Malware, der inficerede master boot record'en, var almindelig tilbage i MS-DOS tiden.
Foto: Frederic Prochasson/Goldmund/iStockphoto

Ny trojaner bruger gammelt trick for at gemme sig

I løbet af den sidste måned er en ny type ondsindet software fremkommet, som bruger en teknik, der er årtier gammel, til at gemme sig fra antivirussoftware.

Computerworld News Service: Denne nye malware, som Symantic kalder Trojan.Mebroot, installerer sig selv på den første del af computerens harddisk, så den bliver indlæst ved opstart, og derefter laver ændringer i Windows kernel.

Det gør det overordentligt svært for sikkerhedssoftware at opdage den.

Kriminelle har siden midten af december været i gang med at installere Trojan.Mebroot, kendt som et master boot record rootkit, og det er lykkedes dem at inficere næsten 5.000 brugere i to separate angreb 12. december og 19. december, ifølge VeriSigns iDefense Intelligence Team.

Fjernkontrol
For at installere denne software på et offers computer, lokker angriberne dem først over på et kompromitteret website, som så iværksætter en vifte af angreb mod offerets computer i håbet om at finde et sikkerhedshul hvorigennem, det er muligt at afvikle rootkittets kode på computeren.

Når den først er installeret, giver malwaren angriberne kontrol over offerets computer.

Gruppen, der står bag dette seneste rootkit, er den samme, som var ansvarlig for den trojanske hest Torpig, og man regner med, at denne gruppe allerede har installeret mere end 250.000 trojanske heste, beskriver iDefense i en rapport om rootkittet, der udkom i mandags.

Det interessante ved Trojan.Mebroot er, at den installerer sig selv på computerens master boot record (MBR). Dette er den første sektor på computerens harddisk og det første der indlæses under opstart af operativsystemet.

"Dybest set, hvis du har kontrol over MBR, har du kontrol over operativsystemet og derfor over den computer, operativsystemet ligger på," skrev Elia Florio, forsker ved Symantic, i en blogpost om Trojan.Mebroot.

Forbryderne bruger adskillige versioner af denne angrebskode, hvoraf nogle p.t. ikke bliver opdaget af visse antivirusprogrammer," udtaler iDefense.

"I øjeblikket arbejder antivirusdetektering med bind for øjnene, dog har et antal antivirusprodukter fået tilføjet detektering af denne ondsindede kode allerede den seneste dags tid," siger Andrew Storms, leder af sikkerhedsoperationer hos nCircle Network Security.

"I forhold til indtrængen ser det for mange stadig ud til, at der er en overordnet lav distribution. Bekymringen er, at gruppen, der muligvis er ved at forberede en større distribution, er velforberedt."


Teknisk udfordring
Malware, der inficerede master boot record'en, var almindelig tilbage i MS-DOS tiden, men den tilgang har kun sjældent været brugt i angreb de senere år.

I 2005 holdte forskere fra eEye Digital Security dog et oplæg ved Black Hat sikkerhedskonferencen, hvor de fremviste, hvordan et rootkit kunne gemme sig på MBR'en. Dette Trojan.Mebroot-software er afledt af den kode, udtaler iDefence.

"Det er en teknisk udfordring at få denne form for ondsindet software til at fungere pålideligt, og der har generelt været nemmere måder at få kontrol over computere på i de senere år," siger Marc Maiffret.

Han er selvstændig sikkerhedsforsker og var chief technology officer hos eEye, mens koden blev udviklet.

Angribere fik dog en hånd sidste år, da forskere ved NV Labs udgav et 'proof of concept' for et MBR rootkit.

Maiffret udtaler, at selv om vi muligvis snart vil se flere af disse MBR rootkits, "vil det ikke tage lang tid for samtlige antivirusvirksomheder at reagere."

"Det er ikke nogen splinterny angrebsretning, som bliver svær at modvirke," siger han.

"Det er blot, at man ikke rigtigt har givet det nogen særlig opmærksomhed endnu."

Oversat af Thomas Bøndergaard


Ytringer på debatten er afsenders eget ansvar - læs debatreglerne
Indlæser debat...


Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Edgemo A/S
Salg af hardware, software, konsulentydelser og services inden for virtualiseret infrastruktur, cloud, datacenteret og unified communication.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
It-sikkerhed 2018: Dit forsvar mod nye digitale trusler

Trusselsbilledet ændrer sig hele tiden. Flere end nogensinde før bliver udsat for cyberangreb, og hackerne finder konstant nye veje ind i virksomhedernes systemer. Kom og bliv opdateret på den aktuelle sikkerhedssituation. Vi går i dybden med de nyeste tendenser inden for it-kriminalitet, og når dagen er omme, er du klædt på til at styrke din virksomheds digitale selvforsvar.

23. januar 2018 | Læs mere


Få succes med customer experience

Fremtidens kunder skal vindes med den bedste kundeoplevelse. Vi sætter fokus på, hvordan I kommer i gang med at give bedre oplevelser til jeres kunder og brugere. Kom og hør om forretningsmodeller, centrale begreber og værktøjer som brugervenlighed, brugerrejser, betalingsløsninger og alle de andre centrale områder, som du forventes at have styr på, når kunderne skal sikres den nødvendige 5-stjernede oplevelse.

25. januar 2018 | Læs mere


It-sikkerhed 2018: Dit forsvar mod nye digitale trusler

Trusselsbilledet ændrer sig hele tiden. Flere end nogensinde før bliver udsat for cyberangreb, og hackerne finder konstant nye veje ind i virksomhedernes systemer. Kom og bliv opdateret på den aktuelle sikkerhedssituation. Vi går i dybden med de nyeste tendenser inden for it-kriminalitet, og når dagen er omme, er du klædt på til at styrke din virksomheds digitale selvforsvar.

30. januar 2018 | Læs mere






Computerworld
Med ny iOS-opdatering vil du selv kunne slå udskældt batterifunktion fra på din iPhone
Apple har sænket ydeevnen på ældre iPhones for at få batteriet til at holde længere, men nu fortæller Tim Cook, at du i fremtiden selv kan slå funktionen fra.
CIO
Opråb til ERP-leverandørerne: Stram op - I opfører jer uanstændigt
Klumme: Hvorfor kan ERP-projekter ikke leveres til fastpris ligesom andre systemer? Hvordan kan ERP-leverandørerne slippe afsted med at opføre sig uanstændigt? ERP-leverandørerne har et alvorligt problem og er nødt til at gøre det bedre. Se nogle af mine vilde eksempler fra den danske it-branche her.
Comon
LG stopper al udvikling af LG G7: Begynder helt forfra få måneder før lancering
Ifølge et velanset koreansk investormedie har LG’s CEO beordret fuld stop på udviklingen af LG G7 og starte forfra
Job & Karriere
Dansk it-virksomhed indførte fire-dages arbejdsuge: I dag er sygefraværet rekord-lavt og direktøren har tabt sig 13 kilo
Interview: Great Place To Work kategori-vinderen IIH Nordic har indført en fire-dages arbejdsuge og taget et opgør med forstyrrende storrums-kontorer og en frustrerende mailkultur. I dag er medarbejderne gladere end nogensinde før.
White paper
Mobility - her er de aktuelle udfordringer
Hvad med sikkerheden? Mobility-bølgen fejer igennem danske virksomheder, og der er masser af muligheder og faldgruber. Sikkerheden halter, men det kan der gøres noget ved. Produceret af Computerworld.dk i oktober 2014.