Windows

Gozi-ohjelmiston taloudelliset haittaohjelmat MBR rootkit

Sisällysluettelo:

Anonim

Turvallisuusalan yrityksen Trusteerin tutkijat ovat löytäneet uuden version Gozi pankin Trojan-ohjelmasta, joka tarttuu tietokoneen pääkäynnistysrekisteriin (MBR) pysyvyyden saavuttamiseksi.

Master Boot Record (MBR) on käynnistyssektori, joka sijaitsee tallennusaseman alussa ja sisältää tietoa siitä, kuinka tämä asema on jaettu. Se sisältää myös käynnistyskoodin, joka toimii ennen käyttöjärjestelmän käynnistämistä.

Jotkut haittaohjelmien tekijät ovat hyödyntäneet MBR: ää, jotta niiden haittaohjelmat alkavat ohjata tietokoneeseen asennetut virustentorjuntaohjelmat.

[Lue lisää: poista haittaohjelmat Windows-tietokoneelta]

Kehittynyt haittaohjelma, joka käyttää MBR-rootkit-komponentteja, kuten TDL4, tunnetaan myös nimellä Alureon tai TDSS, ovat osa syytä, miksi Microsoft asetti Secure Boot -ominaisuuden Windows 8. Tämä haittaohjelma on vaikea havaita

"Vaikka MBR-rootkitit pidetään erittäin tehokkaina, niitä ei ole sisällytetty paljon taloudellisiin haittaohjelmiin", Trusteer-tutkija Etay Maor totesi torstaina blogikirjoituksessa. "Yksi poikkeus oli Mebroot-rootkit, jota käytettiin Torpigin käyttämiseen (alias Sinowal / Anserin)."

Internet Explorerin rikkominen

Uusi Gozi MBR rootkit -komponentti odottaa Internet Explorerin käynnistämistä ja injektoi sitten haitallisen koodin prosessiin. Tämä mahdollistaa haittaohjelmien tarttumasta liikenteeseen ja suorittamaan Web-injektioita selaimessa, kuten useimmat taloudelliset troijalaiset -ohjelmat, kuten Maor totesi.

Gozin uuden version löytyminen osoittaa, että tietoverkkorikolliset jatkavat tämän uhkan käyttöä huolimatta siitä, että päärakentaja ja jotkut hänen avustajistaan ​​pidätettiin ja syytettiin. Gozi Trojan on ollut käytössä vähintään viisi vuotta.

Trusteerin tutkijoiden havaitsema uusi versio on hyvin samanlainen kuin vanhempi versio, paitsi MBR-rootkit-komponentti, Maor sanoi. "Tämä saattaa tarkoittaa sitä, että tietojenkäsittelykeskusten foorumeilla myydään uusi rootkit, jonka haittaohjelmien kirjoittajat hyväksyvät."

Vaikka jotkut työkaluja MBR-rootkit-työkalujen poistamiseen ovat olemassa, monet asiantuntijat suosittelevat koko kiintolevyn pyyhkimistä ja osioiden uudelleenmuodostusta

Koska tällaisten haittaohjelmien puhdistaminen saattaa vaatia kehittynyttä teknistä tietämystä, on ehkä parasta ottaa yhteyttä virustentorjunnan teknisen tuen osastoon, jotta voit varmistaa, että tietokone on saanut tällaisen uhkan. saat asiantuntevaa apua.