Перейти к содержанию
Ego Dekker

Центр вирусных исследований и аналитики ESET выпускает отчёт о рутките Win32/Olmarik

Recommended Posts

Ego Dekker

Российское представительство компании ESET, международного разработчика антивирусного ПО и решений в области компьютерной безопасности, сообщает о выпуске аналитического отчёта, посвящённого последней модификации известного руткита Win32/Olmarik. Данная публикация открывает серию аналитических материалов об угрозах информационной безопасности, подготовленных Центром вирусных исследований и аналитики российского представительства ESET.

Руткит Win32/Olmarik по классификации ESET (известен также под названием TDSS) активно используется злоумышленниками для создания бот-сетей. Как и многое вредоносное ПО подобного класса, Win32/Olmarik состоит из нескольких функциональных модулей. В результате он может применяться для решения различных задач в зависимости от состава используемых модулей.

Win32/Olmarik приобрёл известность благодаря своей способности обходить защиту многих антивирусных решений, в том числе использующих технологии HIPS для детектирования вредоносных действий исполняемого кода. Кроме того, Win32/Olmarik отличается высоким уровнем выживаемости.

Заслуживают внимания схемы распространения руткита. Например, создатели Win32/Olmarik используют достаточно распространённую сегодня схему Pay-Per-Install, при которой они получают вознаграждение за каждую установку руткита в системе, по сути, за каждое заражение компьютера. В результате, чем успешнее будет руткит, тем больше денег получат его создатели.

Несмотря на то, что руткит известен уже достаточно продолжительное время (около двух лет), вредоносный код регулярно дорабатывается злоумышленниками для успешного противодействия антивирусным решениям. Свежий отчёт ESET агрегирует опыт прошлых изысканий и последних собственных исследований свежих версий руткита, известных под обобщённым названием TDL3. О результатах препарирования Win32/Olmarik читайте в отчёте Центра вирусных исследований и аналитики ESET «Руткит Win32/Olmarik: технологии работы и распространения».

«Модификация руткита TDL3 особо выделяется на фоне других вредоносных программ использованием оригинальных способов внедрения и сокрытия присутствия, — говорит Александр Матросов, руководитель Центра вирусных исследований и аналитики российского представительства ESET. — По нашим статистическим данным наибольшее распространение эта вредоносная программа получила в США и европейских странах отчасти потому, что некоторые модификации руткита не устанавливаются на компьютеры с локализацией ОС из регионов, не представляющих интереса для злоумышленников. В нашем отчёте мы постарались подробно рассмотреть различные технические нюансы, некоторые из которых не освещались ранее в публичных источниках информации».

Пресс-выпуск.

  • Upvote 5

Поделиться сообщением


Ссылка на сообщение
Поделиться на другие сайты
Гость
Эта тема закрыта для публикации ответов.

  • Сообщения

    • demkd
      кто-то невнимательно читал: В окно информации о процессе добавлены проценты загрузки CPU с момента создания процесса Пока не будет документации как вытаскивать эти данные из шедулера такой графы не будет, мало того эта информация доступна только для поздних билдов Windows 10, на младших версиях и базовом билде Windows 10 такую информацию получить невозможно.
    • PR55.RP55
      Demkd "CPU" =. Похоже, что с защищёнными процессами это не работает. Запустил в несколько потоков сканирование в ESET  показывает нагрузку в 1-2% При том, что архивация в 7-zip под 50% --------- И всё таки одно дело когда работает центральный процессор... Например на старых версиях Intel Atom  всегда нагружен под завязку и это мало о чём говорит. Другое дело если процесс работает с видео картой. Я бы добавил к инфо. данные по: GPU  
    • stepangrnec
      купить лотерейный билет лото  мгновенная лотерея онлайн 
    • demkd
      HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{c53e07ec-25f3-4093-aa39-fc67ea22e99d}
      Windows.StateRepositoryPS.dll используется в ShellExperienceHost.exe, который в результате и рубится из-за исключения уже в другой библиотеке - StartUI.dll при нажатии на кнопку меню с виндовым флажком, как это связано с Windows.StateRepositoryPS.dll не совсем ясно, поскольку в событиях не видно никаких проблем с соответствующим ему COM.
      "Для них недостаточно просто назначить Full Access для Everyone" тут это прокатывает и все работает если впрямую назначить Everyone и дать полный доступ, а uVS ранее просто и незатейливо сбрасывал dacl в null и отключал наследование, что если верить msdn обеспечивает полный доступ к ключу всем и оно так и есть, но как оказалось нравится это не всем причем таким странным образом, поэтому теперь и dacl и owner всегда возвращаются в исходное состояние во избежании.
    • Такси Курумоч
      Такси Курумоч Аэропорт Самара с квитанцией, чеком Сайт: http://g-transfer.ru
      Email: [email protected]
      Viber/Whatsapp +79272040919
      Телефон +79991709505   Воспользовался услугами данной трансферной компании, и решил обязательно поделиться со всеми)
×