[发明专利]木马的查杀方法和装置

说明书

本发明涉及一种木马的查杀方法和装置。所述方法包括以下步骤：获取木马查杀指令；根据所述木马查杀指令检测磁盘驱动是否被挂钩；若检测到磁盘驱动被挂钩，则清除挂钩；读取磁盘的第一物理扇区的主引导记录；判断所述第一物理扇区的主引导记录是否符合预设的病毒特征，若是，则判断磁盘的第二物理扇区上的数据是否为正常的主引导记录，若是，则判断第一物理扇区的分区表是否正常，若是，将所述第二物理扇区上的主引导记录覆盖第一物理扇区的起始处，重启系统以清除木马；否则结束。上述木马的查杀方法和装置，检测到磁盘驱动被挂钩后，清除挂钩，实现了对Bootkit木马的查杀。

技术领域

本发明涉及计算机安全领域，特别是涉及一种木马的查杀方法和装置。

背景技术

木马是一种计算机病毒，即计算机恶意程序，能危害计算机安全。木马种类很多，其中，“暗云”是一个迄今为止最复杂的木马之一，感染了数以百万的计算机，暗云木马能长期地潜伏在用户的计算机系统中，暗云木马使用了Bootkit技术，直接感染磁盘的引导区，感染后即使重装系统格式化硬盘也无法清除该木马。Bootkit是更高级的Rootkit，该概念最早于2005年被eEye Digtal公司在他们的BootRoot项目中提及，该项目通过感染MBR(Master Boot Record，磁盘主引记录)的方式，实现绕过内核检查和启动隐身。暗云木马具有以下特点：

第一，隐蔽性非常高，通过Hook磁盘驱动实现对已感染的MBR进行保护，防止被杀毒软件检测和清除，并且使用对象劫持技术躲避安全人员的手工检测，隐蔽性极高，传统的杀毒软件都无法检测和查杀该木马。

第二，木马以轻量级的身躯隐藏于磁盘最前端的30个扇区中，这些常驻与系统中代码并没有传统木马的功能，这些代码的功能仅仅是到执行的服务器(云端)下载其他功能代码到内存中直接执行，这些功能模块每次开机由隐藏的模块从云端下载。因此该木马体积小巧，且云端控制性强。

第三，Ring 3与Ring 0的通信方式。微软正统的通信方式是Ring 0代码创建驱动设备，Ring 3代码通过打开Ring 0创建的设备实现相互之间的通信。常见的木马使用的通信方式是在Ring 0对指定的API函数进行Hook，而暗云木马是通过注册回调的方式来实现。

第四，操作系统全量兼容。一份BootKit同时兼容x86、x64两种版本的操作系统，且能够兼容xp、win7等目前主流的操作系统版本，因此影响范围十分广泛。

第五，有效对抗杀软。由于该木马的主体在内核中运行，且启动时间比传统的杀毒软件都早，因此大部分的杀毒软件无法拦截和检测该木马的恶意行为。该木马能够在内核中直接结束部分杀毒软件进程，同时可以向任意杀毒软件进程插入APC(Asynchronousprocedure call，异步调用程序)执行。插入的APC代码不稳定，且会关闭杀毒软件的设备句柄，会导致杀毒软件崩溃或退出，大大减少了被检测的机率。

传统的木马查杀是在用户主动触发杀毒软件进行扫描时，检查MBR是否是正常系统的引导记录来发现风险和处理，然而，对于已经Hook了磁盘驱动来保护自身的Bootkit木马，在检查MBR时，会被木马监控到，并欺骗，读取到的MBR是木马伪造的完全正常的内容，因此无法检查出木马。

发明内容

基于此，有必要针对传统的杀毒软件无法检查出Bootkit木马的问题，提供一种木马查杀方法，能检测出Bootkit木马，并查杀。

一种木马的查杀方法，包括以下步骤：

获取木马查杀指令；

根据所述木马查杀指令检测磁盘驱动是否被挂钩；

若检测到磁盘驱动被挂钩，则清除挂钩；

读取磁盘的第一物理扇区的主引导记录；