UEFI Bootkit模型与分析  

Analysis and Detection of UEFI Bootkit

作　　者：唐文彬[1] 陈熹[1] 陈嘉勇[1,2] 祝跃飞[1] 

机构地区：[1]解放军信息工程大学信息工程学院,郑州450002 [2]中国科学院信息安全国家重点实验室,北京100049

出　　处：《计算机科学》2012年第10期308-312,共5页Computer Science

基　　金：郑州市科技创新团队(10CXTD150)资助

摘　　要：分析了UEFI Bootkit的工作原理和关键技术;在Harold木马模型的基础上,给出了UEFI Bootkit的形式化描述;分析了UEFI Bootkit和木马在隐蔽技术方面的差异,建立了UEFI Bootkit协同隐藏的形式化模型;给出了模型的一个应用实例,理论证明了在操作系统内核启动前检测Bootkit比在操作系统启动完成后检测具有更好的效果;开发了一套在操作系统内核加载前就开始检测的UEFI Bootkit检测系统;使用检测系统进行了实际的测试,结果表明,UEFI Bootkit检测系统具有较好的检测效果,有效地验证了模型的准确性。This paper analyzed the work mechanism and key technology of UEFI Bootkit,expanded the definition of Trojan according to it,illustrated the differences of hiding technology between UEFI Bootkit and Trojan,built a formal model of UEFI Bootkit cooperative concealment,showed an application of the model,proved the idea that detecting Bootkit before the operating system kernel starting can obtain a better effect than after the operating system starting.We designed and developed UEFI Bootkit detection system which works before the operating system kernel starts.The detection system was used to do practical test,and the results show UEFI Bootkit detection system obtains a good effect and has the accuracy.

关 键 词：UEFI 形式化 BOOTKIT 隐蔽技术 可信计算 检测系统 

分 类 号：TP309.5[自动化与计算机技术—计算机系统结构]