内核木马于传统应用层木马隐藏技术有什么不同

内核木马于传统应用层木马隐藏技术的区别：

• 进程隐藏：进程隐藏最初技术体系为最简单的混淆字符隐藏，如系统进程名为svchost.exe，木马进程名改为svch0st.exe隐藏，紧接着到注册服务隐藏，dll注入隐藏。现在内核级木马大部分通过进程控制块中的活动进程链表（ActiveProcessLinks）中摘除自身来达到隐藏，或通过从PspCidTable表中摘除自身等方法来达到隐藏目的。

• 文件隐藏：文件隐藏最初是通过存放于敏感目录（系统目录）并混淆文件名来实现，后来有些人通过挂钩应用层上的FindFirstFile，FindNextFile等API来实现该目的，现在在内核层隐藏文件方法一般试用FSDHook或FSD Inline Hook来实现。

• 自启动隐藏：自启动隐藏先后经历了添加注册表Run值，修改系统启动文件，注册为服务，修改定时程序，感染系统文件技术来实现，现在黑客开始关注于在硬盘固件，bios等地方做手脚来实现自启动隐藏。

• 通讯隐藏：对于通信隐藏来说，现在有些研究者已经实现了NDIS小端口驱动层的隐藏，不过主流的木马仍然在TDI层面上通信或者在NDIS中间层上通信。