Windows

Ny version af Gozi finansielle malwarepakker MBR rootkit

The danger of a single story | Chimamanda Ngozi Adichie

The danger of a single story | Chimamanda Ngozi Adichie

Indholdsfortegnelse:

Anonim

Forskere fra sikkerhedsfirmaet Trusteer har fundet en ny variant af Gozi banking-trojanske program, der inficerer en computers Master Boot Record (MBR) for at opnå vedholdenhed.

Mesteren Boot Record (MBR) er en boot sektor, der befinder sig i starten af ​​et lagringsdrev og indeholder oplysninger om, hvordan dette drev er partitioneret. Det indeholder også boot-kode, der kører, før operativsystemet starter.

Nogle malwareforfattere har udnyttet MBR'en for at give deres ondsindede programmer en start over antivirusprogrammer, der er installeret på computeren.

[Yderligere læsning: Sådan fjerne skadelig software fra din Windows-pc]

Sofistikeret malware, der bruger MBR rootkit-komponenter, som TDL4, også kendt som Alureon eller TDSS, er en del af grunden til, at Microsoft opbyggede Secure Boot-funktionen i Windows 8. Denne malware er svært at opdage og fjerne og kan endda overleve operativsystem geninstallation procedurer.

"Selv om MBR rootkits anses for at være meget effektive, er de ikke blevet integreret i en masse økonomisk malware," sagde Trusteerforsker Etay Maor torsdag i et blogindlæg. "En undtagelse var Mebroot rootkit, der blev brugt til at distribuere Torpig (aka Sinowal / Anserin)."

Infects Internet Explorer

Den nye Gozi MBR rootkit komponent venter på, at Internet Explorer lanceres og injicerer derefter ondsindet kode i processen. Dette gør det muligt for malware at aflytte trafik og udføre webinjektioner inde i browseren, ligesom de fleste finansielle trojanske programmer gør, siger Maor.

Det faktum, at en ny variant af Gozi blev opdaget, viser, at cyberkriminelle fortsat bruger denne trussel på trods af at dens hovedudvikler og nogle af hans medskyldige blev anholdt og anklaget. Gozi Trojan har eksisteret i mindst fem år.

Den nye variant, der er opdaget af Trusteer-forskerne, ligner meget på en ældre version, undtagen den ekstra MBR rootkit-komponent, sagde Maor. "Dette kan tyde på, at en ny rootkit sælges på cyberkriminals forum og vedtages af malwareforfattere."

Mens nogle dedikerede værktøjer til fjernelse af MBR rootkits eksisterer, anbefaler mange eksperter at tørre hele harddisken og genskabe partitionerne for at sikre en ren start, hvis computeren er blevet inficeret med en sådan trussel, sagde Maor.

Da rengøring af sådan malware muligvis kræver avanceret teknisk viden, er det nok bedst at kontakte din antivirusleverandørs tekniske support for at få eksperthjælp.