面向异构BIOS环境的Rootkit通用性检测方法

来源：计算机工程与应用杂志2019年第23期北京时间：

作者：何利文，侯小宇，唐澄澄，周睿，张幸宁

单位：1.南京邮电大学 物联网学院，南京 210003 ；2.南京邮电大学 计算机学院，南京 210003

摘要：在传统木马模型框架的基础上，对Rootkit协同隐藏形式化模型进行分析和改进，实现了一个面向异构BIOS环境的Rootkit形式化检测模型。该模型根据协同隐藏思想，将整个检测流程分为三个模块。对多种异构BIOS环境下的Rootkit样本进行研究，并结合可信计算思想，提出基于可信计算的检测方法。该方法和Rootkit形式化检测模型相结合，根据多个异构BIOS环境的Rootkit样本分析结果建立三条可信链，对不同模块提出不同检测思想，如：基于可信计算的完整性检测方法、检测中断向量表入口地址等。实验结果表明，该检测方法对异构BIOS环境下不同系统环境的Rootkit可进行有效检测。

关键词：Rootkit,异构BIOS环境,协同隐藏,形式化模型,可信计算,检测