[发明专利]用于检测目标为计算机引导过程的恶意软件的系统和方法

说明书

技术领域

本发明总体上涉及信息处理和安全，并且，更具体地涉及对感染计算机系统引导过程的恶意程序进行检测。

背景技术

随着恶意软件作恶者不断开发新技术，保护计算机系统免遭恶意软件的攻击成为不断演进的挑战，其中恶意软件即有害程序，诸如计算机病毒、特洛伊木马、蠕虫、rootkit等等。引起特别关注的是被称为bootkit的恶意软件，其改变计算机系统的引导（boot）过程。这些都属于当代计算机系统最难以检测的恶意软件。在引导过程中的渗透可让有害的代码绕过现有的保护特征、隐藏自身并且恶化计算机检测和移除有害进程的能力。

计算机引导过程具有若干步骤，其中包括硬件的测试和初始化、操作系统引导以及用户应用的自动加载。在引导序列中有害物越早取得控制权，反击这种威胁越困难。反恶意软件程序的目标之一为，在有害代码取得控制权之前控制引导序列，这将可让反病毒程序监视和检测异常情况和可疑数据。

目前，反rootkit技术是已知的并且用于该目的，在公开号为No.2006/480774和2007/873583的美国专利申请中描述了其示例。这些方法被设计为操作系统驱动程序，这些驱动程序修改操作系统引导过程、进一步跟踪引导过程活动并且必要时阻止和删除有害的引导程序。这些技术仅对其目的在于渗透操作系统的威胁有效，但是不允许对于在操作系统之前加载的bootkit的检测。bootkit通过改变引导记录来在最初的阶段修改引导过程。当与rootkit技术相结合时，这类程序对于安装于计算机系统上的传统保护特征来说变得无法企及。

用于对抗这类恶意软件的一种方法是使用外部引导技术，在公开号为EP1995936668和WO2007069245中公开了其示例。当从外部设备引导时，计算机恶意软件不会被加载并且可以在文件系统、硬件驱动器等传统的反病毒扫描过程中被检测。这类方法的缺点包括，需要专门的外部磁盘或设备，以及需要用户通过采用外部引导技术来采取特定的、针对性的动作以进行引导过程恶意软件的评估。

至少由于以上原因，需要一种对部署有bootkit的恶意软件提供实际的和自动的检测的解决方案。

发明内容

本发明的一个方面针对仿真计算机系统的引导过程。仿真指机器实现的计算机系统的操作的复制。仿真可在与正被仿真的计算机系统相同的计算机系统硬件上实施，或者在与正被保护的计算机系统通信地连接的不同计算机硬件集上实施。仿真允许在计算机开启的那刻起就开始对引导过程进行评估，并且对计算机系统或者网络媒介上的恶意软件，或者更通常是对实际上可能有害或无害的未知程序进行检测。本发明的多个方面不仅允许检测已知的有害代码（例如，通过校验和、哈希、或某些特征或其他签名可识别的），还允许发现引导过程中的异常情况（即，允许在引导期间检测它们的有害性质）。本发明的实际应用允许保护服务提供商远程分析受感染的媒介，不必须使用外部引导设备。使用引导过程仿真来检测未知程序显著地减小了发现和分析修改引导过程的未知程序和未知磁盘扇区所需的时间。

根据相关的实施例，通过目标计算机系统的自动保护系统获得定义可引导设备的存储布置结构的物理参数数据，基于该物理参数数据来仿真该目标计算机系统的引导过程。在表示目标计算机系统的虚拟环境中进行仿真，包括：执行引导代码和响应于引导代码的执行来获得引导过程信息。生成至少表示引导过程信息的数据结构。基于该数据结构确定引导过程信息是否包括未知程序。

根据本发明的另一个方面，提供用于检测在具有引导设备的目标计算机系统上的未知程序的保护系统。该系统包括引导仿真器模块，配置为收集存储在至少部分地定义了目标计算机系统的引导过程的可引导设备上的引导过程信息，以及定义可引导设备的存储布置结构的物理参数数据。引导仿真器模块配置为基于所述引导过程信息和所述物理参数数据，实施对目标计算机系统的引导过程的仿真。引导仿真器模块进一步配置为执行引导过程信息的指令，并响应于引导过程信息的指令跟踪从可引导设备所访问的数据。检测器模块与引导仿真器模块通信耦合，并配置为在引导过程的仿真中基于从可引导的设备所访问的数据来检测未知程序的存在。