Windows

A Gozi pénzügyi rosszindulatú csomagok új verziója MBR rootkit

Suspense: Dead Ernest / Last Letter of Doctor Bronson / The Great Horrell

Suspense: Dead Ernest / Last Letter of Doctor Bronson / The Great Horrell

Tartalomjegyzék:

Anonim

A Trusteer biztonsági cég kutatói a Gozi banki trójai program egy új változatát találják, amely a számítógép MBR-jét fertőzte meg a perzisztencia elérése érdekében.

A mester A Boot Record (MBR) egy olyan rendszerindító szektor, amely a tárolóeszköz elején helyezkedik el, és információt tartalmaz arról, hogy a meghajtó partíciózott-e. Az operációs rendszer elindítása előtt is működik.

Néhány rosszindulatú program szerzője kihasználta az MBR-t annak érdekében, hogy a rosszindulatú programokat a számítógépen telepített víruskereső programok fejjel lehessen kezelni.

[További olvasmány: távolítsa el a rosszindulatú programokat Windows számítógépről]

Az MBR rootkit-összetevőket - például a TDL4-et - Alureon vagy TDSS néven ismert kifinomult rosszindulatú szoftverek részét képezik annak, hogy a Microsoft a Secure Boot szolgáltatást beépítette a Windows 8 rendszerbe. Ezt a kártékony programot nehéz felismerni és az operációs rendszer újratelepítési eljárásait is eltávolíthatja és akár túl is élhet.

"Bár az MBR rootkiteket nagyon hatékonynak tartják, nem sok pénzügyi rosszindulatú programba integráltak" - mondta Etay Maor Trusteer kutató. "Egy kivétel volt a Mebroot rootkit, amelyet Torpig telepítéséhez használtak (más néven Sinowal / Anserin)."

Infected Internet Explorer

Az új Gozi MBR rootkit-összetevő várja, hogy az Internet Explorer elinduljon, majd behatol rosszindulatú kódot a folyamatba. Ez lehetővé teszi a rosszindulatú szoftverek számára, hogy elfogják a forgalmat, és a webes injekciókat a böngészőben hajtják végre, mint a legtöbb pénzügyi trójai program. "

Az a tény, hogy felfedezték a Gozi új változatát, azt mutatja, hogy a számítógépes bűnözők továbbra is ezt a fenyegetést alkalmazzák annak ellenére, fő fejlesztő és néhány kísérője letartóztatták és vád alá helyezték. A Gozi trójai már legalább öt éve vannak.

A Trusteer kutatói által felfedezett új változat nagyon hasonlít a régebbi verziókhoz, kivéve a kiegészítő MBR rootkit-összetevőt, mondta Maor. "Ez azt jelezheti, hogy egy új rootkit kerül értékesítésre a cyber-bűnözői fórumokon, és azokat rosszindulatú szerzők fogadják el."

Bár léteznek bizonyos dedikált eszközök az MBR rootkitek eltávolítására, sok szakértő azt ajánlja, hogy törölje az egész merevlemezt, és újból létrehozza a partíciókat Maor elmondta:

Mivel a rosszindulatú programok megóvásához fejlett technikai ismeretekre van szükség, valószínűleg a legmegfelelőbb a víruskereső szolgáltató műszaki támogató részlegének kapcsolatba lépése annak érdekében, hogy szakértő segítséget kap.