Windows

Ny versjon av Gozi finansielle malwarepakker MBR rootkit

Remove Rootkit.Boot.Cidox.b by Britec

Remove Rootkit.Boot.Cidox.b by Britec

Innholdsfortegnelse:

Anonim

Forskere fra sikkerhetsfirmaet Trusteer har funnet en ny variant av Gozi banking Trojan-programmet som infiserer en datamaskinens Master Boot Record (MBR) for å oppnå utholdenhet.

Mesteren Boot Record (MBR) er en oppstartssektor som ligger i begynnelsen av en lagringsplass og inneholder informasjon om hvordan denne stasjonen er partisjonert. Det inkluderer også oppstartskode som kjører før operativsystemet starter.

Noen malwareforfattere har leverert MBR-en for å gi sine ondsinnede programmer en start over antivirusprogrammer som er installert på datamaskinen.

[Videre lesing: Hvordan fjern malware fra din Windows-PC]

Sofistikert skadelig programvare som bruker MBR rootkit-komponenter, som TDL4, også kjent som Alureon eller TDSS, er en del av grunnen til at Microsoft bygget Secure Boot-funksjonen i Windows 8. Denne skadelige programvaren er vanskelig å oppdage og fjerne og kan til og med overleve operativsystemet reinstallation prosedyrer.

"Selv om MBR rootkits anses å være svært effektive, har de ikke blitt integrert i mye økonomisk skadelig programvare, sa Trusteerforsker Etay Maor torsdag i et blogginnlegg. "Ett unntak var Mebroot rootkit som ble brukt til å distribuere Torpig (aka Sinowal / Anserin)."

Infects Internet Explorer

Den nye Gozi MBR rootkit-komponenten venter på at Internet Explorer skal lanseres og injiserer så ondsinnet kode i prosessen. Dette tillater malware å avlyse trafikk og utføre webinjeksjoner inne i nettleseren, slik de fleste finansielle trojanske programmer gjør, sier Maor.

Det faktum at en ny variant av Gozi ble oppdaget, viser at cyberkriminelle fortsetter å bruke denne trusselen til tross for at dens hovedutvikler og noen av hans medskyldige ble arrestert og anklaget. Gozi Trojan har eksistert i minst fem år.

Den nye varianten som ble oppdaget av Trusteer-forskerne, ligner på en eldre versjon, unntatt den ekstra MBR rootkit-komponenten, sa Maor. "Dette kan tyde på at en ny rootkit blir solgt på nettkriminellfora og er vedtatt av malwareforfattere."

Mens noen dedikerte verktøy for fjerning av MBR rootkits eksisterer, anbefaler mange eksperter å tørke hele harddisken og gjenopprette partisjonene For å sikre en ren start hvis datamaskinen har blitt smittet med en slik trussel, sa Maor.

Siden rengjøring av slike skadelige programmer kan kreve avansert teknisk kunnskap, er det sannsynligvis best å kontakte den tekniske supportavdelingen til antivirusleverandøren din for å få ekspert hjelp.