Новый вариант вредоноса Gozi размещается в MBR

Новый вариант вредоноса Gozi размещается в MBR

Исследователи из ИТ-компании Trusteer обнаружили новый вариант банковского троянца Gozi, способного инфицировать главную загрузочную запись MBR, чтобы избежать обнаружения со стороны антивирусов. Напомним, что MBR представляет собой начальный сектор на жестком диске, где содержатся данные о разбиении разделов носителя и сведения об установленных операционных системах.

Загрузка данных из MBR начинается до того, как загружается операционная система с антивирусным программным обеспечением. Именно поэтому некоторые сложные вредоносные программы создаются в расчете на работу из MBR. Ранее работу из MBR применяли такие вредоносные коды, как TDL4 или TDSS. 

Именно поэтому в операционной системе Windows 8 появилась функция Secure Boot для защиты нулевого сектора от сторонних записей. Эксперты говорят, что вредоносов, размещенных в MBR, очень сложно обнаружить и не все операционные системы в принципе способны обращаться к MBR штатными средствами, пишет cybersecurity.ru.

В Trusteer говорят, что хотя размещение вредоносных кодов в MBR - это эффективный способ их сокрытия, подобные руткиты не могут работать с прикладными функциями, например воровать данные о платежах, поэтому им нужны модули в операционной системе.

Новый Gozu MBR применяет компонент, который ожидает запуска браузера Microsoft Explorer и внедряет вредоносный код в рабочие процессы браузера. Это позволяет вредоносу перехватывать и анализировать трафик в веб-сессиях, подобно тому, как это делают другие троянцы.

"Факт того, что новый вариант Gozi появился, говорит о том, что киберпреступники продолжают использовать этот вредоносный код для реализации противозаконных схем. Новый вариант очень похож на прежний, но он имеет MBR-компонент", - говорят в Trusteer.

В компании говорят, что не все антивирусные программы способны детектировать угрозу в MBR.

Астрал подтвердил целевую кибератаку после недельного сбоя сервисов

ГК «Астрал» впервые подробно прокомментировала масштабный сбой, который уже несколько дней влияет на работу её сервисов. Компания официально признала, что 9 июня подверглась серии целенаправленных хакерских атак.

По словам представителей «Астрала», именно атака стала причиной остановки ряда сервисов.

С первого дня специалисты компании работают над восстановлением инфраструктуры в круглосуточном режиме, а полностью завершить восстановление планируется 16 июня.

В компании также сообщили, что параллельно началось расследование с участием государственных органов в сфере информационной безопасности. По этой причине «Астрал» была ограничена в возможности публично комментировать происходящее.

Один из главных вопросов клиентов — что с данными? Здесь компания пытается успокоить пользователей. По результатам проведённой проверки признаков утечки или компрометации данных не обнаружено. Более того, защитные механизмы после инцидента были дополнительно усилены.

Почему восстановление заняло почти неделю? В «Астрале» объясняют это необходимостью полной проверки каждого сервиса перед возвращением в эксплуатацию. Компания подчёркивает, что не собирается жертвовать безопасностью ради более быстрого запуска.

По состоянию на сегодняшний день большая часть сервисов уже работает в штатном режиме. Последними должны вернуться в строй ОФД и оставшиеся компоненты экосистемы.

Отдельно компания заявила, что взаимодействует с контролирующими органами, чтобы последствия инцидента не отразились на клиентах. Для пользователей также подготовлены официальные письма, подтверждающие, что проблемы возникли на стороне инфраструктуры оператора.

Таким образом, спустя неделю после начала сбоев «Астрал» фактически подтвердил то, о чём многие пользователи и так догадывались: причиной проблем стала не техническая ошибка и не авария, а полноценная кибератака на инфраструктуру компании.

RSS: Новости на портале Anti-Malware.ru