[发明专利]一种检测Windows操作系统中隐藏的恶意程序进程的方法

说明书

本发明公开了一种检测Windows操作系统中隐藏的恶意程序进程的方法，其特征在于包括以下步骤：S100：从Windows操作系统应用层检测隐藏进程，包括以下步骤：S101：获取％SystemRoot％\System32\ntdll.dll，并根据解析ntdll.dll的结果获取ntdll.dll的导出函数NtQuerySystemInformation；S102：采用导出函数NtQuerySystemInformation筛选出Nt开头的功能，并进行解析，获取NtQuerySystemInformation的系统服务描述符的编号；S103：根据所获取的NtQuerySystemInformation的系统服务描述符的编号，构建调用功能，并使用SYSENTER\SYSTEMCALL指令访问内核层；S104：对比进程列表，查找隐藏的恶意程序进程；S200：判断是否查找到隐藏的恶意程序进程，如果是，结束流程，否则，执行步骤S300；S300：从Windows操作系统内核层检测隐藏进程。

技术领域

本发明属于计算机安全及计算机病毒检测与防护领域，涉及一种检测Windows操作系统中隐藏的恶意程序进程的方法。

背景技术

在恶意软件威胁、病毒注入、挖矿程序肆意的当下，对于Windows操作系统进程的监控不仅是计算机安全从业人员需要关心的重点，更是守护信息安全、杜绝恶意威胁的关键。但非法盗用计算机资源的违法人员不会直接将恶意程序注入并运行。现有技术进行检测时，极易遇到进程被恶意挂钩，这些隐藏手段使计算机安全从业人员无法直接察觉该恶意软件正在盗用我们的计算机资源。

恶意代码为了保护自己的进程不被发现，通过进程挂起，替换内存数据再恢复执行，或通过HOOK函数NtQuerySystemInfornation实现进程隐藏等方法，在常见的64位Windows操作系统下wow64进程下的Wow64Transition进行挂钩，实现进程隐藏和欺骗，用来对抗进程检测。在64位Windows操作系统下，恶意代码也能实现进程隐藏和欺骗，也能对抗进程检测。

因此，现有技术中，用户和第三方杀毒工具等不能直接查看所有真实进程列表，无法绕过恶意程序的隐藏和欺骗。

发明内容

针对现有技术的不足，本发明提供了一种检测Windows操作系统中隐藏的恶意程序进程的方法，从应用层调用与驱动层访问的方案，在恶意程序进行进程隐藏和欺骗的情况下，绕过程序挂钩、进程断链等，提取到实际的系统进程列表，挖掘出恶意程序进程。本发明具有稳定可靠并能全面检测Windows操作系统中隐藏的恶意程序进程的有益效果。

本发明申请包括以下步骤：

S100：从Windows操作系统应用层检测隐藏进程，包括以下步骤：

S101：获取％SystemRoot％\System32\ntdll.dll，并根据解析ntdll.dll的结果获取ntdll.dll的导出函数NtQuerySystemInformation；

S102：采用导出函数NtQuerySystemInformation筛选出Nt开头的功能，并进行解析，获取NtQuerySystemInformation的系统服务描述符的编号，包括以下步骤：

S1021：采用二进制方式读取ntdll.dll文件，获取PE文件导出表，解析NTQuerySystemInformation的相对虚拟地址RVA；

S1022：解析PE文件区段表并按页对齐，映射到内存后，读取PE文件头地址ImageBase；

S1023：计算功能地址fn：功能地址fn＝ImageBase+RVA；

S1024：根据功能地址fn及操作系统的位数，获取NtQuerySystemInformation的系统服务描述符的编号，其中，