层中是否存在病毒。

在本发明的实施例中，检测是否存在病毒的步骤包括：基于病毒的特征码，对待检测的文件进行定位处理和匹配处理，在待检测的文件与病毒的特征码匹配的情况下，判定该待检测的文件感染了该病毒。

在本发明的实施例中，所述基于包含计算机硬盘的主引导记录的病毒的特征码的预先定义的第二病毒数据库、检测计算机硬盘的主引导记录中是否存在Bootkit病毒的步骤包括：基于所述预先定义的第二病毒数据库，利用启发式检测来检测计算机硬盘的主引导记录中是否存在Bootkit病毒。