Злоумышленники переключились с MBR на загрузчик NTFS-раздела

Злоумышленники переключились с MBR на загрузчик NTFS-раздела

В последнее время модифицирование областей жесткого диска, ответственных за начальную загрузку системы, становится все более популярным у злоумышленников. При этом если раньше изменению подвергалась MBR (основная загрузочная запись), то сейчас злоумышленники переключились на заражение кода загрузчика NTFS-раздела.



Недавно был обнаружен интересный зловред — Cidox. Его особенность в том, что он заражает код загрузочной области загрузочного раздела на жестком диске.

Основной файл Trojan-Dropper.Win32.Cidox «несет на борту» два драйвера-руткита (Rootkit.Win32/Win64.Cidox). Один из них скомпилирован под 32-битную платформу, а второй — под 64-битную, сообщает securelist

Исходный компонент Cidox модифицирует начальную область жесткого диска:
Записывает соответствующий драйвер в свободные сектора в начале жесткого диска.
Для заражения выбирает раздел, помеченный как загрузочный в таблице разделов в MBR. Важно отметить, что заражаются только разделы с файловой системой NTFS.

Записывает часть своего кода поверх области Extended NTFS IPL (Initial Program Loader), которая отвечает за разбор таблицы MFT (Master File Table), поиск файла с загрузчиком в корневой директории раздела (ntldr — до Vista, bootmgr — Vista+), считывание этого файла с диска и передачу управления на него. При этом оригинальное содержимое Extended NTFS IPL сохраняется в зашифрованном виде и дописывается в конец зловредного кода.

При следующей загрузке системы будет вызван вредоносный код загрузочной области. Он с помощью известной техники, используя перехват Int 13h и некоторых функций ядра Windows, успешно загрузит вредоносный драйвер в систему. Загруженный драйвер с помощью функции PsSetCreateProcessNotifyRoutine контролирует запуск следующих процессов:

  • svchost.exe 
  • iexplore.exe 
  • firefox.exe 
  • opera.exe 
  • chrome.exe

Если обнаружен запуск одного из перечисленных выше процессов, то в него внедряется еще один компонент Cidox — динамическая библиотека (Trojan.Win32.Cidox). Эта библиотека модифицирует любую выдачу браузера, заменяя ее на свою. В результате пользователь видит в окне браузера предложение обновить браузер в связи с тем, что в системе якобы обнаружены те или иные вредоносные программы. В приведенном ниже примере пользователю предлагается обновить браузер в связи с заражением троянцем Trojan.Win32.Ddox.ci.

 «Обновление», разумеется, платное. Чтобы его получить, необходимо отправить SMS на короткий номер.

Для каждого из популярных браузеров используются уникально оформленные страницы.

Отметим, что новую версию браузера на самом деле можно скачать бесплатно с сайта производителя. Таким образом, запугивая пользователей, злоумышленники просто вымогают у них деньги.

Российским микросхемам хотят заранее найти покупателей

Минпромторг и участники рынка готовят новую стратегию развития российской микроэлектроники. Её главная идея — перестать считать готовый НИОКР конечной победой и наконец доводить разработки до серийного выпуска и продаж. Одним из ключевых инструментов могут стать офтейк-контракты.

Заказчик заранее обязуется выкупить первые партии компонента, которого ещё нет в массовом производстве, сообщает «Коммерсантъ». Для разработчика это означает гарантированный спрос после завершения НИОКР.

Также обсуждается компонентная квота в регулируемых закупках. Производителей электроники могут обязать использовать определённую долю российских микросхем, чтобы устройство считалось локализованным и получало государственные преференции. Таким образом, отечественный компонент хотят продвигать не только субсидией, но и местом внутри конечного продукта.

В проект стратегии входят льготный лизинг и кредитование, налоговые вычеты, субсидии потребителям, новые способы финансирования НИР и НИОКР, пересмотр классификации продукции в государственных реестрах и дополнительные требования к КИИ предприятий микроэлектроники. Пока это меню предложений, а не утверждённый набор мер.

Документ может лечь в основу работы будущей Объединённой микроэлектронной компании. Она должна собрать производственные мощности отрасли в комплекс полного цикла. Стратегию ОМК планируют утвердить до конца 2026 года.

Амбиции у государства внушительные: к 2030 году выручка электронной промышленности должна достигнуть 5,22 трлн рублей, а доля отечественной продукции — 87,9%.

Реальность пока скромнее. В 2025 году рынок электронных компонентов сократился на 25%, до 288 млрд рублей, а российская продукция заняла только 26% — около 74,9 млрд.

Новая стратегия пытается закрыть очевидную дыру: разработку профинансировали, опытный образец показали, а серии и заказов нет.

RSS: Новости на портале Anti-Malware.ru