Rootkit

摘要： 内存取证及其分析是电子数据取证的重要组成部分.在各种用于内存Dump的软件和硬件方法中,一部分方法不能抵抗各种反取证技术,而另一部分则需要重新启动或高度依赖于平台才能进行.论文介绍了一种新的内存取证方法,这种方法可用于执行各种内存取证,同时还介绍了这种方法在Rootkit检测上的应用及最流行的反Rootkit工具.

摘要： 在推动国民经济和社会信息化的历程中,政府,企业及个人越来越多关注的是信息的安全.信息安全的核心是数据的安全,但在实际操作中又很难防止出现数据毁坏或丢失的现象.该系统在充分研究数据恢复原理、内核安全和汇编语言的基础上,设计实现了在数据未受到破坏前预先对Rootkit为代表的内核级木马进行内核级别的预先防护和对被新型木马破坏后的系统进行数据重建的两大功能.部署该系统后,用户可以根据自身需要手动进行数据恢复并且能全方位的利用ARK技术监控内核维护系统内核的安全性和完整性实现二次防护.

摘要： Rootkit几乎具备了所有恶意代码的优势,具有灵活性更大、潜伏性更强、破坏范围更广等特点,能够对Linux、Windows等计算机操作系统和Android等移动终端操作系统实施攻击。随着Rootkit的快速发展和广泛使用,如何检测防范Rootkit攻击也成为了热点研究问题。

摘要： 近年来,在互联网不断发展的同时,网络安全问题也层出不穷,而在对抗网络安全威胁时,取证问题一直是个难题.尤其是针对Linux平台,目前主流的Linux开源取证工具多数存在滞后、效率低、无法对隐蔽性强的木马进行取证等问题.在Linux取证研究中,Rootkit木马具有隐蔽性强、危害性大的特点,传统检测方法难以进行有效检测.为解决上述问题,文章从Rootkit的行为和实现技术出发,对其启动机制和内存驻留机制进行研究分析,提炼恶意代码行为作为检测特征,提出一种基于Rootkit隐藏行为特征的Linux恶意代码取证方法.实验表明,文章提出的取证方法对各类Linux恶意代码具有很好的检出效果和取证效果,相较传统取证方法在检测效果上具有明显优势.

摘要： 系统虚拟化作为支撑云计算的关键技术,其安全问题显得尤为重要.在虚拟机外部对虚拟机内部的进程进行监视,可以使监视工具与不受信任的虚拟机隔离,能够有效地监视虚拟机行为.当前的虚拟机外部监视技术大多是基于周期或某一时间点上的内存快照技术展开的.但是,由于进程执行具有随机性、突发性的特点,而基于周期性或时间点的内存快照类方法监视过程不连续,容易造成漏检率较高的问题.为此,提出了一种基于自适应机制的虚拟机进程实时监视技术RTMonitor.RTMonitor利用虚拟机管理器(Virtual Machine Manager,VMM)在虚拟机外部实时捕获内核栈基址的切换,以此确定进程的切换动作.之后,获取与当前进程相关的硬件信息流,通过解析硬件信息得到当前运行进程的高层语义.针对进程执行的随机性和突发性特点,RTMonitor通过缓存进程内容并创建多任务的方法提高执行速率,采用自适应调度机制实现存储节点数量、执行任务数量与进程执行情形的动态匹配.与基于时间点的内存快照类方法相比,RTMonitor将进程监视扩展到了整个时间轴上,使得监视过程具有连续性的特点.最后,通过对进程的捕捉率、捕捉延时及隐藏性检测实验,证明了系统的可行性和有效性.

摘要： 近日,国外某网络威胁情报实验室发现,一款名为Scranos的恶意软件已开始向全球扩散。这款恶意软件使用rootkit驱动程序进行攻击,许多组件目前处于开发的早期阶段,背后的操作人员不断测试组件,并定期改进,不同的组件用于实现不同的目的。目前已发现Scranos会进行以下操作:从Google Chrome等浏览器中提取cookie并窃取登录凭证、从Facebook, Amazon等网页上窃取用户的支付账户、向受害者的Facebook好友发送含有恶意APK的钓鱼信息,并感染安卓用户等。

摘要： 近年来,Windows rootkit的实现技术得到较大发展,广泛应用于病毒、蠕虫、间谍软件和广告软件,对计算机系统的安全造成极大的威胁.因此,需要进行深入研究,设计有效的检测与预防措施.本文首先介绍Windows rootkit的概念及基本实现技术,然后阐述Windows rootkit前沿技术:扰乱虚拟内存,最后讨论探测rootkit的主要技术及相应工具.

摘要： 分析了rootkit的构成,并举例介绍rootkit的入侵原理和入侵技术,并提出了在unix系统中如何发现、清除和防范rootkit的攻击,以提高unix服务器的安全性能.

摘要： Rootkit是攻击者入侵操作系统后，用于秘密保留对目标机器的超级访问权限的一项技术.首先分析了内核级rootkit的原理，分析了现有的Iinux rootkit的检测方法并指出其中的不足.在此基础上，提出一种基于交叉视图的隐藏恶意代码自动检测方法，并提出了系统恢复的机制.提及的检测和恢复系统以可加载内核模块的形式实现，可还原被恶意修改的系统调用表的内容，终止隐藏的进程，移除隐藏的文件，阻止攻击网络流.实验数据表明提出的方法是有效可行的.

摘要： Rootkit技术是恶意程序用于隐藏自身及指定的文件、进程和网络链接等信息，并能使攻击者保持对系统最高访问权限的一种技术，隐蔽性是Rootkit的首要特征。Rootkit分为用户模式和内核模式，目前，Rootkit越来越向内核发展。进程的隐藏是Rootkit的一个常见内容，而检测隐藏的进程也是Anti-Rootkit技术的重要方面。本文研究并分析比较了内核Rootkit进程隐藏及相应的检测技术。

摘要： Rootkit技术是恶意程序用于隐藏自身及指定的文件、进程和网络链接等信息，并能使攻击者保持对系统最高访问权限的一种技术，隐蔽性是Rootkit的首要特征。Rootkit分为用户模式和内核模式，目前，Rootkit越来越向内核发展。进程的隐藏是Rootkit的一个常见内容，而检测隐藏的进程也是Anti-Rootkit技术的重要方面。本文研究并分析比较了内核Rootkit进程隐藏及相应的检测技术。

摘要： Rootkit技术是恶意程序用于隐藏自身及指定的文件、进程和网络链接等信息，并能使攻击者保持对系统最高访问权限的一种技术，隐蔽性是Rootkit的首要特征。Rootkit分为用户模式和内核模式，目前，Rootkit越来越向内核发展。进程的隐藏是Rootkit的一个常见内容，而检测隐藏的进程也是Anti-Rootkit技术的重要方面。本文研究并分析比较了内核Rootkit进程隐藏及相应的检测技术。

摘要： Rootkit技术是恶意程序用于隐藏自身及指定的文件、进程和网络链接等信息，并能使攻击者保持对系统最高访问权限的一种技术，隐蔽性是Rootkit的首要特征。Rootkit分为用户模式和内核模式，目前，Rootkit越来越向内核发展。进程的隐藏是Rootkit的一个常见内容，而检测隐藏的进程也是Anti-Rootkit技术的重要方面。本文研究并分析比较了内核Rootkit进程隐藏及相应的检测技术。

摘要： Rootkit技术是恶意程序用于隐藏自身及指定的文件、进程和网络链接等信息，并能使攻击者保持对系统最高访问权限的一种技术，隐蔽性是Rootkit的首要特征。Rootkit分为用户模式和内核模式，目前，Rootkit越来越向内核发展。进程的隐藏是Rootkit的一个常见内容，而检测隐藏的进程也是Anti-Rootkit技术的重要方面。本文研究并分析比较了内核Rootkit进程隐藏及相应的检测技术。

摘要： Rootkit技术是恶意程序用于隐藏自身及指定的文件、进程和网络链接等信息，并能使攻击者保持对系统最高访问权限的一种技术，隐蔽性是Rootkit的首要特征。Rootkit分为用户模式和内核模式，目前，Rootkit越来越向内核发展。进程的隐藏是Rootkit的一个常见内容，而检测隐藏的进程也是Anti-Rootkit技术的重要方面。本文研究并分析比较了内核Rootkit进程隐藏及相应的检测技术。

摘要： 本文通过研究当前恶意程序的发展趋势和NTFS文件系统的结构特征，并系统比较了在文件隐藏和检测方面的诸多技术和方法，综合分析了它们存在的不足，提出了一种在NTFS文件系统中进行恶意程序隐藏检测的方法，使得针对恶意程序的检测更加完整和可靠。

摘要： 本发明公开了一种Linux下基于elf二进制标准解析的内核Rootkit检测方法、装置及存储设备，涉及网络安全领域，包括：加载待测内核，读取其中内核文件或者内核模块文件到内存；读取内核及内核模块的elf文件中代码段和只读数据段的内容；将读取到的代码段和只读数据段内容与运行中的待测内核的代码区和只读数据区进行逐一比对获取差异；若差异出现在只读数据段则直接判定为内核Rootkit；若差异出现在代码段，则需进一步排除差异是否属于内核运行时的修改，如果不是则判定为内核Rootkit，解决了当前内核Rootkit检测技术多是针对Rootkit行为策略的检测技术，无法全面的对系统进行检测的问题。

摘要： 一种面向异构BIOS环境的Rootkit通用性检测方法，该方法利用逆向分析技术对多种BIOS环境的具体结构特征进行分析，结合实际可应用的异构BIOS环境的Rootkit样本，分析和整理得到同一种BIOS环境下不同样本的共同感染点和模块，同时，结合可信计算技术，建立3条可信链和确定需要检测的模块，系统启动过程中嵌入检测模块，通过对比未感染系统的数据和检测模块得到的校验数据，实现对BIOS文件和Windows系统文件初始化、内核加载过程和内核初始化这3个阶段的检测，并对检测出感染痕迹的模块进行修复。该方法能够有效检测出计算法系统感染了Rootkit，并且在面向异构BIOS环境时具有通用性，高准确性，属于恶意代码检测领域。

摘要： 本发明针对传统内存取证方法应对Rootkit隐遁攻击不力的安全困境，通过借鉴生物免疫系统原理，提出了一种基于免疫的Rootkit隐遁攻击内存取证技术。通过完整获取内存镜像数据、详尽解析内存数据，实现动态智能提取Rootkit隐遁攻击的内存证据。首先，通过逆向分析Windows内存页面交换机制，获取完整的内存镜像数据(物理内存和页面交换文件)。其次，利用内核驱动技术，动态分析内存镜像中的进程数据，并重建与进程相对应的可执行文件映像。最后，借鉴人体免疫系统机理，利用Rootkit检测器(免疫细胞)的动态演化来提取Rootkit隐遁攻击的相关证据。本发明能动态、智能地对Rootkit隐遁攻击进行内存取证，确保其无处遁形，为绳之以法网络攻击者(黑客)提供呈堂证供。

摘要： 本发明提供一种基于Linux系统内核层Rootkit的取证方法、装置、电子设备及存储介质，该方法包括：获取Rootkit的内核模块内存地址值，根据内核模块的内存地址值获取隐藏内核模块；根据隐藏内核模块，获取内核模块结构体；根据内核模块结构体和内核模块的内存数据，完成对Rootkit的取证。只针对Rootkit内核模块进行检测和分析，可以极大的避免实现的复杂性，实现简单，保证易于多系统移植适配；同时，检测手段在内核层实现，通过较高的权限操作内核内存等底层信息，可以保证检测的准确和可靠；最后，内核模块是内核Rootkit实现隐藏信息的根本，从内核模块检测和分析入手，有利于了解恶意软件通过何种手段实现Rootkit及获取到隐藏的信息数据，完成取证。

摘要： 本发明公开了一种协同联动发现Rootkit的方法及系统，其中，所述方法包括：主机侧：收集主机侧的系统进程信息和对应的网络状态信息；定期将所述系统进程信息和所述网络状态信息上报至网络监测设备；接收来自网络监测设备的反馈结果，并基于反馈结果作出响应。网络侧：接收主机侧定期上报的系统进程信息和对应的网络状态信息，并与检测流量数据对比分析，并判定是否存在恶意网络请求；根据恶意网络请求与系统进程信息和网络状态信息的匹配情况，向主机安全设备发送反馈结果。本发明通过主机安全软件与网络监测设备的配合来发现隐藏的网络行为进而发现Rootkit。

摘要： 本发明实施例公开了一种rootkit检测方法、装置及服务器，该方法应用于linux系统，该linux系统包括预先备份有系统调用表的安全备份区，该linux系统分为ring3态和ring0态。所述方法包括：在检测到linux系统运行时，加载预先部署在linux系统中的内核模块，并触发内核模块中的获取程序获取ring0态中的当前系统调用表，从安全备份区获取预先备份的系统调用表，并调用ring3态中的比较程序确定该预先备份的系统调用表与当前系统调用表是否一致，若不一致，则确定linux系统的ring0态被rootkit攻击。通过本发明实施例，有利于提高rootkit检测的准确性。

摘要： 本申请提供一种rootkit检测方法、装置及电子设备，该方法包括：当检测到LKM内核模块加载事件发生时，获取该LKM信息以及内核关键数据结构；分别确定所获取到的LKM信息中各LKM的哈希值，以及，所获取到的内核关键数据结构中各内核关键数据结构的哈希值；比较所述各LKM的哈希值与LKM基准信息，以及，比较所述各内核关键数据结构的哈希值与内核关键数据结构基准信息；当所述各LKM的哈希值与所述LKM基准信息一致，且所述各内核关键数据结构的哈希值与所述内核关键数据结构基准信息一致时，确定内核态rootkit检测通过。该方法可以实现高可靠性和准确性的内核态rootkit检测。

摘要： 本申请公开了一种硬件rootkit恶意行为的阻断方法及装置，用以解决在现有技术中，对硬件rootkit没有任何防护手段，一旦黑客攻击成功就可以随意篡改硬件设备上EEPROM中存储内容的问题。该方法在硬件设备上设置电压开关，通过该电压开关控制编程电压，从而控制硬件设备EEPROM的写入权限，还可使用监控设备管理一个或多个硬件设备，为硬件设备设置管理密码，当攻击者输入密码错误时，直接将硬件设备的操作状态设置为不可写状态，从而可有效地阻断了硬件rootkit对硬件设备上EEPROM中存储的内容的恶意篡改行为。

摘要： 本发明涉及rootkit检测的技术领域，揭露了一种安卓rootkit快速检测识别方法，包括：构建安卓rootkit检测指标体系，检测得到安卓程序运行的安卓rootkit检测指标数据；构建安卓rootkit检测图神经网络模型；对所构建的安卓rootkit检测图神经网络模型进行结构优化；利用多层梯度下降算法对优化后的安卓rootkit检测图神经网络模型进行参数优化，形成最终的安卓rootkit检测图神经网络模型，将检测到的安卓rootkit检测指标数据输入到模型中，模型输出结果即为该安卓程序为rootkit的概率，若概率超过指定阈值则安卓程序是rootkit。本发明所述方法通过计算隐变量概率判断安卓程序是否为rootkit，实现快速的rootkit检测识别，并对模型结构进行优化，增强模型结构的合理性，采用多层梯度下降算法提高模型参数优化的收敛性。

摘要： 本申请提供一种rootkit检测方法、装置及电子设备，该方法包括：当检测到LKM内核模块加载事件发生时，获取该LKM信息以及内核关键数据结构；分别确定所获取到的LKM信息中各LKM的哈希值，以及，所获取到的内核关键数据结构中各内核关键数据结构的哈希值；比较所述各LKM的哈希值与LKM基准信息，以及，比较所述各内核关键数据结构的哈希值与内核关键数据结构基准信息；当所述各LKM的哈希值与所述LKM基准信息一致，且所述各内核关键数据结构的哈希值与所述内核关键数据结构基准信息一致时，确定内核态rootkit检测通过。该方法可以实现高可靠性和准确性的内核态rootkit检测。