Nova verzija bankarskog Trojanca Gozi ojačana MBR rootkit komponentom

Opisi virusa, 23.04.2013, 10:16 AM

Nova verzija bankarskog Trojanca Gozi ojačana MBR rootkit komponentom

Izgleda da se slavilo prerano, kada je uhapšen autor bankarskog Trojanca Gozi, zajedno sa svojim saradnicima. Gozi je nastavio svoj pohod širom sveta, a posebno u SAD. Šta više, situacija sa ovim malverom je sada još gora. Istraživači firme Trusteer otkrili su novu verziju bankarskog Trojanca Gozi koja inficira Master Boot Record (MBR) kako bi osigurala trajnije prisustvo na računaru.

Master Boot Record (MBR) je sektor hard diska koji sadrži informacije o particijama hard diska i sistemskim fajlovima, a kod koji se nalazi u MBR se izvršava pre nego što se pokrene operativni sistem.

Autori malvera koji inficiraju MBR ustvari pokušavaju da daju svojim zlonamernim programima prednost u odnosu na antivirusni program instaliran na računaru.

Sofisticirani malveri koji imaju MBR rootkit komponenete, kao što je TDL4, koji je poznat i pod nazivima Alureon ili TDSS, su razlog zbog kojeg je Microsoft odlučio da zaštiti Windows 8, Secure Boot funkcionalnošću. Malveri kao što je TDL4 se teško otkrivaju i uklanjaju i mogu da „prežive“ proces reinstalacije sistema.

Iako su MBR rootkit-ovi obezbeđuju trajnije prisustvo malvera na računaru, retko se implementiraju u bankarske malvere. Jedan od takvih retkih izuzetaka je Mebroot rootkit koji je implementiran u Torpig (Sinowal/Anserin).

Novi Gozi MBR rootkit čeka da se pokrene Internet Explorer i zatim ubacuje maliciozni kod u proces. To omogućava malveru presretanje saobraćaja i ubacivanje koda u browser, što inače čini većina bankarskih Trojanaca.

Pojava nove verzije Trojanca Gozi ojačane MBR rootkit komponentom pokazuje da su sajber kriminalci nastavili da koriste ovaj malver bez obzira na to što je autor malvera zajedno sa svojim saradnicima uhapšen i optužen. Malver Gozi je do sada zarazio više od milion računara širom sveta prouzrokujući milionsku štetu, a krajem 2012. godine, Gozi je bio deo planiranog napada na američke banke. Autoru malvera, ukoliko bude proglašen krivim preti zatvorska kazna u trajanju do 95 godina.

Nova verzija malvera je veoma slična prethodnoj, sa izuzetkom MBR rootkit komponente, pa stručnjaci Trusteer-a pretpostavljaju da se novi rootkit prodavao na forumima koji okupljaju sajber kriminalce i da su ga autori malvera implementirali.

Za uklanjanje MBR rootkit-ova sa računara postoje namenski alati. Mnogi stručnjaci ipak preporučuju brisanje celog hard diska i ponovno kreiranje particija u slučaju infekcije računara nekom ovakvom pretnjom. S obzirom da uklanjanje ovakvih malvera zahteva malo više znanja, u slučaju da se ne snalazite, najbolje je kontaktirati tehničku podršku proizvođača antivirusa i potražiti pomoć stručnjaka.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

FBI upozorio na novi ransomware ProLock koji inficira računare koji su već inficirani bankarskim trojancem

FBI upozorio na novi ransomware ProLock koji inficira računare koji su već inficirani bankarskim trojancem

FBI je izdao upozorenje o novom ransomwareu koji je nazvan ProLock, koji je primećen u napadima na zdravstvene organizacije, državne organe, finansi... Dalje

Novi malver nazvan ''Korona virus'' zaključava Windows

Novi malver nazvan ''Korona virus'' zaključava Windows

Budući da su škole zatvorene zbog pandemije, neka deca se zabavljaju pravljenjem malvera. Takav je slučaj sa različitim novim verzijama MBRLocker... Dalje

Malver TrickBot zaobilazi dvofaktornu zaštitu banaka novom Android aplikacijom TrickMo

Malver TrickBot zaobilazi dvofaktornu zaštitu banaka novom Android aplikacijom TrickMo

Sajber-kriminalci koji stoje iza malvera TrickBot koriste Aandroid aplikaciju koju su napravili da bi zaobišli dvofaktornu (2FA) zaštitu koju korist... Dalje

Novi ransomware se zove CoronaVirus, ali on nije najgore što se može desiti vašem računaru

Novi ransomware se zove CoronaVirus, ali on nije najgore što se može desiti vašem računaru

Nova ransomware nazvan CoronaVirus širi se preko lažnog web sajta koji reklamira softver za optimizaciju sistema i druge programe WiseCleanera. Sajb... Dalje

Android malver Cerberus sada može da krade kodove za 2FA iz Google Authenticatora i daljinski otključava uređaj

Android malver Cerberus sada može da krade kodove za 2FA iz Google Authenticatora i daljinski otključava uređaj

Bankarski trojanac Cerberus je nadograđen i sada može da krade kodove Google Authenticatora za dvofaktornu autentifikaciju (2FA) koja se koristi kao... Dalje