אנדרואיד

Stealthy Rootkit Slides בהמשך מתחת למכ"ם

הנוכלות - סוכן חשאי | הקליפ הרשמי

הנוכלות - סוכן חשאי | הקליפ הרשמי
Anonim

אלפי אתרי אינטרנט יש היה מזויף כדי לספק פיסת עוצמה של תוכנות זדוניות כי מוצרי אבטחה רבים עשויים להיות מוכנים להתמודד.

התוכנה הזדונית היא גרסה חדשה של Mebroot, תוכנית המכונה "rootkit" על הדרך התגנבות הוא מסתתר עמוק בתוך מערכת ההפעלה חלונות, אמר ז'אק ארסמוס, מנהל מחקר עבור חברת האבטחה Prevx.

גרסה מוקדמת יותר של Mebroot, שהיא מה שסימנטק קראה לה, הופיעה לראשונה בסביבות דצמבר 2007 והשתמשה בטכניקה ידועה כדי להישאר מוסתרת. זה מדביק את המחשב אתחול האתחול הראשי (MBR). זהו הקוד הראשון שמחפש מחשב בעת אתחול מערכת ההפעלה לאחר הפעלת ה- BIOS. [

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows]

אם ה- MBR נמצא בשליטת האקר, מחשב וכל נתונים שנמצאים בו או מועברים דרך האינטרנט, אומר ארסמוס. מאז הופעת מפרוט, ספקי האבטחה שיפרו את התוכנה שלהם כדי לזהות אותה. אבל הגרסה האחרונה משתמשת בטכניקות הרבה יותר מתוחכמות כדי להישאר מוסתרים, אומר ארסמוס.

Mebroot מוסיף ווים התוכנית פונקציות שונות של הקרנל, או את קוד הליבה של מערכת ההפעלה. ברגע שמברוט השתלטה, התוכנות הזדוניות גורמות לכך שה- MBR לא טופל.

"כאשר משהו מנסה לסרוק את ה- MBR, הוא מציג MBR בעל מראה מושלם לכל תוכנת אבטחה", Erasmus אמר, לאחר מכן, בכל פעם המחשב הוא אתחול, Mebroot מזריק את עצמו לתוך תהליך של Windows בזיכרון, כגון svc.host. מכיוון שזה בזיכרון, זה אומר ששום דבר לא כתוב בדיסק הקשיח, עוד טכניקה מתחמקת, אמר ארסמוס.

Mebroot יכול לגנוב כל מידע שהוא אוהב ולשלוח אותו לשרת מרוחק באמצעות HTTP. כלי ניתוח הרשת, כמו Wireshark, לא יראו את הנתונים דולפים, מכיוון שמברוט מסתירה את התנועה, אומר ארסמוס.

פרפקס ראתה את הגרסה החדשה של חברת "מפרוט" לאחר שאחד הלקוחות הצרכניים של החברה נדבק. נדרשו לאנליסטים כמה ימים כדי לסבך בדיוק איך מצליח מברוט להשתלב במערכת ההפעלה. "אני חושב שכולם כרגע עובדים על שינוי המנועים שלהם כדי למצוא אותו", אמר ארסמוס. "ואלה החברות צריכות לפעול במהירות. לדברי ארסמוס, נראה כי אלפי אתרי אינטרנט נפרצו על מנת להעביר את מחשבי המחשבים הפגיעים שאין להם את התיקונים המתאימים לדפדפני האינטרנט שלהם.

מנגנון ההדבקה ידוע בשם הורדה באמצעות כונן. זה קורה כאשר אדם מבקר באתר אינטרנט לגיטימי שנפרץ. פעם באתר, iframe בלתי נראה נטען עם מסגרת לנצל כי מתחיל לבדוק כדי לראות אם הדפדפן יש פגיעות. אם כן, מפרוט נמסר, ומשתמש לא שם לב. "" זה די פרוע עכשיו בחוץ ", אמר ארסמוס. "בכל מקום שאתה הולך, יש לך סיכוי להיות נגועים".

לא ידוע מי כתב את Mebroot, אבל נראה כי אחת המטרות של האקרים היא פשוט להדביק כמו מחשבים רבים ככל האפשר, אמר ארסמוס. מוצר אבטחה מיוחד בשם תוכנות אנטי-וירוס, אשר יזהה ניצול לרעה של דפדפן, גנבי סיסמאות, rootkits ותוכנות אנטי-וירוס סוררות.

Prevx שיחררה את גרסת 3.0 של המוצר שלה ביום רביעי. התוכנה תזהה זיהומים תוכנות זדוניות בחינם, אבל משתמשים חייבים לשדרג כדי לקבל את פונקציונליות ההסרה המלא. עם זאת, Prevx 3.0 תסיר כמה תוכנות זדוניות מרושעות יותר, כולל Mebroot, כמו גם כל תוכנת פרסום, המכונה תוכנות פרסום, ללא תשלום, אמר ארסמוס.