Злоумышленники переключились с MBR на загрузчик NTFS-раздела

Злоумышленники переключились с MBR на загрузчик NTFS-раздела

В последнее время модифицирование областей жесткого диска, ответственных за начальную загрузку системы, становится все более популярным у злоумышленников. При этом если раньше изменению подвергалась MBR (основная загрузочная запись), то сейчас злоумышленники переключились на заражение кода загрузчика NTFS-раздела.



Недавно был обнаружен интересный зловред — Cidox. Его особенность в том, что он заражает код загрузочной области загрузочного раздела на жестком диске.

Основной файл Trojan-Dropper.Win32.Cidox «несет на борту» два драйвера-руткита (Rootkit.Win32/Win64.Cidox). Один из них скомпилирован под 32-битную платформу, а второй — под 64-битную, сообщает securelist

Исходный компонент Cidox модифицирует начальную область жесткого диска:
Записывает соответствующий драйвер в свободные сектора в начале жесткого диска.
Для заражения выбирает раздел, помеченный как загрузочный в таблице разделов в MBR. Важно отметить, что заражаются только разделы с файловой системой NTFS.

Записывает часть своего кода поверх области Extended NTFS IPL (Initial Program Loader), которая отвечает за разбор таблицы MFT (Master File Table), поиск файла с загрузчиком в корневой директории раздела (ntldr — до Vista, bootmgr — Vista+), считывание этого файла с диска и передачу управления на него. При этом оригинальное содержимое Extended NTFS IPL сохраняется в зашифрованном виде и дописывается в конец зловредного кода.

При следующей загрузке системы будет вызван вредоносный код загрузочной области. Он с помощью известной техники, используя перехват Int 13h и некоторых функций ядра Windows, успешно загрузит вредоносный драйвер в систему. Загруженный драйвер с помощью функции PsSetCreateProcessNotifyRoutine контролирует запуск следующих процессов:

  • svchost.exe 
  • iexplore.exe 
  • firefox.exe 
  • opera.exe 
  • chrome.exe

Если обнаружен запуск одного из перечисленных выше процессов, то в него внедряется еще один компонент Cidox — динамическая библиотека (Trojan.Win32.Cidox). Эта библиотека модифицирует любую выдачу браузера, заменяя ее на свою. В результате пользователь видит в окне браузера предложение обновить браузер в связи с тем, что в системе якобы обнаружены те или иные вредоносные программы. В приведенном ниже примере пользователю предлагается обновить браузер в связи с заражением троянцем Trojan.Win32.Ddox.ci.

 «Обновление», разумеется, платное. Чтобы его получить, необходимо отправить SMS на короткий номер.

Для каждого из популярных браузеров используются уникально оформленные страницы.

Отметим, что новую версию браузера на самом деле можно скачать бесплатно с сайта производителя. Таким образом, запугивая пользователей, злоумышленники просто вымогают у них деньги.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Правительство приостановило работу над сбором за зарубежное ПО

Проработка инициативы Минцифры о введении сбора за использование зарубежного программного обеспечения приостановлена. Главной причиной стали сложности с разработкой механизма и согласованием законопроекта с другими ведомствами. Тем не менее в министерстве подчёркивают, что работа над инициативой будет продолжена.

Идею взимать сбор за использование иностранного ПО впервые озвучил премьер-министр Михаил Мишустин. Предполагалось, что собранные средства пойдут на поддержку российских разработчиков.

В мае 2024 года о подготовке соответствующего законопроекта сообщил министр цифрового развития, связи и массовых коммуникаций Максут Шадаев. По его словам, документ планировалось внести в Госдуму в сентябре 2024 года. Инициатива касалась исключительно крупного бизнеса.

О приостановке работы над законопроектом сообщил источник «Коммерсанта» в Минцифры. Основной проблемой стала сложность реализации. В частности, неясным остаётся механизм выявления использования зарубежного ПО, а также слишком запутанным оказался расчёт размера сбора для разных классов программ.

Кроме того, инициатива не получила поддержки со стороны Федеральной налоговой службы и Министерства финансов. Резкую критику она вызвала и у отраслевых объединений — «Руссофта» и Ассоциации разработчиков программных продуктов (АРПП) «Отечественный софт».

«Это стало бы серьёзным препятствием на пути к достижению технологического суверенитета страны. Инициатива сложна в реализации и администрировании, а также может привести к риску внеплановых проверок, направленных на выявление использования зарубежного ПО», — прокомментировал исполнительный директор АРПП «Отечественный софт» Ренат Лашин.

По его мнению, закон фактически стал бы индульгенцией на нелегальное использование иностранного софта и, соответственно, затруднил бы внедрение отечественных решений.

Партнёр технологической практики «ТеДо» Максим Иванов отметил, что у бизнеса нет острой необходимости в замене зарубежных программ, поскольку они продолжают работать. Единственное затруднение — отсутствие официальной поддержки, которую, впрочем, компенсируют российские интеграторы и компании, созданные бывшими сотрудниками представительств иностранных вендоров.

В ряде сегментов доля иностранного ПО остаётся крайне высокой. Руководитель практики «Стратегия» «Рексофт Консалтинг» Александр Чугунов привёл пример:

«Программное обеспечение Autodesk давно и широко используется проектировщиками и де-факто стало отраслевым стандартом. В строительном проектировании его доля достигает 90%».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru