大家好，阿林来为大家解答以上问题，毕马威，bmw病毒很多人还不知道，现在让我们一起来看看吧！

1、30反病毒工程师分析宝马病毒技术如下：

2、宝马病毒的主体分为三部分：BIOS、MBR和Windows。攻击过程如下：

3、图1

4、一、宝马病毒的BIOS部分

5、图2

6、增加了ISA模块的BIOS部分，命名为HOOK。ROM，主要用于检测MBR部分是否恢复。如果发现MBR部分被修复，BIOS中大约有14个扇区的病毒代码会被写入MBR，导致用户反复格式化，高低级别，或者重新分区。

7、Bios中的检测代码如下：

8、图3

9、图4

10、检查MBR偏移量0X92的4个字节是否为int1，判断MBR是否已经恢复。如果不是这个值，直接从BIOS重写MBR其他部分的病毒代码到磁盘启动扇区。

11、二、宝马病毒的MBR部分

12、部分MBR病毒代码执行后，会从第二个扇区读取六个扇区的病毒代码到0X7C00，然后跳转到那里执行，再将第七个扇区的备份MBR读入内存，验证该扇区的有效性；

13、验证后，将分区表中引导扇区所在的扇区读取到0X7C00，验证引导分区的有效性；

14、验证后，确定引导分区的类型。目前病毒支持NTFS和FAT32，根据分区类型不同进行不同的处理。然后对文件系统进行分析，找到文件所在的扇区，找到对应的Windows系统文件，读取PE信息，确定是否已经感染。(XP/2003系统是Winlogon.exe，Win7/Vista系统是Wininit.exe)

15、如果Windows系统文件已经被感染，“发现就OK！”将显示在屏幕上。“，然后调入原MBR，跳转到原MBR执行；如果Windows系统文件没有被感染，写PE感染的扇区，然后显示“找到OK！“在屏幕上。”，然后调入原MBR，跳转到原MBR执行。

16、图5

17、三。BMW病毒的Windows部分(Winlogon和Wininit文件被感染)

18、以Winlogon.exe为例来说明：

19、因为病毒修改了文件的入口点，所以文件执行时首先执行加密的病毒代码，运行时动态解码。

20、病毒代码解密后，加载指定文件，创建病毒，调用CreateThread创建线程，跳回原来的入口点执行。

21、在病毒线程中休眠10秒，然后调用URLDownloadToFileA从黑客服务器下载一个下载器到本地。验证文件下载成功后，调用WinExec执行，从而下载运行各种恶意程序；该病毒还会下载驱动程序，命名为c:\my.sys，是之前的病毒代码通过一系列服务函数创建的。完成后，病毒线程进入无限睡眠状态。My.sys是disk.sys的一个钩子驱动，把磁盘的读写操作挂钩，这样所有对MBR的读写都达不到真正的效果。

22、安全软件基于MBR防御和查杀BOOTKIT。

23、一般来说，具有“主动防御”功能的安全软件可以通过拦截RING3应用层对MBR区的写操作，阻止恶意驱动的加载来防御MBR BOOTKIT。在用户开启安全软件防御的前提下，基本不会感染宝马、Ghost等MBR BOOTKIT。

24、图6

25、不幸的是，MBR BOOTKIT总是和社会工程攻击一起出现。比如你想用一个流行的游戏插件来获得快速升级和精良装备，或者你想获得一个付费软件的“注册机”，他们往往会提醒你先关闭安全软件，MBR BOOTKIT就会在这个时候乘虚而入。求神容易送神难。

26、最早的ghost系列，在查杀软件对这种基于MBR的BOOTKIT缺乏针对性措施的时候，在病毒扫描的时候并没有对MBR区域进行扫描，所以病毒并没有对该区域进行保护。基本上直接读取MBR就可以得到真实的数据，然后根据内部定义的特征码还原成原来的MBR。

27、但是从Ghost 3开始，随着各种软件查杀对MBR区域的检测越来越多，MBR木马也得到了相应的保护。比如Ghost 3挂钩磁盘端口驱动的startio地址拦截所有MBR修复，导致所有修复操作，在中毒状态下完全无效。比如TDL4等。也被勾了，以至于软件杀手读不到真正的MBR。当任何程序读取MBR区时，木马都会返回一个假的MBR来杀死软件，欺骗它以为是正常的MBR。此外，ROOTKIT还会创建一个监控线程，检测其对象钩子和MBR是否被恢复，如果发现被恢复，则重新感染MBR。

28、宝马木马更进一步，在BIOS中增加了修复操作。即使在WINPE模式或DOS模式下恢复MBR，在系统重启时仍然被隐藏在BIOS中的木马代码恢复，修复难度相当大。

29、对于感染MBR BOOTKIT的电脑，360系统急救箱提供了MBR检测修复工具(专用于查杀顽固开机木马)，专门用于检测修复被感染的MBR。

30、图7

31、这个修复操作比清除常见的顽固木马还要复杂，需要配合360系统急救箱的强大模式使用。可以杀死目前已知的BMW、TDL4、Ghost系列等MBR BOOTKIT，修复系统。

32、图8

33、30急救包包括32位版本和原生64位版本，并完全支持WINXP，VISTA WIN7，WIN8，以及WIN7 64位和WIN8 64位。也支持WINPE。您可以从以下地址下载相应的版本。

34、《点击下载》

35、对于BMW BIOS的修复，可以使用专门的BMW BIOS修复工具。修复BIOS后，用急救包扫描修复MBR和WINDOWS系统文件。

36、你可以在这里下载宝马BIOS的修复工具。

37、《点击下载》

38、图9

39、图10

40、60系统急救箱处理宝马病毒的操作截图如上图：

本文到此结束，希望对大家有所帮助。