什么是内核级木马

内核级木马一个无进程、无DLL、无启动项的、集多种Rootkit技术特征的独立功能远程控制后门程序。其利用线程注射DLL到系统进程，解除DLL映射并删除自身文件和启动项，关机时恢复。主要部分工作在Ring0，因此有很强的隐蔽性和杀伤力。内核Rootkit程序在使得远程黑客能够更长期的享有目标机器的底层系统控制权的同时在很大程度上不被杀毒软件发现，从而对被控主机造成更加严重的安全威胁。

内核木马于传统应用层木马隐藏技术有以下区别：

• 进程隐藏：进程隐藏最初技术体系为最简单的混淆字符隐藏，如系统进程名为svchost.exe，木马进程名改为svch0st.exe隐藏，紧接着到注册服务隐藏，dll注入隐藏。现在内核级木马大部分通过进程控制块中的活动进程链表（ActiveProcessLinks）中摘除自身来达到隐藏，或通过从PspCidTable表中摘除自身等方法来达到隐藏目的。

• 文件隐藏：文件隐藏最初是通过存放于敏感目录（系统目录）并混淆文件名来实现，后来有些人通过挂钩应用层上的FindFirstFile，FindNextFile等API来实现该目的，现在在内核层隐藏文件方法一般试用FSDHook或FSD Inline Hook来实现。

• 自启动隐藏：自启动隐藏先后经历了添加注册表Run值，修改系统启动文件，注册为服务，修改定时程序，感染系统文件技术来实现，现在黑客开始关注于在硬盘固件，bios等地方做手脚来实现自启动隐藏。

• 通讯隐藏：对于通信隐藏来说，现在有些研究者已经实现了NDIS小端口驱动层的隐藏，不过主流的木马仍然在TDI层面上通信或者在NDIS中间层上通信。