如何清除Bootkit木马后门

简介

Bootkit是更高级的Rootkit木马后门。该概念最早于2005年被eEyeDigital公司在他们的“BootRoot"项目中提及,该项目通过感染MBR(磁盘主引记录)的方式,实现绕过系统内核检查和启动隐身。所有在开机时比Windows内核更早加载,实现内核劫持的技术,都可以称之为Bootkit。例如后来木马BIOS Rootkit、VBootkit、SMM Rootkit等。

小实验

下面是一张经典的机器开机启动顺序图

如上图所示,第一个组件被称做是主引导记录(MBR),也就是咱们常说硬盘中的0扇区。MBR描述了逻辑分区的一些信息,包含文件系统以及组织方式

在引导程序执行几个检查过后,程序就跳转到VBR引导分区(同样在0扇区中)。同样的,VBR也在分区中定义了一些东西。VBR包含了bootstrap和bootloader两部分。

在嵌入式操作系统中,BootLoader是在操作系统内核运行之前运行。

Bootkit一般都是感染MBR或者是VBR,将代码复制到内存中,然后执行恶意代码。有时候,他们还会hook INT 13/15中断处理程序来过滤内存和磁盘的访问,保护收到感染的MBR/VBR以及内核驱动。

一旦完成,恶意驱动程序就会注入到用户进程,然后用一个Payload(攻击负载)执行恶意操作,比如进行钓鱼攻击啥的。

关于RogueKiller

流氓软件杀手(roguekiller)是一款免费的进程扫描程序,能够针对电脑正在运行的软件程序、系统文件、hosts、代理、dns、档案、mbr、驱动程序等进行全面安全的扫描检测,一旦发现恶意程序即可中止或清除,从而保护用户的计算机安全。

RogueKiller这款软件可以检测到注入进程,见下面截图:

RogueKiller不仅仅能够检测到,还能够自动移除染。只需简单的扫描操作,就可以轻松删除受感染的文件了。

原文发布于微信公众号 - FreeBuf(freebuf)

原文发表时间:2015-02-09

本文参与腾讯云自媒体分享计划,欢迎正在阅读的你也加入,一起分享。

发表于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏云计算与大数据

如何让云上的 Spring Cloud 应用配置管理舞动起来

在传统架构中,如果配置信息有变更,通常是登陆服务器手动修改配置来使配置生效。在微服务架构中,应用数和节点数由于微服务化数量激增,导致发布次数增加,配置变更难度加...

11620
来自专栏吴生的专栏

SpringBoot整合RabbitMQ之典型应用场景实战一

实战前言 RabbitMQ 作为目前应用相当广泛的消息中间件,在企业级应用、微服务应用中充当着重要的角色。特别是在一些典型的应用场景以及业务模块中具有重要的作用...

14600
来自专栏Ceph对象存储方案

远程管理openresty的reload

默认情况下,nginx/openresty会启动一个root权限运行的master进程,之后再用指定的普通用户权限启动对应的worker,如果需要对整个open...

44750
来自专栏IT大咖说

开源中国社区创始人红薯:J2Cache开源中国两级缓存实践

内容摘要 J2Cache 是开源中国开发的一个两级缓存框架,以高性能著称。那么它与同样是缓存框架的Ehcache和redis的区别在哪,又有哪些高性能的体现呢?...

40890
来自专栏FreeBuf

小心Windows旧版认证暴露你的系统帐户密码

当你正用浏览器访问网站时,Windows的一个古老漏洞就可能泄露了你电脑的用户名密码、微软登录信息,甚至还有你VPN的账号密码。 多年以前当Windows还在使...

271100
来自专栏FreeBuf

如何用HERCULES绕过杀软

HERCULES是一个由Go语言开发的可以绕过防病毒软件的可定制的有效载荷生成器,只需简单的设置,就可以生成用于Metasploit的免杀payload,经测试...

29860
来自专栏区块链

20种功能强大的跨平台渗透测试工具

什么是渗透测试?用来测试软件是否存在例如安全方面的漏洞,如果已经存在,会不会被入侵。 渗透测试流程: 1、列出软件或系统潜在的安全漏洞。 2、根据漏洞的严重性进...

27070
来自专栏FreeBuf

Wannacry蠕虫勒索软件处置流程及方案

Wannacry蠕虫勒索软件处置流程及工具包 1、背景 5月12日晚,一款名为Wannacry 的蠕虫勒索软件袭击全球网络,这被认为是迄今为止最巨大的勒索交...

29070
来自专栏黑白安全

内网提权中常用命令

C:\Users\thel3l> systeminfo | findstr /B /C:"OS Name" /C:"OS Version" OS Name: M...

10820
来自专栏游戏杂谈

itunes connect 改版后无法访问的处理办法

很悲剧,今天要提交版本,结果itunes connect改版,然后进不去了, 限于无限loading…

25430

扫码关注云+社区

领取腾讯云代金券