Злоумышленники переключились с MBR на загрузчик NTFS-раздела

Злоумышленники переключились с MBR на загрузчик NTFS-раздела

В последнее время модифицирование областей жесткого диска, ответственных за начальную загрузку системы, становится все более популярным у злоумышленников. При этом если раньше изменению подвергалась MBR (основная загрузочная запись), то сейчас злоумышленники переключились на заражение кода загрузчика NTFS-раздела.



Недавно был обнаружен интересный зловред — Cidox. Его особенность в том, что он заражает код загрузочной области загрузочного раздела на жестком диске.

Основной файл Trojan-Dropper.Win32.Cidox «несет на борту» два драйвера-руткита (Rootkit.Win32/Win64.Cidox). Один из них скомпилирован под 32-битную платформу, а второй — под 64-битную, сообщает securelist

Исходный компонент Cidox модифицирует начальную область жесткого диска:
Записывает соответствующий драйвер в свободные сектора в начале жесткого диска.
Для заражения выбирает раздел, помеченный как загрузочный в таблице разделов в MBR. Важно отметить, что заражаются только разделы с файловой системой NTFS.

Записывает часть своего кода поверх области Extended NTFS IPL (Initial Program Loader), которая отвечает за разбор таблицы MFT (Master File Table), поиск файла с загрузчиком в корневой директории раздела (ntldr — до Vista, bootmgr — Vista+), считывание этого файла с диска и передачу управления на него. При этом оригинальное содержимое Extended NTFS IPL сохраняется в зашифрованном виде и дописывается в конец зловредного кода.

При следующей загрузке системы будет вызван вредоносный код загрузочной области. Он с помощью известной техники, используя перехват Int 13h и некоторых функций ядра Windows, успешно загрузит вредоносный драйвер в систему. Загруженный драйвер с помощью функции PsSetCreateProcessNotifyRoutine контролирует запуск следующих процессов:

  • svchost.exe 
  • iexplore.exe 
  • firefox.exe 
  • opera.exe 
  • chrome.exe

Если обнаружен запуск одного из перечисленных выше процессов, то в него внедряется еще один компонент Cidox — динамическая библиотека (Trojan.Win32.Cidox). Эта библиотека модифицирует любую выдачу браузера, заменяя ее на свою. В результате пользователь видит в окне браузера предложение обновить браузер в связи с тем, что в системе якобы обнаружены те или иные вредоносные программы. В приведенном ниже примере пользователю предлагается обновить браузер в связи с заражением троянцем Trojan.Win32.Ddox.ci.

 «Обновление», разумеется, платное. Чтобы его получить, необходимо отправить SMS на короткий номер.

Для каждого из популярных браузеров используются уникально оформленные страницы.

Отметим, что новую версию браузера на самом деле можно скачать бесплатно с сайта производителя. Таким образом, запугивая пользователей, злоумышленники просто вымогают у них деньги.

В России обнаружили инфраструктуру для фишинговых атак на бизнес

В России выявили сеть доменов, замаскированных под программы поддержки бизнеса на фоне предстоящего повышения НДС в 2026 году. В названиях таких сайтов используются формулировки вроде b2b-gospodderzka, clients-gospodderzka, gospodderzka, mail-gospodderzka и pochta-gospodderzka.

О существовании сети мошеннических доменов сообщило агентство РИА Новости со ссылкой на данные компании «Кросс технолоджис».

По оценке специалистов, основная цель злоумышленников — получить доступ к банковским счетам компаний, а также к учётным данным сотрудников руководства, бухгалтерии и финансовых подразделений. Для этого мошенники планируют связываться с представителями бизнеса, преимущественно малого и среднего, выдавая себя за сотрудников различных государственных структур.

В качестве повода для общения используются вопросы, связанные с переходным периодом при повышении НДС, а также с якобы доступными программами господдержки или компенсациями. Чтобы заставить жертву перейти по фишинговой ссылке, злоумышленники ссылаются на необходимость проверки данных, авторизации в сервисе или привязки банковского счёта.

«Любые меры поддержки следует проверять исключительно через официальные сайты ведомств и банков. Любые “переходные выплаты” по НДС по умолчанию стоит считать подозрительными. 2026 год обещает быть непростым — мошенники традиционно адаптируются к налоговым и регуляторным изменениям быстрее всех», — отметил руководитель сервиса Smart Business Alert (SBA) компании «Кросс технолоджис» Сергей Трухачев.

Согласно данным исследования edna, опубликованного в начале июля 2025 года, от действий мошенников пострадали 25% российских компаний. Ещё 18% организаций столкнулись с ростом операционных расходов из-за необходимости внедрения дополнительных мер контроля и противодействия преступным схемам.

RSS: Новости на портале Anti-Malware.ru