基于Intel VT硬件虚拟化的Rootkit技术

Intel VT硬件虚拟化技术使Rootkit可以利用底层优势实现深度隐藏。首先结合木马协同隐藏的思想,提出了基于Intel VT硬件虚拟化的Rootkit(HVRootkit)的协同隐藏模型,并给出形式化描述;然后根据该模型,在深入分析进程切换过程和操作系统内核数据结构的基础上,设计并实现了HVRootkit原型,该原型能够监控系统进程的切换过程,并通过修改与内核层进程视图和用户层进程视图相关的数据结构,隐藏系统进程。实验表明,HVRootkit原型符合协同隐藏的思想,能够实现对进程的深度隐藏,隐藏性能明显优于传统的内核级Rootkit。     

一种隐藏注入模块的新方法

在信息安全领域,安全分析工具往往需要将监控模块注入到其他进程空间以实现监控功能,但恶意软件往往会通过检测自身空间是否有其他模块来逃避监控。因此,安全工具需要对注入模块加以隐藏。比较常见的隐藏方法有:断开进程的LDR_MODULE链、Hook枚举模块的函数、抹去PE头等,但这些方法都有比较大的局限性。针对这些局限性,提出了一种对注入模块进行隐藏的新方法。在注入时利用普通有模块注入方式,让恶意软件疏于防范;注入之后消除自身模块,让恶意软件无法检测到监控软件的存在。对于应用中的一些具体技术问题给出了解决方法。实验结果表明,该方法突破防御能力强,可兼容各种版本的Windows操作系统,并且隐蔽性比目前的通用方法更好。     

基于调用门的进程隐藏技术

Rootkit是黑客入侵系统后保留后门常用的一项技术,而Rootkit的过人之处就在于它的隐形技术。论文主要介绍了目前Windows下常见的进程隐藏方法,并分析了现有方法的局限性,提出一种新的方法,该方法通过调用门的方式来修改进程链表和进程的访问令牌,从而达到进程隐藏和提升进程权限的目的,该攻击方法隐蔽性更强,能有效对抗常规的安全检测技术。最后用实验证明了此方法的有效性。     

基于NDIS中间层驱动程序的隐蔽通道

通过一个基于网络驱动程序接口规范中间层的驱动,在Windows网络协议栈下建立一个隐蔽通道,使应用程序可利用其直接与外界通信。该通道的作用位置相比防火墙对于协议栈的控制更为底层,可直接从网卡读写数据进行网络通信。分析防火墙由于未对网络进行完整防护而被穿透的原因,探讨抵御该类攻击的方法。     

Android系统Rootkit技术综述

Rootkit秘密修改操作系统的代码和数据,给计算机系统带来严重威胁。随着操作系统在手机中的不断普及,智能手机也开始面临这一威胁。以Android智能手机系统为例,针对一种基于SMS(Short Messaging Service)的内核级Rootkit技术的实现原理与攻击行为进行了分析研究,并提出EPA(Executive Path Analysis)等三种相应检测技术。     

Android系统隐藏技术及检测方法

Android木马通过获取系统root权限,修改内核表项实现隐藏功能,进而躲避木马查杀软件的检测。因此研究An-droid系统隐藏技术对于发现隐藏木马、提高查杀软件的检测能力有重要意义。文中在传统Linux系统隐藏技术的基础上,对Android系统服务启动过程进行分析,探究出适用于Android系统的隐藏方法,并实现了一种Android Rootkit木马原型,用于测试现有木马检测软件对该类型木马的检测能力。文中提出了针对此类Rootkit型木马的检测方法,实验证明这些方法对检测此类木马有一定的作用。     

基于虚拟机架构的内核Rootkit防范方案

内核Rootkit是运行在操作系统内核空间的恶意程序,对系统安全构成巨大威胁。研究表明,内核Rootkit的共同特征是修改内核的程序控制流程。分析了Linux内核中影响程序控制流程的资源,并通过对这些资源进行保护,来防止Rootkit对内核控制流程的篡改。实验表明,该方法能够有效防止多种Rootkit对Linux内核的攻击。     

基于注册表Hive文件的恶意程序隐藏检测方法

研究当今恶意程序的发展趋势,系统比较了在注册表隐藏和检测方面的诸多技术和方法,综合分析了它们存在的不足,提出了一种基于注册表Hive文件来进行恶意程序隐藏检测的方法,使得针对恶意程序的检测更加完整和可靠。实验表明,该方法可以检测出当前所有进行了注册表隐藏的恶意程序。     

基于线程调度的进程隐藏检测技术研究

基于线程调度的进程隐藏检测技术，利用操作系统进程的资源分配和调度机理，通过直接扫描系统内核中的活动线程来逆向检测实际存在的进程列表信息。该方法可以检测出当前常规安全检测工具不能发现的系统恶意程序的入侵行为。和现有的进程隐藏检测方法相比，该检测方式克服了各种缺陷，具有更加彻底可靠的安全机制，可以检测出当前所有类型的进程隐藏。     

一种基于虚拟化哈佛体系结构的Rootkit技术

通过修改操作系统内核的方式实现了哈佛内存体系结构的虚拟化,在操作系统层分离了对Rootkit代码的取指和数据操作,从而可以绕开内存扫描程序,实现攻击代码的隐藏.文中详细讨论了虚拟化哈佛体系结构的具体实现,并分析了它的有效性和对操作系统各个方面的影响.实验表明:该方法能很好地隐藏攻击代码,对操作系统的正常工作影响十分轻微.