一种Linux启动链恶意程序检测方法及装置

本发明公开了一种Linux启动链恶意程序检测方法及装置，该方法在UEFI引导阶段对EFI系统分区中的可执行文件进行静态特征提取与原始引导基线比对，筛选可疑文件；在云沙箱中按六个互补维度基于EFI API调用模式捕获Linux UEFI Bootkit的典型动态行为，输出引导阶段综合风险评分；在系统进入运行状态后对Linux内核关键结构和系统调用序列进行持续审计，并通过路径重叠、时序一致和特征相似三个条件把运行阶段异常事件与引导阶段结果进行三维关联，最终输出完整的可疑攻击链路。本发明能够在不依赖已知样本特征库的条件下识别新型Linux UEFI Bootkit木马，并兼顾检出率与可解释性。