CN102930201A

CN102930201A - 对主引导记录恶意程序进行处理的方法及装置

Info

Publication number: CN102930201A
Application number: CN2012103757175A
Authority: CN
Inventors: 邵坚磊
Original assignee: Beijing Qihoo Technology Co Ltd; Qizhi Software Beijing Co Ltd
Current assignee: Beijing Qihoo Technology Co Ltd
Priority date: 2012-09-29
Filing date: 2012-09-29
Publication date: 2013-02-13
Anticipated expiration: 2032-09-29
Also published as: CN102930201B

Abstract

本发明公开了对主引导记录恶意程序进行处理的方法及装置，所述方法包括：在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序；在硬盘初始化结束后调用所述安全驱动程序；在所述安全驱动程序被调用后，通过所述安全驱动程序对磁盘的读取操作进行监控；当监控到磁盘的读取/写入操作发生时，对读取/写入的数据进行检测，如果检测出所述读取/写入的数据中包含恶意代码，返回磁盘读取失败，以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程序之间的联系。通过本发明，能够有效的阻止主引导记录恶意程序对计算机的破坏。

Description

对主引导记录恶意程序进行处理的方法及装置

技术领域

本发明涉及计算机安全技术领域，特别是涉及对主引导记录恶意程序进行处理的方法及装置。

背景技术

磁盘的主引导记录(Master Boot Record，简称MBR)是位于磁盘的0磁头0磁道1扇区，有固定大小的一块存储区域，是计算机开机后访问磁盘所读取的首个区域。主引导记录一般包含三个部分：主引导程序、磁盘分区表、以及结束标志字。其中，主引导程序用来在计算机启动时检查分区表是否正确，并且在系统硬件完成自检后将控制权交给磁盘上的系统引导程序。MBR中的主引导程序具有相对于操作系统的独立性，这种独立性体现在计算机的启动过程中：一般的计算启动过程是计算机通电后执行自检，当确定以磁盘作为启动源后由基本输入输出系统将MBR读入内存，控制权交给其中的主引导程序，由主引导程序检查分区表，找到活动的分区，而后将控制权交给活动分区的系统引导程序，由系统引导程序加载操作系统。整个过程中主引导程序的加载和操作系统的加载是两个相对独立的过程，因此MBR中的主引导程序具有相对于操作系统的独立性，即MBR中的主引导程序先于操作系统加载，并且不依赖、也不属于操作系统。

正是由于MBR中的主引导程序这种相对于操作系统的独立性，MBR区域成为了一些恶意程序利用的对象，“鬼影”病毒便是其中的代表。该病毒寄存于磁盘的主引导记录中，能够在计算机开机后先于操作系统启动，并且能够使受感染的计算机在系统启动时加载经过精心隐藏的另一个恶意驱动程序B，恶意驱动程序B成功加载后，会实施关闭杀毒软件、下载其他恶意程序等操作，以实现窃取用户信息、破坏用户计算机等不法行为。由于该病毒寄存于磁盘主引导记录中，在其成功运行后，在操作系统中通常找不到任何异常，同时由于磁盘的主引导记录通常不会因重新安装而重写，导致该病毒甚至能够在用户重新安装操作系统后依然存在，并且在计算机启动后仍然能发挥作用，可见该病毒的顽固程度。因此，迫切需要本领域技术人员解决的技术问题就在于，如何有效的阻止此类恶意程序对计算机系统的破坏。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的对主引导记录恶意程序进行处理的方法和相应的对主引导记录恶意程序进行处理的装置。

依据本发明的一个方面，提供了一种对主引导记录恶意程序进行处理的方法，包括：

在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序；

在硬盘初始化结束后调用所述安全驱动程序；

通过所述安全驱动程序对磁盘的读取操作进行监控；

当监控到磁盘的读取/写入操作发生时，对读取/写入的数据进行检测，如果检测出所述读取/写入的数据中包含恶意代码，返回磁盘读取失败，以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程序之间的联系。

可选地，所述在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序包括：

在操作系统的注册表中将安全驱动程序注册为系统预留类型，以便操作系统在启动过程中，进行内核初始化时，加载安全驱动程序。

可选地，所述在硬盘初始化结束后调用所述安全驱动程序包括：

在所述安全驱动程序被加载时，向系统注册回调函数，以便在硬盘初始化结束之后所述安全驱动程序被操作系统调用。

可选地，还包括：

对所述主引导记录中的恶意程序进行清除。

可选地，，所述对所述主引导记录中的恶意程序进行清除包括：

重建主引导记录。

可选地，还包括：

对所述磁盘分区中的恶意驱动程序进行删除。

根据本发明的另一方面，提供了一种对主引导记录恶意程序进行处理的装置，包括：

加载单元，用于在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序；

调用单元，用于在硬盘初始化结束后调用所述安全驱动程序；

监控单元，用于通过所述安全驱动程序对磁盘的读取操作进行监控；

检测单元，用于当监控到磁盘的读取/写入操作发生时，对读取/写入的数据进行检测，如果检测出所述读取/写入的数据中包含恶意代码，返回磁盘读取失败，以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程序之间的联系。

可选地，所述加载单元包括：

注册表写入单元，用于在操作系统的注册表中将安全驱动程序注册为系统预留类型，以便操作系统在启动过程中，进行内核初始化时，加载安全驱动程序。

可选地，所述调用单元包括：

回调函数注册单元，用于在所述安全驱动程序被加载时，向系统注册回调函数，以便在硬盘初始化结束之后所述安全驱动程序被操作系统调用。

可选地，还包括：

清除单元，用于对所述主引导记录中的恶意程序进行清除。

可选地，所述清除单元包括：

重建子单元，用于重建主引导记录。

可选地，还包括：

删除单元，用于对所述磁盘分区中的恶意驱动程序进行删除。

根据本发明的另一方面，提供了一种对主引导记录恶意程序进行处理的设备，包括前述任一项所述的对主引导记录恶意程序进行处理的装置。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

根据本发明的对主引导记录恶意程序进行处理的方法及装置，可以能够在系统启动的早期阶段，MBR、BOOTLOADER、BOOTMGR等初始化好后，系统在初始化内核的时候，加载安全驱动程序，然后HOOK系统读写磁盘的操作，当读取的扇区内包含恶意代码的时候，返回失败，从而让恶意驱动无法被加载，完全切断了MBR和与恶意驱动之间的联系，使MBR恶意程序完全失效，进而可以轻易的处理残留的MBR病毒体，有效的阻止此类恶意程序对计算机系统的破坏。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：

图1示出了根据本发明一个实施例的方法的流程图；以及

图2示出了根据本发明一个实施例的装置的示意图。

具体实施方式

下面将参照附图更详细地描述本公开的示例性实施例。虽然附图中显示了本公开的示例性实施例，然而应当理解，可以以各种形式实现本公开而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本公开，并且能够将本公开的范围完整的传达给本领域的技术人员。

参见图1，本发明实施例提供的对主引导记录恶意程序进行处理的方法包括以下步骤：

S101：在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序；

在现代操作系统中，应用程序不能直接访问硬件，而是通过调用操作系统提供的接口来使用硬件，而操作系统依赖内核空间来管理和调度这些应用。内核空间由四大部分组成，分别是：进程管理(负责分配CPU时间)、文件访问(把设备调配成文件系统，并提供一个一致的接口供上层程序调用)、安全控制(负责强制规定各个进程的具体的权限和单独的内存范围，避免各进程之间发生冲突)和内存管理(负责进程运行时对内存资源的分配、使用、释放和回收)。内核是一种数据结构，Rootkit技术通过修改内核的数据结构来隐藏其他程序的进程、文件、网络通讯和其它相关信息(比如注册表和可能因修改而产生的系统日志等)。

Bootkit是更高级的Rootkit，Bootkit通过感染MBR(Master Boot Record，磁盘主引导记录)的方式，实现绕过内核检查和启动隐身，即Bootkit是一种基于MBR的Rootkit。可以认为，所有在开机时比Windows内核更早加载、实现内核劫持的技术，都可以称之为Bootkit，例如后来的BIOS Rootkit、VBootkit、SMM Rootkit等。由于MBR病毒(MBR BOOTKIT)寄生在MBR中，病毒释放的驱动程序，能够破坏大多数安全工具和系统辅助工具，当系统再次重启时，该病毒程序会早于操作系统内核先行加载。

为了能够对抗这种MBR病毒，就需要在MBR病毒加载恶意驱动之前，加载安全驱动程序。为了达到该目的，在本发明实施例中，就可以在硬盘驱动初始化之前加载安全驱动程序，具体实现时，可以在MBR、BOOTLOADER、BOOTMGR等初始化好后，系统在初始化NT KERNEL的时候，就对安全驱动程序进行加载，以期赶在MBR区的恶意驱动程序加载之前获得执行。

其中，BOOTLOADER就是在操作系统内核运行之前运行的一段系统引导程序。通过这段系统引导程序，可以初始化硬件设备、建立内存空间映射图，从而将系统的软硬件环境带到一个合适状态，以便为最终调用操作系统内核准备好正确的环境。在嵌入式系统中，通常并没有像BIOS(Basic Input OutputSystem，基本输入输出系统)那样的固件程序(有的嵌入式CPU也会内嵌一段短小的启动程序)，因此整个系统的加载启动任务就完全由BootLoader来完成。BOOTMGR是Boot Manager的缩写，是在Windows Vista和Windows 7中使用的启动管理器，类似功能的，还有Windows xp中的启动管理器-NTLDR，等等。NT KERNEL是系统内核。

以Windows7系统为例，正常情况下，计算机系统的开机过程是：

开机通电自检--＞主板BIOS根据用户指定的启动顺序从软盘、硬盘或光驱进行启动--＞系统BIOS将主引导记录MBR读入内存--＞控制权交给主引导程序--＞主引导程序检查分区表状态，寻找活动的分区--＞主引导程序将控制权交给活动分区的引导记录，由引导记录加载操作系统启动文件。

由上可知，MBR是电脑通电开机，主板自检完成后，被第一个读取到的位置，位于硬盘的0磁头0磁道1扇区，它的大小是512字节，不属于任何一个操作系统，也不能用操作系统提供的磁盘操作命令来读取。

当电脑加电后，首先是启动BIOS程序，BIOS自检完毕后，找到硬盘上的主引导记录MBR，MBR读取DPT(Disk Partition Table，硬盘分区表)，从中找出活动的主分区，然后读取活动主分区的PBR(Partition Boot Record，分区引导记录)，PBR再搜寻分区内的启动管理器文件BOOTMGR，在BOOTMGR被找到后，控制权就交给了BOOTMGR。BOOTMGR读取\BOOT\BCD文件(BCD＝Boot Configuration Data，启动配置数据)，如果存在着多个操作系统并且选择操作系统的等待时间不为0，这时就会在显示器上显示操作系统的选择界面。如果选择启动Windows 7后，BOOTMGR就会去启动盘寻找WINDOWS\system32\winload.exe，然后通过winload.exe加载Windows7内核，从而启动整个Windows7系统。总之，在Windows7操作系统中，可以把这个过程简单地概括为：BIOS--＞MBR--＞DPT--＞PBR--＞BOOTMGR--＞BCD--＞Winload.exe--＞内核加载--＞整个windows7系统。在内核加载之后，启动整个windows7系统时，需要先对内核进行初始化，然后对硬盘进行初始化，而在本发明实施例中，就是在上述对内核进行初始化的环节中，加载安全驱动程序。

具体实现时，为了能够保证启动操作系统的过程中，进行内核初始化时，加载安全驱动程序，可以在操作系统的注册表中将安全驱动程序注册为系统预留类型(也即注册为system reserved)，这样可以使得系统能够最早加载该安全驱动程序。另外，系统内部自带的简单的文件读写的系统，在实模式下就已经通过INT13读取文件到内存中，然后在保护模式下访问。所以系统会自动加载注册表中BOOT TYPE为0的驱动到内存中，而无需通过磁盘驱动和文件驱动。

S102：在硬盘初始化结束后调用所述安全驱动程序；

安全驱动程序被加载之后，需要由操作程序来调用该安全驱动程序，才能执行相关的操作，发挥出真正的作用。为此，具体实现时，可以在安全驱动程序被加载时，向系统注册回调函数，这样就能够在硬盘驱动初始化结束之后，操作系统马上调用安全驱动程序，使得安全驱动程序立即得以运行。

之所以要向系统注册回调函数，是因为，安全驱动程序需要挂钩硬盘驱动的操作，但该操作也要等硬盘驱动初始化好以后才能执行，所以需要向系统注册一个回调函数，以便硬盘驱动初始化后，安全驱动程序能及时获得执行操作。

S103：在所述安全驱动程序被调用后，通过所述安全驱动程序对磁盘的读取/写入操作进行监控；

安全驱动程序在获得执行之后，就可以对磁盘的读取操作进行监控。由于MBR区的恶意程序要想与磁盘分区中的恶意驱动程序取得联系，就需要将磁盘分区中的恶意驱动代码读入内存，从而加载运行恶意驱动程序，而在将磁盘分区中的恶意驱动代码读入内存的过程中，就需要对磁盘进行读取；另一方面，本发明实施例中的安全驱动程序又是早于恶意驱动程序加载的，因此，恶意程序读取及写入磁盘的操作就能被安全驱动程序监控到。具体实现时，可以通过HOOK磁盘驱动的读写的相关操作，来实现对磁盘读写操作的监控。

S104：当监控到磁盘的读取/写入操作发生时，对读取/写入的数据进行检测，如果检测出所述读取/写入的数据中包含恶意代码，返回磁盘读取失败，以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程序之间的联系。

安全驱动程序在监控到磁盘读取操作之后，就可以对读取的数据进行拦截，并进行安全性检测，如果发现读取的数据中包含有恶意代码，就证明可能是MBR区的恶意程序正在读取磁盘中的恶意驱动代码，因此，就可以直接返回磁盘读取失败，使得恶意驱动代码无法被读取到内存中，也就无法运行，进而，就可以阻断MBR中的恶意程序与磁盘分区中的恶意驱动程序之间的联系，这两者之间的联系被阻断之后，MBR中的恶意程序与恶意驱动程序即使依然存在，也不会对用户的计算机产生任何的危害。比如鬼影5，在读取磁盘扇区时候，会验证某特征码，如果符合，则认为读到恶意驱动的代码，从而会执行该代码，通过修改这些，让其认为没有读到，即可跳过，避免运行恶意代码。其中，检测被读取的数据中是否存在恶意代码的相关实现可以参见已有技术中的方法，这里不再赘述。

当然，为了进一步保证用户计算机的安全，在阻断MBR中的恶意程序与磁盘中的恶意驱动程序之间的联系之后，还可以将MBR中的恶意程序清除，此外，还可以将磁盘分区中的恶意驱动程序删除。其中，恶意驱动程序就在保存在磁盘上，因此直接通过磁盘操作命令进行删除即可。但MBR中的恶意程序是位于MBR中，由于MBR位于硬盘的0磁头0磁道1扇区，它的大小是512字节，不属于任何一个操作系统，也不能用操作系统提供的磁盘操作命令来读取，因此，在对MBR中的恶意程序进行清除时，可以通过重建MBR等方式来实现。其中，关于如何进行MBR的重建，可以调用已有的用于进行MBR重建的应用程序。具体实现时，可以通过本发明实施例中的程序，将系统默认的MBR写入MBR区，或系统的命令FDISK/MBR。来恢复MBR区。

总之，由于MBR中的恶意程序在MBR获得执行后，会挂接INT13，在加载BOOTMGR的时候，进行HOOK，并在加载NT KERNEL的时候，进行HOOK，然后加载自己的恶意驱动代码，从而实现完整的自我保护。例如，MBR中的恶意程序会挂接系统底层驱动ATAPI.SYS和文件系统驱动NTFS.SYS，这导致安全程序根本无法获得原始磁盘文件的信息，也无法获得原始MBR的信息，获得的都是被重定向的虚假信息，也就是说恶意驱动加载后，安全程序就很难再对其进行检测和清除。

因此，本发明实施例所要做的就是在系统启动的早期阶段，MBR、BOOTLOADER、BOOTMGR等初始化好后，系统在初始化NT KERNEL的时候，加载安全驱动程序，然后HOOK系统读写磁盘的操作，当读取的扇区内包含恶意代码的时候，返回失败，从而让恶意驱动无法被加载，完全切断了MBR和与恶意驱动之间的联系，使MBR恶意程序完全失效，进而可以轻易的处理残留的MBR病毒体。

与本发明实施例提供的对主引导记录恶意程序进行处理的方法相对应，本发明实施例还提供了一种对主引导记录恶意程序进行处理的装置，参见图2，该装置具体可以包括：

加载单元201，用于在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序；

调用单元202，用于在硬盘初始化结束后调用所述安全驱动程序；

监控单元203，用于在所述安全驱动程序被调用后，通过所述安全驱动程序对磁盘的读取/写入操作进行监控；

检测单元204，用于当监控到磁盘的读取/写入操作发生时，对读取/写入的数据进行检测，如果检测出所述读取/写入的数据中包含恶意代码，返回磁盘读取失败，以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程序之间的联系。

具体实现时，加载单元201可以包括：

调用单元202可以包括：

为了进一步保证用户计算机的安全，在阻断MBR中的恶意程序与磁盘中的恶意驱动程序之间的联系之后，还可以将MBR中的恶意程序清除，此时，该装置还可以包括：

清除单元，用于对所述主引导记录中的恶意程序进行清除。

由于MBR位于硬盘的0磁头0磁道1扇区，它的大小是512字节，不属于任何一个操作系统，也不能用操作系统提供的磁盘操作命令来读取，因此，在对MBR中的恶意程序进行清除时，可以通过重建MBR等方式来实现，相应的，所述清除单元包括：

重建子单元，用于重建主引导记录。

另外，为了进一步保证用户计算机的安全，该装置还可以包括：

由于恶意驱动程序就保存在磁盘分区中，因此，可以使用磁盘操作命令对磁盘分区中的恶意驱动程序代码删除。

总之，在本发明实施例提供的上述装置中，能够在系统启动的早期阶段，MBR、BOOTLOADER、BOOTMGR等初始化好后，系统在初始化内核的时候，加载安全驱动程序，然后HOOK系统读写磁盘的操作，当读取的扇区内包含恶意代码的时候，返回失败，从而让恶意驱动无法被加载，完全切断了MBR和与恶意驱动之间的联系，使MBR恶意程序完全失效，进而可以轻易的处理残留的MBR病毒体。

此外，本发明实施例还提供了一种对主引导记录恶意程序进行处理的设备，需要说明的是，在具体实现时，针对上述对主引导记录恶意程序进行处理的设备，，所述设备通过CPU、内存、硬盘以及其他相关部分，BIOS等，可以有效的阻止MBR区域中出现的恶意程序对计算机系统的破坏。

在此提供的算法和显示不与任何特定计算机、虚拟系统或者其它设备固有相关。各种通用系统也可以与基于在此的示教一起使用。根据上面的描述，构造这类系统所要求的结构是显而易见的。此外，本发明也不针对任何特定编程语言。应当明白，可以利用各种编程语言实现在此描述的本发明的内容，并且上面对特定语言所做的描述是为了披露本发明的最佳实施方式。

在此处所提供的说明书中，说明了大量具体细节。然而，能够理解，本发明的实施例可以在没有这些具体细节的情况下实践。在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

类似地，应当理解，为了精简本公开并帮助理解各个发明方面中的一个或多个，在上面对本发明的示例性实施例的描述中，本发明的各个特征有时被一起分组到单个实施例、图、或者对其的描述中。然而，并不应将该公开的方法解释成反映如下意图：即所要求保护的本发明要求比在每个权利要求中所明确记载的特征更多的特征。更确切地说，如下面的权利要求书所反映的那样，发明方面在于少于前面公开的单个实施例的所有特征。因此，遵循具体实施方式的权利要求书由此明确地并入该具体实施方式，其中每个权利要求本身都作为本发明的单独实施例。

本领域那些技术人员可以理解，可以对实施例中的设备中的模块进行自适应性地改变并且把它们设置在与该实施例不同的一个或多个设备中。可以把实施例中的模块或单元或组件组合成一个模块或单元或组件，以及此外可以把它们分成多个子模块或子单元或子组件。除了这样的特征和/或过程或者单元中的至少一些是相互排斥之外，可以采用任何组合对本说明书(包括伴随的权利要求、摘要和附图)中公开的所有特征以及如此公开的任何方法或者设备的所有过程或单元进行组合。除非另外明确陈述，本说明书(包括伴随的权利要求、摘要和附图)中公开的每个特征可以由提供相同、等同或相似目的的替代特征来代替。

此外，本领域的技术人员能够理解，尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。例如，在下面的权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

本发明的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本发明实施例的对主引导记录恶意程序进行处理的设备中的一些或者全部部件的一些或者全部功能。本发明还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本发明的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是上述实施例对本发明进行说明而不是对本发明进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本发明可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

Claims

1.一种对主引导记录恶意程序进行处理的方法，包括：

在硬盘初始化结束后调用所述安全驱动程序；

通过所述安全驱动程序对磁盘的读取操作进行监控；

2.根据权利要求1所述的方法，所述在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序包括：

3.根据权利要求1所述的方法，所述在硬盘初始化结束后调用所述安全驱动程序包括：

4.根据权利要求1所述的方法，还包括：

对所述主引导记录中的恶意程序进行清除。

5.根据权利要求4所述的方法，所述对所述主引导记录中的恶意程序进行清除包括：

重建主引导记录。

6.根据权利要求1所述的方法，还包括：

对所述磁盘分区中的恶意驱动程序进行删除。

7.一种对主引导记录恶意程序进行处理的装置，包括：

8.根据权利要求7所述的装置，所述加载单元包括：

9.根据权利要求7所述的装置，所述调用单元包括：

10.根据权利要求7所述的装置，还包括：

清除单元，用于对所述主引导记录中的恶意程序进行清除。

11.根据权利要求10所述的装置，所述清除单元包括：

重建子单元，用于重建主引导记录。

12.根据权利要求7所述的装置，还包括：

13.一种对主引导记录恶意程序进行处理的设备，包括权利要求7至12任一项所述的对主引导记录恶意程序进行处理的装置。