检测Windows Rootkit的新方法

本文介绍了近期出现的一类特殊的后门类木马程序--Windows Rootkit,并对其进行了简要的分析。最后,提出了一种通过检测内存中系统模块代码区块的完整性来查找windows Rootkit的新方法,并给出了应用实例。     

基于客户端蜜罐的木马隐蔽通信检测

当今流行的木马程序开始采用隐蔽通信技术绕过蜜罐系统的检测。首先介绍木马常用的隐蔽通信技术以及越来越流行的内核层Rootkit隐蔽通信技术,并讨论了现阶段客户端蜜罐对于恶意程序的检测方式。针对蜜罐网络通信检测机制的不足,提出了一种有效的改进方案,使用基于NDIS中间层驱动的网络数据检测技术来获取木马通信数据包。该方案能够有效检测基于网络驱动的Rootkit隐蔽通信,提取木马关键通信信息,以进行对木马行为的跟踪和分析。     

Win32 Rootkit的进程隐藏检测技术

Rootkit是现今一种越来越流行的系统底层隐蔽机制及其相应的实现程序,能够让攻击者长期保持对系统的最高控制权限,其中,实现进程的隐藏是Rootkit的最常见功能之一。论文针对Win32 Rootkit的进程隐藏检测的若干技术方法进行了深入研究和实现,分析比较了各自的优缺点,并最终提出了这项技术在未来的展望。     

基于句柄分析的Windows Rootkit检测技术研究

作为网络入侵领域的一种新兴技术,Rootkit能隐藏入侵痕迹、阻止用户和检测软件发现恶意代码的存在,具有隐蔽性好、难以检测等特点。根据对Rootkit行为的分析,提出了一种基于句柄分析的Rootkit检测技术,该方法通过遍历内核句柄表,得到系统中运行的所有进程,再与调用API得到的进程列表对比,发现Rootkit隐藏的进程。实验证明,该方法对于Rootkit具有良好的检测效果。     

Windows Rootkit实现及其检测技术分析

Rootkit是恶意软件用于隐藏自身及其它特定资源和活动的程序集合。本文针对windows Rootkit的启动方式,将Rootkit归为先于操作系统启动和伴随操作系统启动两类,详细分析了这两类windows Rootkit的启动方式、实现原理及隐藏技术,并对现有的检测方法的原理进行了深入的分析。     

Rootkit攻防机制与实现方法

Rootkit是一类能够攻击系统内核且实现深度隐藏的恶意代码,已对网络安全造成了严重威胁。首先,介绍了Rootkit/Bootkit的基本特征,对比分析了用户模式和内核模式下Rootkit攻击的特点;接着,重点剖析了 Rootkit 攻击涉及的挂钩、DKOM 和虚拟化技术的实现原理及工作机制;最后,结合具体的攻击行为讨论了针对Rootkit攻击的主要检测方法和防御技术。     

基于vmem文件的隐藏信息检测研究

针对采用Rootkit技术进行隐藏的恶意程序,文中提出了一种基于虚拟机内外视图交叉比对的恶意程序检测方案来提取其隐藏的信息。该方案通过将虚拟机内部获取的不可信系统信息和虚拟机外部通过vmem文件分析得到的可信系统信息进行交叉比对,发现系统中被Rootkit所隐藏的进程信息,使得Rootkit类型恶意代码检测的有效性得到了保障。     

基于模糊识别和支持向量机的联合Rootkit动态检测技术研究

 针对Rootkit恶意代码动态检测技术进行研究.总结出典型Rootkit恶意程序动态行为所调用的系统API函数.实时统计API调用序列生成元并形成特征向量,通过模糊隶属函数和模糊权向量,采用加权平均法得到模糊识别的评估结果;基于层次的多属性支持向量机分析法构建子任务;基于各个动态行为属性的汉明距离定位Rootkit的类型.提出的动态检测技术提高了自动检测Rootkit的准确率,也可以用于检测未知类型恶意代码.     

安全检查用CurrPorts

CurrPorts是一个免费GUI模式下的网络连接检测工具，它可以列出所有TCP／IP和UDP连接，列出打开端口的应用程序等信息，还可以直接终止程序。该软件往往跟Process Explorer等工具配合进行安全检测，即使中止木马程序网络连接。     

基于人工智能的威胁检测与防护系统

文中针对传统的基于签名匹配的威胁检测系统存在的局限,探讨了人工智能技术在网络安全防护中的应用。通过分析异常检测、恶意软件检测和自动化安全响应3个方面,阐明了机器学习和深度学习模型可以实现对未知威胁的检测和主动防御。研究认为,人工智能驱动的网络安全防护系统代表了技术发展的方向,但还需进一步的数据积累和模型优化,以实现更智能的商业安全产品的开发。     

一种恶意软件实时检测模型

启发式扫描检测入侵行为未知的恶意软件,存在误报及漏报问题,且不能有效监控Rootkit。基于＂通过监控某种恶意行为,实现对一类入侵方式未知的恶意软件的实时检测＂的思想,提出了一种实时检测入侵行为未知恶意软件的Petri网模型,给出了性能测量及优化方法。通过在模型指导下建立的恶意软件实时检测系统中采集关键参数,完成了模型性能评价和调整。设计的系统可实时准确地检测具有特征行为的恶意软件。     

Windows(2000/2003)下进程隐藏检测

目前木马程序设计者趋于利用rootkit技术来隐藏他们的进程,从而达到自己的目的。针对这种隐藏技术论文提出了一种通过搜索系统中记录进程信息的关键系统块来获得进程信息的方法。     

基于中间件的漏洞检测系统设计

针对目前不断出现的网络安全问题,分析系统安全漏洞就变得越来越重要。通过使用漏洞检测技术可以检测网络系统潜在的安全漏洞,使网络管理员可以预先了解网络的脆弱性所在,从而确保系统的安全。论文通过对漏洞检测技术和中间件技术的研究,结合两者的特点,提出了一个漏洞检测中间件的系统结构。     

Rootkit木马隐藏技术分析与检测技术综述

对Rootkit技术和Windows操作系统内核工作流程作了简要介绍,对Rootkit木马的隐藏技术进行了分析,内容包括删除进程双向链表中的进程对象实现进程隐藏、SSDT表内核挂钩实现进程、文件和注册表键值隐藏和端口隐藏等Rootkit木马的隐藏机理,同时还对通过更改注册表和修改寄存器CR0的写保护位两种方式屏蔽WindowsXP和2003操作系统SSDT表只读属性的技术手段做了简要分析。最后对采用删除进程双项链表上的进程对象、更改内核执行路径和SSDT表内核调用挂钩3种Rootkit隐藏木马的检测技术作了概要性综述。     

基于精细流量的网络异常行为检测研究

随着Internet的快速发展和网络应用范围的不断扩大,网络日益遭受到了黑客更多的恶意攻击,计算机网络的安全问题已成为一个国际化的问题。面对诸多的挑战与威胁,入侵的检测与防范技术必然成为当前安全审计中的核心技术之一。文章首先介绍了异常检测的发展概况和相关技术,对常用的检测算法进行了分析和评价,为基于网络精细协议流量分析的网络异常实时检测方法的研究提供理论基础。