影响与风险
受控系统上的查询结果可能不可信，恶意进程和文件可能被隐藏。
恶意软件与攻击
Rootkit
Rootkit
隐藏恶意进程、文件或权限维持机制，以长期控制系统并逃避检测。
一句话记忆Rootkit 通过深层隐藏机制维持不易发现的控制。
隐藏恶意进程、文件或权限维持机制，以长期控制系统并逃避检测。
交互图解
从概念到风险，再到防护
切换三个步骤，观察角色、机制和结果的变化。
SCENE / 069恶意软件与攻击
概念：系统报告看似正常，但从独立可信环境检查时发现异常驱动。
一个具体场景
把概念放进日常操作
系统报告看似正常，但从独立可信环境检查时发现异常驱动。
从这些线索开始
关注完整性变化、驱动或启动异常，必要时从可信环境取证。
可以采取的动作
限制特权与驱动安装，验证启动和系统完整性；确认感染后考虑可信重建。