恶意软件可自带GRUB/引导加载器吗？Ubuntu16.04挂载可疑ISO后异常求助

1. 恶意软件是否可以拥有自己的GRUB/引导加载器，并通过该引导加载器保持活跃状态？ #

完全可以，这类恶意软件通常被称为引导区恶意软件（Bootkit）。它们的核心特点就是能在操作系统启动前就夺取系统控制权，比普通用户态恶意软件的权限更高、隐藏性更强，也更难清除。

• 它们会直接篡改GRUB的配置文件（比如/boot/grub/grub.cfg），添加恶意引导项，甚至替换GRUB的核心二进制文件，让系统每次启动时先执行恶意代码，再加载正常系统，以此实现持久化。
• 有些Bootkit还会对自身修改做加密或动态隐藏处理，就算你直接查看GRUB配置，也可能看不出异常——它们会在引导过程中临时篡改显示内容，蒙混过关。

2. Ubuntu 16.04挂载可疑ISO后的异常排查与修复 #

从你说的黑屏、自动重启、GRUB倒计时被篡改这些症状来看，大概率是那个可疑ISO携带的引导级恶意软件已经篡改了你的GRUB配置甚至引导扇区。下面是具体的排查和修复步骤：

第一步：进入GRUB救援模式，先备份重要配置 #

1. 开机时按住Shift键（如果是UEFI系统，可能得按Esc），强制调出GRUB菜单。
2. 选择Advanced options for Ubuntu -> Recovery mode -> root shell prompt，进入拥有最高权限的命令行界面。
3. 先把当前GRUB相关配置备份好，避免修复过程中出问题无法回滚：

   cp /boot/grub/grub.cfg /boot/grub/grub.cfg.backup
   cp /etc/default/grub /etc/default/grub.backup
   

第二步：检查并恢复GRUB倒计时配置 #

1. 先看看/etc/default/grub里的倒计时设置是不是真的被改了：

   cat /etc/default/grub | grep GRUB_TIMEOUT
   

   如果显示的数值和你之前设置的不一样，那肯定是被恶意篡改了。用编辑器改回原来的时长：

   nano /etc/default/grub
   

   修改GRUB_TIMEOUT的值后，按Ctrl+O保存，Ctrl+X退出编辑器。
2. 重新生成GRUB配置文件，让修改生效：

   update-grub
   

第三步：检查引导扇区是否被篡改 #

如果你用的是MBR分区系统：

1. 查看MBR引导记录的内容：

   dd if=/dev/sda bs=512 count=1 | hexdump -C
   

   正常MBR的最后两个字节应该是0x55AA，如果前面的内容有陌生字符串或未知代码，大概率是被篡改了。可以重新安装GRUB到MBR来修复：

   grub-install /dev/sda
   

如果你用的是UEFI系统：

1. 查看所有EFI引导项，找有没有陌生的可疑项：

   efibootmgr -v
   

   要是发现陌生引导项，用这个命令删除（把<引导项编号>换成实际的编号）：

   efibootmgr -b <引导项编号> -B
   

2. 重新安装GRUB到EFI分区：

   grub-install --target=x86_64-efi --efi-directory=/boot/efi --bootloader-id=ubuntu
   

第四步：全面扫描系统中的恶意软件 #

引导级问题修复后，还得排查用户态的恶意软件：

1. 安装ClamAV杀毒工具：

   apt-get update && apt-get install clamav clamav-daemon
   

2. 更新病毒库后进行全系统扫描：

   freshclam
   clamscan -r / --exclude-dir=/proc --exclude-dir=/sys --exclude-dir=/dev
   

   扫描到恶意文件后，按照提示删除或隔离即可。

额外提醒 #

Ubuntu 16.04早就停止官方安全支持了，没有后续的漏洞补丁，系统很容易成为恶意软件的目标，建议尽快升级到受支持的LTS版本（比如20.04或22.04）。

内容的提问来源于stack exchange，提问作者Nav