Злоумышленники переключились с MBR на загрузчик NTFS-раздела

Злоумышленники переключились с MBR на загрузчик NTFS-раздела

В последнее время модифицирование областей жесткого диска, ответственных за начальную загрузку системы, становится все более популярным у злоумышленников. При этом если раньше изменению подвергалась MBR (основная загрузочная запись), то сейчас злоумышленники переключились на заражение кода загрузчика NTFS-раздела.



Недавно был обнаружен интересный зловред — Cidox. Его особенность в том, что он заражает код загрузочной области загрузочного раздела на жестком диске.

Основной файл Trojan-Dropper.Win32.Cidox «несет на борту» два драйвера-руткита (Rootkit.Win32/Win64.Cidox). Один из них скомпилирован под 32-битную платформу, а второй — под 64-битную, сообщает securelist

Исходный компонент Cidox модифицирует начальную область жесткого диска:
Записывает соответствующий драйвер в свободные сектора в начале жесткого диска.
Для заражения выбирает раздел, помеченный как загрузочный в таблице разделов в MBR. Важно отметить, что заражаются только разделы с файловой системой NTFS.

Записывает часть своего кода поверх области Extended NTFS IPL (Initial Program Loader), которая отвечает за разбор таблицы MFT (Master File Table), поиск файла с загрузчиком в корневой директории раздела (ntldr — до Vista, bootmgr — Vista+), считывание этого файла с диска и передачу управления на него. При этом оригинальное содержимое Extended NTFS IPL сохраняется в зашифрованном виде и дописывается в конец зловредного кода.

При следующей загрузке системы будет вызван вредоносный код загрузочной области. Он с помощью известной техники, используя перехват Int 13h и некоторых функций ядра Windows, успешно загрузит вредоносный драйвер в систему. Загруженный драйвер с помощью функции PsSetCreateProcessNotifyRoutine контролирует запуск следующих процессов:

  • svchost.exe 
  • iexplore.exe 
  • firefox.exe 
  • opera.exe 
  • chrome.exe

Если обнаружен запуск одного из перечисленных выше процессов, то в него внедряется еще один компонент Cidox — динамическая библиотека (Trojan.Win32.Cidox). Эта библиотека модифицирует любую выдачу браузера, заменяя ее на свою. В результате пользователь видит в окне браузера предложение обновить браузер в связи с тем, что в системе якобы обнаружены те или иные вредоносные программы. В приведенном ниже примере пользователю предлагается обновить браузер в связи с заражением троянцем Trojan.Win32.Ddox.ci.

 «Обновление», разумеется, платное. Чтобы его получить, необходимо отправить SMS на короткий номер.

Для каждого из популярных браузеров используются уникально оформленные страницы.

Отметим, что новую версию браузера на самом деле можно скачать бесплатно с сайта производителя. Таким образом, запугивая пользователей, злоумышленники просто вымогают у них деньги.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Прокуратура предупреждает о мошенничестве с обратными звонками

Прокуратура Москвы предупреждает о новой схеме телефонного мошенничества. Ее отличительная особенность — требование перезвонить по номеру, указанному в полученном сообщении. Ранее преступники сами звонили потенциальным жертвам, однако теперь они рассылают СМС с информацией о якобы совершённых в отношении получателя действиях и просят перезвонить по указанному номеру.

Как сообщается в официальном телеграм-канале прокуратуры, цель злоумышленников — убедить жертву перевести деньги на так называемый «безопасный счет», который на самом деле контролируют сами мошенники.

Жертвой такой схемы стала 68-летняя жительница Москвы. Она получила сообщение о подозрительной активности в её аккаунте на портале «Госуслуги» и перезвонила по указанному номеру. Ей ответил неизвестный, представившийся сотрудником Росфинмониторинга. Он сообщил, что злоумышленники пытаются завладеть её сбережениями, и убедил рассказать о всех имеющихся счетах. Затем он заявил, что для «спасения» денег их необходимо перевести на специальный «безопасный счёт».

Позже жертву переключили на другого афериста, который представился сотрудником правоохранительных органов. Он настоял на полной секретности действий и пригрозил уголовной ответственностью за разглашение. Следуя инструкциям мошенников, женщина сняла деньги и передала их курьерам. Лишь после разговора с супругом она поняла, что стала жертвой обмана.

«Поступил подозрительный звонок — немедленно прекратите разговор. Пришло СМС с номером — не перезванивайте. Проверьте информацию, обсудите её с близкими. Будьте бдительны и не дайте себя обмануть», — предостерегли в прокуратуре.

Там также напомнили, что официальные органы не связываются с гражданами по телефону или через сообщения, не требуют раскрывать данные о счетах и тем более не просят переводить деньги.

Тема телефонного и интернет-мошенничества обсуждается на самом высоком уровне. По опросам, 86% россиян сталкивались с телефонными мошенниками, а каждый шестой лишался денег или имущества.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru