Компания
PandaLabs (лаборатория компании
Panda Security,
занимающаяся анализом и выявлением вредоносного ПО), сообщает об
обнаружении нескольких троянов, использующих новую революционную форму
атаки на основе руткитов. Новизна данной атаки заключается в том, что
обнаруженные руткиты скрываются при помощи замены основной загрузочной
записи (MBR).
Всего обнаружено несколько троянов с
включенными в них руткитами (MBRtool.A, MBRtool.B, MBRtool.C и др.),
предназначенными для замещения основной загрузочной записи (MBR) -
первого или нулевого сектора жесткого диска, одной из своих собственных
записей. Отмечается, что это - настоящая революция в использовании
руткитов, поскольку такое их использование значительно затрудняет
обнаружение ассоциированного вредоносного кода.
“Подобная
система атаки делает практически невозможным обнаружение руткитов и
вредоносных кодов, в составе которых они скрываются после установки на
компьютере”, говорит Луис Корронс, технический директор PandaLabs.
“Единственная реальная защита – это выявление руткитов до их
проникновения в компьютер. В преддверии появления подобных вредоносных
кодов необходимо использовать проактивные технологии, способные
обнаруживать угрозы без необходимости предварительной идентификации”.
Ранее руткиты устанавливались в системных процессах, но последние
варианты, обнаруженные PandaLabs, устанавливаются в той части жесткого
диска, которая запускается еще до старта операционной системы.
Когда один из руткитов запускается, он создает копию существующей MBR,
изменяя оригинал по инструкциям злоумышленников. Это означает, что при
попытке доступа к MBR, руткит перенаправит запрос к подлинной записи,
чтобы пользователь или приложение ничего не заподозрили.
В
результате внесенных изменений, когда пользователь запускает компьютер,
регулирующая MBR загрузится перед операционной системой. В этот момент
запустится весь код, скрывая ассоциирированный вредоносный код.
PandaLabs предупреждает о том, что пользователям необходимо предпринять
меры для защиты от нового вида угрозы. Так, никогда не следует
запускать файлы, полученные из неизвестных источников.
Кроме того, даются советы по удалению этих руткитов:
Для того, чтобы удалить вредоносный код, зараженному пользователю
необходимо перезагрузить компьютер при помощи загрузочного CD - это
позволит исключить использование MBR. Затем нужно будет восстановить
MBR при помощи улититы наподобие fixmbr в консоли Windows recovery
(если используется именно эта операционная система).
Технический директор PandaLabs предупреждает: “Эти руткиты также
способны работать с другими платформами, такими как Linux, поскольку их
действия не зависят от установленной на компьютере операционной
системы”.
