[发明专利]对主引导记录恶意程序进行处理的方法及装置

说明书

技术领域

本发明涉及计算机安全技术领域，特别是涉及对主引导记录恶意程序进行处理的方法及装置。

背景技术

磁盘的主引导记录(Master Boot Record，简称MBR)是位于磁盘的0磁头0磁道1扇区，有固定大小的一块存储区域，是计算机开机后访问磁盘所读取的首个区域。主引导记录一般包含三个部分：主引导程序、磁盘分区表、以及结束标志字。其中，主引导程序用来在计算机启动时检查分区表是否正确，并且在系统硬件完成自检后将控制权交给磁盘上的系统引导程序。MBR中的主引导程序具有相对于操作系统的独立性，这种独立性体现在计算机的启动过程中：一般的计算启动过程是计算机通电后执行自检，当确定以磁盘作为启动源后由基本输入输出系统将MBR读入内存，控制权交给其中的主引导程序，由主引导程序检查分区表，找到活动的分区，而后将控制权交给活动分区的系统引导程序，由系统引导程序加载操作系统。整个过程中主引导程序的加载和操作系统的加载是两个相对独立的过程，因此MBR中的主引导程序具有相对于操作系统的独立性，即MBR中的主引导程序先于操作系统加载，并且不依赖、也不属于操作系统。

正是由于MBR中的主引导程序这种相对于操作系统的独立性，MBR区域成为了一些恶意程序利用的对象，“鬼影”病毒便是其中的代表。该病毒寄存于磁盘的主引导记录中，能够在计算机开机后先于操作系统启动，并且能够使受感染的计算机在系统启动时加载经过精心隐藏的另一个恶意驱动程序B，恶意驱动程序B成功加载后，会实施关闭杀毒软件、下载其他恶意程序等操作，以实现窃取用户信息、破坏用户计算机等不法行为。由于该病毒寄存于磁盘主引导记录中，在其成功运行后，在操作系统中通常找不到任何异常，同时由于磁盘的主引导记录通常不会因重新安装而重写，导致该病毒甚至能够在用户重新安装操作系统后依然存在，并且在计算机启动后仍然能发挥作用，可见该病毒的顽固程度。因此，迫切需要本领域技术人员解决的技术问题就在于，如何有效的阻止此类恶意程序对计算机系统的破坏。

发明内容

鉴于上述问题，提出了本发明以便提供一种克服上述问题或者至少部分地解决上述问题的对主引导记录恶意程序进行处理的方法和相应的对主引导记录恶意程序进行处理的装置。

依据本发明的一个方面，提供了一种对主引导记录恶意程序进行处理的方法，包括：

在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序；

在硬盘初始化结束后调用所述安全驱动程序；

通过所述安全驱动程序对磁盘的读取操作进行监控；

当监控到磁盘的读取/写入操作发生时，对读取/写入的数据进行检测，如果检测出所述读取/写入的数据中包含恶意代码，返回磁盘读取失败，以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程序之间的联系。

可选地，所述在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序包括：

在操作系统的注册表中将安全驱动程序注册为系统预留类型，以便操作系统在启动过程中，进行内核初始化时，加载安全驱动程序。

可选地，所述在硬盘初始化结束后调用所述安全驱动程序包括：

在所述安全驱动程序被加载时，向系统注册回调函数，以便在硬盘初始化结束之后所述安全驱动程序被操作系统调用。

可选地，还包括：

对所述主引导记录中的恶意程序进行清除。

可选地，，所述对所述主引导记录中的恶意程序进行清除包括：

重建主引导记录。

可选地，还包括：

对所述磁盘分区中的恶意驱动程序进行删除。

根据本发明的另一方面，提供了一种对主引导记录恶意程序进行处理的装置，包括：

加载单元，用于在启动操作系统的过程中，进行内核初始化时，加载安全驱动程序；

调用单元，用于在硬盘初始化结束后调用所述安全驱动程序；

监控单元，用于通过所述安全驱动程序对磁盘的读取操作进行监控；

检测单元，用于当监控到磁盘的读取/写入操作发生时，对读取/写入的数据进行检测，如果检测出所述读取/写入的数据中包含恶意代码，返回磁盘读取失败，以阻断主引导记录中的恶意程序与磁盘分区中的恶意驱动程序之间的联系。

可选地，所述加载单元包括：

注册表写入单元，用于在操作系统的注册表中将安全驱动程序注册为系统预留类型，以便操作系统在启动过程中，进行内核初始化时，加载安全驱动程序。

可选地，所述调用单元包括：