Windows

Nouvelle version des bundles de malwares financiers Gozi rootkit MBR

HSN | Great Gifts - Black Friday Weekend Deals 11.30.2019 - 08 AM

HSN | Great Gifts - Black Friday Weekend Deals 11.30.2019 - 08 AM

Table des matières:

Anonim

Les chercheurs de la société de sécurité Trusteer ont trouvé une nouvelle variante du programme de Troie bancaire Gozi qui infecte le Master Boot Record (MBR) d'un ordinateur afin d'assurer sa persistance.

Le Master Boot Record (MBR) est un secteur de démarrage qui se trouve au début d'un disque de stockage et contient des informations sur la façon dont ce disque est partitionné.

Certains auteurs de logiciels malveillants ont utilisé le MBR pour donner à leurs programmes malveillants une longueur d'avance sur les programmes antivirus installés sur l'ordinateur. supprimer les logiciels malveillants de votre PC Windows]

Les logiciels malveillants sophistiqués qui utilisent des composants de rootkit MBR, comme TDL4, également connu sous le nom Alureon ou TDSS, font partie de la raison pour laquelle Microsoft a intégré la fonctionnalité Secure Boot dans Windows 8.

"Même si les rootkits MBR sont considérés comme très efficaces, ils n'ont pas été intégrés dans beaucoup de logiciels malveillants financiers", a déclaré jeudi Etay Maor, chercheur de Trusteer, dans un article de blog. "Une exception était le rootkit Mebroot qui a été utilisé pour déployer Torpig (aka Sinowal / Anserin)."

Infecte Internet Explorer

Le nouveau composant rootkit Gozi MBR attend qu'Internet Explorer soit lancé, puis injecte du code malveillant dans le processus. Maor a dit que le malware pouvait intercepter le trafic et effectuer des injections sur le Web comme le font la plupart des programmes de Trojans financiers.

Le fait qu'une nouvelle variante de Gozi soit découverte montre que les cybercriminels continuent d'utiliser cette menace malgré le fait que Le développeur principal et certains de ses complices ont été arrêtés et inculpés. Le cheval de Troie Gozi existe depuis au moins cinq ans.

La nouvelle variante détectée par les chercheurs Trusteer est très similaire à une version plus ancienne, à l'exception de la composante de rootkit MBR supplémentaire, a déclaré Maor. "Cela peut indiquer qu'un nouveau rootkit est vendu sur les forums des cybercriminels et adopté par les auteurs de malwares."

Bien que certains outils dédiés à la suppression des rootkits MBR existent, de nombreux experts recommandent d'effacer le disque dur et de recréer les partitions Maor a dit:

Puisque le nettoyage de ces logiciels malveillants peut nécessiter des connaissances techniques avancées, il est probablement préférable de contacter le service de support technique de votre fournisseur d'antivirus afin de obtenir de l'aide experte.