基于windows系统隐蔽自启动方法及装置和检测方法及装置

摘要

本发明公开了一种基于windows系统隐蔽自启动方法及装置和检测方法及装置，获取跟随系统启动的系统文件，并获取系统文件导入的dll；将恶意dll替换为windows系统已经弃用但程序仍然加载的dll文件；检测PE结构中位于PE末端的Attnibute Certificatetable中的数字签名，判断是否为微软所属的正规签名；若否，则为疑似木马文件；运用异常行为模型进一步判断所述疑似木马文件是否为木马；本发明提供的基于windows系统隐蔽自启动方法及装置和检测方法及装置，通过程序绕过杀毒软件实现自启动，具有一定隐藏效果。