Nemesis: Malver koji se krije u Volume Boot Record hard diska

Opisi virusa, 10.12.2015, 00:30 AM

Nemesis: Malver koji se krije u Volume Boot Record hard diska

Malver koji je poznat po napadima na finansijske institucije pretrpeo je značajne promene koje su mu omogućile da postane otporan na restartovanje sistema i da se krije u Volume Boot Record (VBR) hard diska, upozorili su istraživači kompanije FireEye.

Reč je o malveru Nemesis koji se pripisuje kriminalnoj grupi FIN1, za koju se pretpostavlja da je sa ruskog govornog područja, i to na osnovu tragova koji je grupa ostavila u alatima koje koristi, jer je Nemesis ustvari paket alata koje koriste ovi sajber kriminalci za pristup računarima žrtava i krađu informacija o njihovim kreditnim karticama.

Nemesis uključuje backdoorove koji podržavaju različite mrežne protokole i komunikacijske kanale za komunikaciju sa komandno-kontrolnim serverima. Nemesis ima čitav niz kapaciteta koji uključuju: prebacivanje fajlova na servere koji su pod kontrolom hakera, pravljenje snimaka ekrana, beleženje kucanja na tastaturi, "process injection", rad sa procesima i zakazivanje zadataka.

Nove verzije alata a koji su deo Nemesisa koje su detektovane ranije ove godine menjaju Volume Boot Record (VBR) sistema i preuzimaju kontrolu nad procesom bootovanja tako da se komponente Nemesisa učitavaju pre koda operativnog sistema Windows.

Za Windows računare MBR (Master Boot Record) hard diska je od ključnog značaja za proces pokretanja sistema. MBR čuva informacije o disku, odnosno o svim particijama hard diska, kao i o malom kodu koji se koristi prilikom pokretanja sistema. Taj kod traži primarnu particiju diska koja mora da bude učitana da bi se pokrenuo operativni sistem. Od tada pa nadalje, proces bootovanja se seli na VBR (Volume Boot Record) koji pruža mnogo više detalja o svakoj particiji.

VBR se nalazi u prvom sektoru svake particije. VBR sadrži kod koji je specifičan za operativni sistem ili program na toj particiji. Na primer, kada je na računaru instalirano više operativnih sistema, svaki operativni sistem je instaliran na posebnoj particiji a svaka particija sadrži VBR sa instrukcijama o tome kako pokrenuti konkretni operativni sistem. VBR daje isntrukcije kodu operativnog sistema da započne proces bootovanja, koji podrazumeva učitavanje neophodnog softvera u memoriju.

FIN1 je izmenio Nemesis modulom BOOTRASH koji, tokom procesa infekcije računara, prepisuje neke normalne procese bootovanja i smešta se u VBR.

BOOTRASH kroz kompleksan proces kreira skriveni virtuelni fajl sistem (VFS), koji čuva važne komponente Nemesisa u nedodeljenom prostoru između particija.

Tokom bootovanja računara, BOOTRASH modul sprečava normalno bootovanje sve dok se ne izvrši maliciozni kod koji uzima komponente Nemesisa sačuvane u VFS i ubacuje ih u Windows kernel.

Pre instalacije, BOOTRASH installer prikuplja informacije o sistemu, uključujući i one o verziji operativnog sistema i arhitekturi. Installer može da primeni 32-bitne ili 64-bitne verzije komponenti Nemesisa u zavisnosti od arhitekture procesora. Installer će instalirati bootkit na svakom hard disku koji ima MBR boot partciju, bez obzira na tip hard diska.

Zbog BOOTRASH-a, reinstalacija operativnog sistema neće ukloniti malver Nemesis.

Sistem administratori treba da urade potpuno brisanje svih sistema kompromitovanih bootkitom i da onda ponovo instaliraju operativni sistem.

Ovo nije prvi malver sa ovakvim karakteristikama. Njegovi prethodnici su ROCKBOOT, KINS, TDL4 (Olmarik), Rovnix, Necurs i Carberp. Oni koji su ciljali finansijske institucije su Carberp i KINS, i jedan i drugi visoko efikasni bankarski trojanci. Ipak, ovakvi malveri nisu uobičajeni, uglavnom zato što su kompleksni i zahtevaju veliko kompjutersko znanje da bi se implementirali kako treba a da ne dovedu do rušenja sistema.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Ransomware Dharma koristi legitimini antivirusni alat da žrtve ne primete šifrovanje fajlova

Ransomware Dharma koristi legitimini antivirusni alat da žrtve ne primete šifrovanje fajlova

Novi Dharma ransomware koristi instalaciju programa ESET AV Remover da bi sakrio od žrtava ono što se dešava u pozadini - šifrovanje njihovih fajl... Dalje

Malver PirateMatryoshka (''Babuška'') inficira računare posetilaca sajta Pirate Bay

Malver PirateMatryoshka (''Babuška'') inficira računare posetilaca sajta Pirate Bay

Istraživači kompanije Kaspersky Lab otkrili su novi malver koji se širi preko sajta Pirate Bay, jednog od najpopularnijih sajtova za preuzimanje to... Dalje

Ransomware GarrantyDecrypt se pretvara da štiti vaše fajlove

Ransomware GarrantyDecrypt se pretvara da štiti vaše fajlove

Pojavila se najnovija verzija ransomwarea GarrantyDecrypt, ransomwarea koga je otkrio istraživač Majkl Gilespi u oktobru 2018. godine. Iako nikada n... Dalje

Malver Rietspoof se širi preko Skypea i Facebook Messengera

Malver Rietspoof se širi preko Skypea i Facebook Messengera

Do avgusta prošle godine malver Rietspoof cirkulisao je internetom neprimećen. Onda su ga otkrili istraživači Avasta koji sada upozoravaju na eksp... Dalje

Linux malver uklanja druge malvere sa sistema, a evo zbog čega to radi

Linux malver uklanja druge malvere sa sistema, a evo zbog čega to radi

Majneri kripto-valuta postali su novi standard u svetu malvera, a nove verzije postaju sve složenije, jer su u mogućnosti da efikasnije sakriju svo... Dalje