Android

Stealthy Rootkit trượt xa hơn dưới Radar

ДЕМОНСТРАЦИЯ ЧИТА LaconiS | JSC ЧИТ [ UNDETECTED]

ДЕМОНСТРАЦИЯ ЧИТА LaconiS | JSC ЧИТ [ UNDETECTED]
Anonim

Hàng ngàn trang web có bị gian lận để cung cấp một phần mềm độc hại mạnh mẽ mà nhiều sản phẩm bảo mật có thể không chuẩn bị để xử lý.

Phần mềm độc hại là một biến thể mới của Mebroot, một chương trình được gọi là "rootkit" cho cách tàng hình mà nó ẩn sâu trong Hệ điều hành Windows, Jacques Erasmus, giám đốc nghiên cứu cho công ty bảo mật Prevx.

Một phiên bản trước đó của Mebroot, được Symantec đặt tên, xuất hiện lần đầu vào khoảng tháng 12 năm 2007 và sử dụng kỹ thuật nổi tiếng để ẩn. Nó lây nhiễm Master Boot Record (MBR) của máy tính. Đó là mã đầu tiên mà máy tính tìm kiếm khi khởi động hệ điều hành sau khi BIOS chạy.

[Đọc thêm: Cách xóa phần mềm độc hại khỏi PC Windows của bạn]

Nếu MBR nằm dưới sự kiểm soát của tin tặc, thì toàn bộ máy tính và bất kỳ dữ liệu nào trên đó hoặc được truyền qua Internet, Erasmus nói.

Vì Mebroot xuất hiện, các nhà cung cấp bảo mật đã tinh chỉnh phần mềm của họ để phát hiện nó. Nhưng phiên bản mới nhất sử dụng nhiều kỹ thuật tinh vi hơn để ẩn, Erasmus nói.

Chương trình chèn Mebroot gắn vào các chức năng khác nhau của hạt nhân, hoặc mã lõi của hệ điều hành. Một khi Mebroot đã giữ, phần mềm độc hại sau đó làm cho nó xuất hiện rằng MBR đã không bị giả mạo.

"Khi một cái gì đó đang cố gắng để quét MBR, nó sẽ hiển thị một MBR hoàn hảo đẹp cho bất kỳ phần mềm bảo mật," Erasmus

Sau đó, mỗi khi máy tính được khởi động, Mebroot tự tiêm vào một tiến trình Windows trong bộ nhớ, chẳng hạn như svc.host. Vì nó có trong bộ nhớ, nó có nghĩa là không có gì được ghi vào đĩa cứng, một kỹ thuật lảng tránh khác, Erasmus nói.

Mebroot có thể lấy cắp bất kỳ thông tin nào mà nó thích và gửi nó đến một máy chủ từ xa thông qua HTTP. Các công cụ phân tích mạng như Wireshark sẽ không nhận thấy dữ liệu bị rò rỉ vì Mebroot giấu lưu lượng truy cập, Erasmus nói.

Prevx thấy biến thể mới của Mebroot sau khi một trong những khách hàng tiêu dùng của công ty bị nhiễm. Phải mất vài ngày để các nhà phân tích tìm hiểu chính xác cách Mebroot quản lý để nhúng chính nó vào hệ điều hành. "Tôi nghĩ mọi người vào lúc này đang làm việc để sửa đổi động cơ [antimalware] của họ để tìm ra nó," Erasmus nói.

Và những công ty đó cần hành động nhanh. Erasmus cho biết có vẻ như hàng ngàn trang Web đã bị tấn công để đưa Mebroot đến các máy tính dễ bị tổn thương không có bản vá thích hợp cho trình duyệt web của họ.

Cơ chế lây nhiễm được biết đến như là một ổ đĩa tải xuống. Nó xảy ra khi một người ghé thăm một trang web hợp pháp đã bị tấn công. Khi trên trang web, khung nội tuyến ẩn được tải bằng khung khai thác bắt đầu thử nghiệm để xem liệu trình duyệt có bị lỗ hổng hay không. Nếu như vậy, Mebroot được phân phối, và người dùng nhận thấy không có gì.

"Nó khá hoang dã ngoài kia," Erasmus nói. Ermondus nói: “Ở mọi nơi bạn đi, bạn có cơ hội bị nhiễm bệnh.”

Không biết ai đã viết Mebroot, nhưng dường như mục tiêu của tin tặc là đơn giản lây nhiễm cho nhiều máy tính nhất có thể. một sản phẩm bảo mật chuyên nghiệp có tên hoạt động cùng với phần mềm chống vi-rút để phát hiện các ổ đĩa do trình duyệt khai thác, phần mềm chống trộm cắp mật khẩu, rootkit và phần mềm diệt virus giả mạo.

Prevx phát hành phiên bản 3.0 của sản phẩm vào thứ Tư. Phần mềm sẽ phát hiện nhiễm phần mềm độc hại miễn phí nhưng người dùng phải nâng cấp để có được chức năng xóa hoàn toàn. Tuy nhiên, Prevx 3.0 sẽ loại bỏ một số phần mềm độc hại hơn, bao gồm Mebroot, cũng như bất kỳ phần mềm quảng cáo nào, được gọi là phần mềm quảng cáo, miễn phí, Erasmus nói.