CN101093452A - 使用系统事件信息来探测隐藏进程的系统和方法 - Google Patents

Abstract

提供了一种用于通过使用系统事件信息来探测隐藏进程的系统和方法。该系统包括：内核层监视模块，用于通过监视内核层系统来提取系统事件信息；内核层进程列表探测模块，用于探测与来自于所提取的系统事件信息的事件相关的进程；应用层进程列表探测模块，用于探测从应用层提供给用户的进程列表；以及隐藏进程探测模块，用于通过比较由内核层进程列表探测模块探测的进程与由应用层进程列表探测模块探测的进程，探测仅在内核层中存在的进程作为隐藏进程。

Description

使用系统事件信息来探测隐藏进程的系统和方法

技术领域

本发明涉及一种用于探测隐藏进程(hidden process)的系统及方法，尤其是涉及一种用于通过使用系统事件信息提取从内核层提供的进程列表以及比较该由内核层提供的进程列表与由应用层提供的进程列表、从而使用系统事件信息来探测隐藏进程的系统及方法，以用于实时防止用户系统受到隐藏进程的损害，从而获得系统安全，其中，通过实时监视系统内核层来产生所述系统事件信息。

背景技术

由于隐藏进程和正常进程都是在系统内部执行，所以隐藏进程可以是与正常进程相比的同样类型的进程。然而，由于诸如rootkit之类的恶意代码将关于隐藏进程的信息相对于系统的应用层隐藏起来从而将隐藏进程相对于用户隐藏起来，因而用户不能够通过作为进程信息程序的任务管理器来辨认出隐藏进程的存在。

如上所述，隐藏进程不向应用层提供任何相关的信息。然而，由于隐藏进程需要通过在内核层中的资源分配来使用系统资源以执行隐藏进程的相关进程，所以隐藏进程在系统内核层上公开其信息。

因此，可以通过使用在系统资源被实时访问时提供的系统事件信息来探测访问系统资源的进程，并将探测到的进程与应用层中显示的进程相比较，从而探测隐藏进程。

作为传统的探测隐藏进程的方法，介绍了一种使用包括在EPROCESS结构中的“ActiveProcessLinks(活动进程链接)”的隐藏进程探测方案。该隐藏进程探测方案由Joanna Rutkowska在 http://invisiblethings.org向公众公开。该隐藏进程探测方案如下面那样探测隐藏进程。从系统的应用层提取出相应的进程列表(a)。通过EPROCESS结构的ActiveProcessLinks从内核层提取出另一个进程列表(b)。在获得应用层进程列表(a)和内核层进程列表(b)之后，比较这些列表并找出仅在内核中存在的进程。在这里，将仅存在于内核中的进程确定为隐藏进程。使用EPROCESS结构的传统的隐藏进程探测方案具有如下的缺点。由于获取列表的时间延迟，使用EPROCESS结构的传统的隐藏进程探测方案有可能将正常进程确定为隐藏进程。同样，因为进程列表是通过EPROCESS结构的ActiveProcessLinks而获得的，因此如果Windows操作系统的结构被修改，使用EPROCESS结构的传统的隐藏进程探测方案将不能探测到隐藏进程，并且EPROCESS结构不是由生产Windows操作系统的微软公司产生的内部系统结构。

EPROCESS结构的ActiveProcessLinks被包括在相应的进程列表中，并且在系统资源被分配给系统中的相应进程时被执行。由此，当没有请求进行资源分配时，也即当进程处于周期性的空闲状态时，EPROCESS结构的ActiveProcessLinks不包括在相应的进程列表中。因此，使用EPROCESS结构的传统的隐藏进程探测方案不能探测到系统中处于空闲状态的隐藏进程。

由F-Securue公司介绍了BlackLight的beta版(http://www.f-secure.com/blacklight)，作为探测隐藏进程的传统产品。BlackLight的beta版使用了函数OpenProcess()，其被用来请求在Windows系统中当前运行的进程的信息。也就是说，BlackLight将所有的、能够在Window系统中产生的进程标识符(PID)值作为输入参数应用到相应的函数中。而后，根据从相应函数返回的值，BlackLight确定所应用的PID值的相应进程是否存在。如果相应的PID进程列表信息不在应用层中，那么相应的PID进程就被确定为隐藏进程。如上所述，BlackLight的beta版通过在系统的应用层中使用的应用程序接口(API)探测隐藏进程，而不在系统内核层中执行任何操作。然而，当调用本身具有PID值的函数OpenProcess()时，如果隐藏进程返回恶意形成的结果，那么BlackLight就不能探测到隐藏进程。在这种情况下，BlackLight确定在系统中不存在相应的进程。同时，使用函数OpenProcess()的隐藏进程探测方案不是实时的探测方案。它是一个使用扫描方法的隐藏进程探测方案。因此，当隐藏进程被激活或者已被终止时，使用函数OpenProcess()的隐藏进程探测方案不能探测到隐藏进程。

发明内容

因此，本发明致力于使用系统事件信息来探测隐藏进程的系统和方法，其实质上避免了由于相关技术的限制和缺陷而产生的一个或多个问题。

本发明的一个目的是提供一种通过下述方式使用系统事件信息来探测隐藏进程的系统及方法：使用通过实时监视系统内核层而产生的系统事件信息来提取从内核层提供的进程列表，比较该内核层进程列表与从应用层提供的应用层进程列表，并删除探测到的隐藏进程。

本发明的另一个目的是提供一种通过下述方式使用系统事件信息来探测隐藏进程的系统和方法(即使隐藏进程处于空闲状态)：基于在系统中实时产生的文件、注册信息(registry)和网络事件信息来比较应用层进程列表和内核层进程列表，以便克服传统的使用ActiveProcessLinks的隐藏进程探测方法的限制。

本发明的附加优点、目的和特征将在后面的描述中部分地阐明，并且对于本领域普通技术人员来说根据后面的验证是显而易见的，或者可以从本发明的实施中了解。本发明的目标和其他优点可以通过在这些描述和其权利要求以及附图中特别指出的结构而得到实现和获得。

为了根据本发明的目的而达到这些目标和其他优点，如这里表现并概括描述的，提供一种使用系统事件信息来探测隐藏进程的系统，包括：内核层监测模块，用来通过监测内核层系统而提取系统事件信息；内核层进程列表探测模块，用来探测与来自于所提取的系统事件信息的事件相关的进程；应用层进程列表探测模块，用来探测从应用层提供给用户的进程列表；以及隐藏进程探测模块，用来通过比较由内核层进程列表探测模块探测的进程以及由应用层进程列表探测模块探测的进程，探测仅存在于内核层中的进程作为隐藏进程。

内核层监视模块可以包括：文件监视模块，用来通过在内核层监视文件系统而提取文件事件信息；注册信息监视模块，用来通过监视在内核层访问的注册信息而提取注册信息事件信息；以及网络监视模块，用来通过在内核层监视网络而提取网络事件信息。

根据本发明的另一方面，提供了一种使用系统事件信息来探测隐藏进程的方法，包括步骤：a)通过监视内核层系统提取系统事件信息；b)探测与来自于所提取的系统事件信息的事件相关的进程；c)探测由应用层提供给用户的进程列表；以及d)通过比较步骤b)中探测的进程和步骤c)中探测的进程列表中的进程，探测仅存在于内核层中的进程作为隐藏进程。

应该理解，本发明的上面的概括描述以及下面的详细描述都是示意性和说明性的，并且旨在提供如权利要求所述的本发明的进一步的解释。

附图说明

附图图解了本发明的实施例并和描述一起用来解释本发明的原理，其中所述附图被包含以提供对本发明的进一步的理解、以及被并入本申请并构成本发明的一部分。在附图中：

图1是图解根据本发明一个实施例的、使用系统事件信息来探测隐藏进程的系统的方框图；以及

图2是示出根据本发明一个实施例的、使用系统事件信息来探测隐藏进程的方法的流程图。

具体实施方式

现在将对本发明的优选实施例进行详细的说明，其中所述优选实施例的例子被图解在附图中。

在下文中，描述根据本发明一个实施例的使用系统事件信息来探测隐藏进程的系统和方法。

图1是图解根据本发明一个实施例的、使用系统事件信息来探测隐藏进程的系统的方框图。

参照图1，所述根据本发明实施例的使用系统事件信息来探测隐藏进程的系统包括：内核层监视模块100、内核层进程列表探测模块200、应用层进程列表探测模块300、隐藏进程探测模块400、和隐藏进程删除模块500。内核层监视模块100通过监视内核层系统而提取系统事件信息。内核层进程列表探测模块200探测与来自于提取的系统事件信息的事件相关的进程。应用层进程列表探测模块300探测应用层提供给用户的进程列表。隐藏进程探测模块400比较由内核层进程列表探测模块200探测到的进程和由应用层进程列表探测模块300探测到的进程，并确定仅存在于内核层中的进程作为隐藏进程。隐藏进程删除模块500删除在隐藏进程探测模块400上探测到的隐藏进程。

为了监视内核层提供的系统事件信息，内核层监视模块100包括文件监视模块110、注册信息监视模块120以及网络监视模块130。文件监视模块110在内核层监视文件系统。注册信息监视模块120监视在内核层中访问的注册信息，而网络监视模块130实时地监视网络。

由于系统信息被分配为执行内核层中的进程，所以与隐藏进程相关的信息被显示在内核层中。

文件监视模块110是通过在内核层实时监视文件系统而查找文件系统事件信息的模块。文件监视模块110监视诸如哪个进程访问了预定文件、哪个文件被预定进程访问以及何种事件产生了访问文件的进程之类的文件系统事件信息。从文件监视模块110输出的文件系统事件信息是访问预定文件的进程的名称、访问预定文件的时间、诸如“查询信息”、“打开”或“关闭”之类的文件请求事件、访问预定文件的路径以及访问预定文件的结果(诸如访问文件成功或失败)。从文件监视模块110输出的文件系统事件信息被提供给内核层进程列表探测模块200。

注册信息监视模块120是实时监视在内核层访问的注册信息的模块。注册信息监视模块120探测哪个进程请求了预定注册事件信息以及哪个注册事件信息被预定进程请求。从注册信息监视模块120输出的注册事件信息是访问预定注册信息的进程的名称、访问预定注册信息的时间、诸如打开密钥(Openkey)或者关闭密钥(Closekey)之类的注册请求事件、访问注册信息的路径(patch)、以及访问注册信息的结果(诸如访问注册信息成功或失败)。注册信息监视模块120向内核层进程列表探测模块200提供注册事件信息。

网络监视模块130通过实时监视网络而探测网络事件信息。网络监视模块130实时监视信息，这些信息诸如是哪一个进程接收或者发送了预定分组，什么分组被发送或接收，以及哪一个端口被用来发送或者接收预定分组。从网络监视模块130输出的网络事件信息是访问网络的进程的名称、产生网络分组的时间、发送器地址、接收器地址、发送器端口、接收器端口、分组长度、校验和、TTL值以及碎片信息。网络监视模块130向内核层进程列表探测模块200提供网络事件信息。

内核层监视模块100可以包括系统事件信息过滤模块140，其用来监视系统内核层的系统事件信息。

系统事件信息过滤模块140将预定事件和预定进程从在内核层监视系统事件信息的目标中排除。也就是说，为了提高隐藏进程探测系统的性能，系统事件信息过滤模块140减少了监视系统事件信息的目标。

内核层进程列表探测模块200从自内核层监视模块100提供的系统事件信息提取访问事件的进程的列表。系统事件信息包括由文件监视模块110获得的文件事件信息、由注册信息监视模块120获得的注册事件信息以及由网络监视模块130获得的网络事件信息。由内核层进程列表探测模块200提取的进程列表可以包括文件访问进程、注册信息访问进程以及网络访问进程。

应用层进程列表探测模块300探测从应用层提供给用户的进程列表信息。通常，标准的进程列表信息是从应用层通过Win32 API提供给用户的进程信息。在Windows系统的情况下，进程列表信息就是通过任务管理器提供的进程列表信息。

由内核层进程列表探测模块200探测的内核层进程列表、以及由应用层进程列表探测模块300探测的应用层进程列表被发送给隐藏进程探测模块400。

隐藏进程探测模块400通过比较内核层进程列表和应用层进程列表来查找隐藏进程。

关于隐藏进程的信息不显示在应用层中，而是公开在内核层中从而接收用于执行相关进程的资源。

因此，如果一个进程仅存在于内核层中而不存在于应用层中，那么这个进程被确定为隐藏进程。

然而，如果内核层进程列表以及应用层进程列表完全一样，那么在系统中执行的进程被确定为正常进程。

如果隐藏进程探测模块400探测到隐藏进程，那么隐藏进程删除模块500终止或者删除该隐藏进程。

隐藏进程删除模块400根据用户的决定来处理隐藏进程。

图2是示出根据本发明一个实施例的使用系统事件信息来探测隐藏进程的方法的流程图。

参照图2，在步骤S210，当用户执行用于探测隐藏进程的系统或程序时，开始用于探测隐藏进程的操作。

尽管探测隐藏进程的操作可以通过用户输入的开始指令而开始，但是更为可取的是，当系统运行时，为了实时探测隐藏进程，连续不断地执行用于探测隐藏进程的操作。

在步骤S210开始了探测隐藏进程的操作之后，在步骤S220和步骤S230，执行用于监视内核层的操作以及探测应用层进程列表的操作。

在内核层监视步骤S220，通过监视系统的内核层来提取系统事件信息。

在内核层监视步骤S220，在步骤S221通过监视文件系统而提取文件事件信息，在步骤S222通过监视注册信息而提取注册信息事件信息，在步骤S223通过监视网络而提取网络事件信息。

在步骤S240，提供在内核层监视步骤S220提取的系统事件信息以探测内核层进程列表。

在内核层进程列表步骤S240，从系统事件信息中提取内核层进程列表，该内核层进程列表是访问事件的进程的列表。提供所提取的内核层进程列表用以在步骤S250比较内核层进程列表和应用层进程列表。

在应用层进程列表探测步骤S230，探测从应用层提供给用户的进程列表的信息，并在步骤S250提供该信息以比较内核层进程列表和应用层进程列表。

在进程列表比较步骤S250，通过比较内核层进程列表和应用层进程列表来确定它们是否完全一致。

在步骤S260，如果内核层进程列表和应用层进程列表完全一致，则这些进程被确定为正常进程。

在步骤S270，如果内核层进程列表和应用层进程列表不同，那么仅存在于内核层进程列表中而不存在于应用层进程列表中的进程被确定为隐藏进程。

根据用户的决定来处理所确定的隐藏进程。如果用户想要删除探测到的隐藏进程，那么在步骤S280，隐藏进程被从系统中删除。

如上所述，根据本发明的用于探测隐藏进程的系统和方法能够通过使用内核层提供的系统事件信息来实时探测隐藏进程，从而保护用户系统不受隐藏进程的损害。

同样，根据本发明的用于探测隐藏进程的系统和方法能够通过使用在系统中产生的事件信息来探测并删除隐藏进程，即使该隐藏进程处于空闲状态也是如此。此外，由于实时事件信息被用来探测隐藏进程，根据本发明的用于探测隐藏进程的系统和方法能够在隐藏进程执行时探测到该进程。

对于本领域技术人员来说，可以对本发明进行各种修改和变更是显而易见的。因此，这意味着本发明覆盖了在其所附权利要求及其等价物的范围内的对本发明的修改和变更。

Claims (16)

1、一种通过使用系统事件信息来探测隐藏进程的系统，其特征在于：通过比较从通过内核层监视获得的系统事件信息中提取的进程列表和从应用列表提供给用户的进程列表，探测仅存在于内核层中的进程作为隐藏进程。

2、如权利要求1所述的系统，其中内核层监视通过在内核层监视文件系统来提取文件事件信息。

3、如权利要求1所述的系统，其中内核层监视通过监视在内核层访问的注册信息来提取注册信息事件信息。

4、如权利要求1所述的系统，其中内核层监视通过监视网络来提取网络事件信息。

5、如权利要求24中任意一个所述的系统，其中内核层被实时监视。

6、如权利要求1-4中任意一个所述的系统，其中内核层监视还包括系统事件信息过滤模块，从而不探测预定事件信息和预定进程。

7、一种通过使用系统事件信息来探测隐藏进程的系统，包括：

内核层监视模块，用于通过监视内核层系统来提取系统事件信息；

内核层进程列表探测模块，用于探测与来自于所提取的系统事件信息的事件相关的进程；

应用层进程列表探测模块，用于探测从应用层提供给用户的进程列表；以及

隐藏进程探测模块，用于通过比较由内核层进程列表探测模块探测的进程以及由应用层进程列表探测模块探测的进程，探测仅在内核层中存在的进程作为隐藏进程。

8、如权利要求7所述的系统，其中内核层监视模块包括用于通过在内核层监视文件系统来提取文件事件信息的文件监视模块。

9、如权利要求7所述的系统，其中内核层监视模块包括用于通过监视在内核层访问的注册信息来提取注册事件信息的注册信息监视模块。

10、如权利要求7所述的系统，其中内核层监视模块包括用于通过监视网络来提取网络事件信息的网络监视模块。

11、如权利要求7所述的系统，其中内核层监视模块包括：

用于通过在内核层监视文件系统来提取文件事件信息的文件监视模块；

用于通过监视在内核层访问的注册信息来提取注册信息事件信息的注册信息监视模块；以及

用于通过在内核层监视网络来提取网络事件信息的网络监视模块。

12、如权利要求11所述的系统，其中应用层进程列表探测模块探测从应用层通过API提供的进程信息。

13、如权利要求7-12中任意一个所述的系统，进一步包括隐藏进程删除模块，用来删除由隐藏进程探测模块探测的隐藏进程。

14、一种通过使用系统事件信息来探测隐藏进程的方法，包括步骤：

a)通过监视内核层系统来提取系统事件信息；

b)探测与来自于所提取的系统事件信息的事件相关的进程；

c)探测从应用层提供给用户的进程列表；以及

d)通过比较步骤b)中探测的进程和步骤c)中探测的进程列表中的进程，探测仅存在于内核层中的进程作为隐藏进程。

15、如权利要求14所述的方法，其中步骤a)包括步骤：

a-1)通过在内核层监视文件系统来提取文件事件信息；

a-2)通过监视在内核层中访问的注册信息来提取注册信息事件信息；以及

a-3)通过在内核层监视网络来提取网络事件信息。

16、如权利要求14和15中任意一个所述的系统，进一步包括删除在步骤d)中探测到的隐藏进程的步骤。

Images