Буткит Mebroot не хочет лечиться

Discussion in 'Мировые новости. Обсуждения.' started by elimS2, 17 Mar 2010.

  1. elimS2

    elimS2 Elder - Старейшина

    Joined:
    21 Mar 2008
    Messages:
    195
    Likes Received:
    159
    Reputations:
    11
    По свидетельству английской компании Prevx, руткит Mebroot продолжает активно распространяться по Сети и обрел еще один механизм самозащиты.

    Mebroot (называемый в ЛК буткитом, детектируется как Backdoor.Win32.Sinowal), заражает компьютеры пользователей через взломанные веб-сайты. Загружаемый им троянский компонент (Torpig, он же Sinowal и Anserin) ориентирован на кражу конфиденциальной информации и, используя руткит как платформу, реализует широкий спектр шпионских функций.

    Авторы Mebroot постоянно совершенствуют свое детище. Недавно они усилили его защиту от тех антивирусов и специализированных утилит, которые успешно его обнаруживают и пытаются вылечить систему. Чтобы обеспечить эффективное удаление данной вредоносной программы, некоторые антивирусные компании реализовали в своих продуктах мгновенную перезагрузку компьютера сразу после излечения зараженного MBR, причем реализовали это через вызов специальной функции ядра — BugCheck.

    В качестве меры противодействия новый вариант Mebroot теперь использует процедуру уведомления о вызове — специальную функцию обратного вызова callback — и в момент вызова перезагрузки имеет возможность проверить MBR. Если MBR вылечен, новый Mebroot восстанавливает зараженный MBR до перезагрузки системы.

    Как указывают эксперты, присутствие Mebroot можно самостоятельно обнаружить по наличию в подкаталоге %windir%\Temp файла, имя которого начинается с $$$.


    Татьяна Никитина
    опубликовано 17 мар 2010, 12:59 MSK

    http://www.securelist.com/ru/weblog/32492/Butkit_ne_khochet_lechitsya

    © ЗАО «Лаборатория Касперского», 1997-2010
     
    1 person likes this.
  2. tux

    tux Elder - Старейшина

    Joined:
    26 Mar 2009
    Messages:
    423
    Likes Received:
    231
    Reputations:
    67
    Ключевое слово здесь Win32 и "пользователь ССЗБ, работающий под рутом".
    Только в чем "мировость" новости?
     
  3. elimS2

    elimS2 Elder - Старейшина

    Joined:
    21 Mar 2008
    Messages:
    195
    Likes Received:
    159
    Reputations:
    11
    Не совсем понял что Вы хотели сказать этим сообщением
     
  4. -=us=-

    -=us=- New Member

    Joined:
    21 Oct 2009
    Messages:
    17
    Likes Received:
    3
    Reputations:
    0
    даже если и под юзером, то браузер, имеющий уязвимость, которая приводит к исполнению произвольного кода, будет виновным в заражении, а не юзер или ОС. Если не прав - поправьте
     
  5. elimS2

    elimS2 Elder - Старейшина

    Joined:
    21 Mar 2008
    Messages:
    195
    Likes Received:
    159
    Reputations:
    11
    процесс запущенный с ограниченными правами не сможет выполнить инструкции которые ему не разрешены политиками безопасности. как и все его потомки
     
  6. -=us=-

    -=us=- New Member

    Joined:
    21 Oct 2009
    Messages:
    17
    Likes Received:
    3
    Reputations:
    0
    это понятно. Против него применен эксплоит же. А от этого спасет AppArromor или SeLinux
     
  7. tux

    tux Elder - Старейшина

    Joined:
    26 Mar 2009
    Messages:
    423
    Likes Received:
    231
    Reputations:
    67
    Я хотел сказать, что это не мировая новость. Или будем писать про каждый вирус под божественную ось, как редкое и уникальное событие? ;)
     
  8. tux

    tux Elder - Старейшина

    Joined:
    26 Mar 2009
    Messages:
    423
    Likes Received:
    231
    Reputations:
    67
    Ну... не совсем. От имени какого пользователя работает браузер, который привел "к исполнению произвольного кода"? Браузер - это "пользовательское пространство" и порожденный процесс не должен был получить права рута, для того, чтобы писать в MBR. Если, конечно, браузер не работает из-под рута...
     
  9. cupper

    cupper Elder - Старейшина

    Joined:
    6 Jun 2007
    Messages:
    369
    Likes Received:
    92
    Reputations:
    5
    локальный сплойт для повышения привилегий, а затем уже буткит
     
  10. tux

    tux Elder - Старейшина

    Joined:
    26 Mar 2009
    Messages:
    423
    Likes Received:
    231
    Reputations:
    67
    И все это из браузера? С обычной странички? Божественная ось :D
     
  11. BlackSun

    BlackSun Banned

    Joined:
    1 Apr 2007
    Messages:
    989
    Likes Received:
    1,168
    Reputations:
    446
    Не тупи, сплоитом на странице грузится пакет из сплоита и самого буткита, запускается локальный сплоент для повышения привелегий, который уже запускает буткит.
     
  12. Linkus

    Linkus Member

    Joined:
    20 Dec 2008
    Messages:
    168
    Likes Received:
    15
    Reputations:
    -1
    Это чё, антивирус когда захочет ребутает комп? Ништяк :)