Gozi finansal kötü amaçlı yazılım paketlerinin yeni sürümü MBR rootkit

Güvenlik firması Trusteer Araştırmacıları, kalıcılık elde etmek için bir bilgisayarın Ana Önyükleme Kaydı'nı (MBR) bozan Gozi bankacılık Truva atı programının yeni bir varyantını buldular.

Önyükleme Kaydı (MBR), bir depolama sürücüsünün başında bulunan ve bu sürücünün nasıl bölümlendiğiyle ilgili bilgiler içeren bir önyükleme kesimini temsil eder. Ayrıca, işletim sistemi başlamadan önce çalışan önyükleme kodunu da içerir.

Bazı kötü amaçlı yazılım yazarları, kötü amaçlı programlara bilgisayarda yüklü olan virüsten koruma programlarının başlamasını sağlamak için MBR'den yararlanırlar.

[Daha fazla okuma: Nasıl Yapılır Windows PC'nizden kötü amaçlı yazılımları kaldırın]

Alureon veya TDSS olarak da bilinen TDL4 gibi MBR rootkit bileşenlerini kullanan gelişmiş kötü amaçlı yazılım, Microsoft'un Güvenli Önyükleme özelliğini Windows 8'e kurmasının nedeninin bir parçasıdır. Bu kötü amaçlı yazılımın algılanması zor Ve işletim sistemi yeniden yükleme prosedürlerini kaldırabilir ve hatta kaldırabilir.

Trusteer araştırmacısı Etay Maor Perşembe günü bir blog yazısında yaptığı açıklamada, "MBR rootkit'lerinin son derece etkili olduğu düşünülse de birçok finansal kötü amaçlı yazılım ile entegre edilmemişlerdir." "Bir istisna Torpig (aka Sinowal / Anserin) dağıtmak için kullanılan bir Mebroot rootkit oldu."

Internet Explorer

Infects Yeni Gozi MBR rootkit bileşeni, Internet Explorer'ın başlatılmasını beklemekte ve daha sonra zararlı kodları sürece eklemektedir.. Bu, kötü amaçlı yazılımların trafiği engellemesine ve çoğu finansal Truva atı programı gibi tarayıcı içinde Web enjeksiyonları yapmasına izin verdiğini söyledi.

Gozi'nin yeni bir varyantının keşfedilmiş olması, siber suçluların bu tehdidi kendi Ana geliştirici ve suç ortaklarının bazıları tutuklandı ve suçlandı. Gozi Truva atı en az beş yıl oldu.

Trusteer araştırmacıları tarafından tespit edilen yeni varyant, ek MBR rootkit bileşeni haricinde daha eski bir versiyona çok benziyor. "Bu, siber suçluların forumlarında yeni bir kök aracının satıldığını ve kötü amaçlı yazılım yazarları tarafından benimsenmiş olduğunu gösterebilir."

MBR rootkit'lerinin kaldırılmasına yönelik bazı özel araçlar mevcut olsa da, birçok uzman tüm sabit sürücüyü silip bölümleri yeniden oluşturmanızı önerir. Bilgisayarın böyle bir tehditten etkilenmiş olması durumunda temiz bir başlangıç ​​sağlamak için Maor şöyle dedi:

Bu tür bir kötü amaçlı yazılımın temizlenmesi teknik bilgi gerektirdiğinden, virüsten koruma sağlayıcınızın teknik destek departmanına başvurmak en iyisidir. Uzman yardımı alın.