В мире технологий
24-04-2009 18:07
Противники «Дома-2» по ошибке атаковали не тот сайт ТНТ
24-04-2009 17:57
В Госдуму РФ внесена концепция закона об Интернете
24-04-2009 17:51
Mebroot — почти неуловимый вирус
24-04-2009 17:40
Киберпреступники массово скупают телефоны Nokia 1100
22-04-2009 18:57
Операционная система Symbian портирована на платформу Intel Atom
22-04-2009 18:56
nVidia представила бета-версию драйвера OpenCL
22-04-2009 18:29
Спецификация Bluetooth 3.0 представлена официально
21-04-2009 03:52
Oracle покупает Sun Microsystems.
19-04-2009 15:42
В Интернете появился первый ботнет из компьютеров Apple
19-04-2009 15:40
Компания Samsung анонсировала первые на рынке накопители SSD с аппаратным шифров
19-04-2009 15:36
Создатели торрент-трекера Pirate Bay проиграли дело
17-04-2009 07:12
Компания Google представила русскую версию веб-редактора медийной рекламы
16-04-2009 10:47
Обнаружена фундаментальная уязвимость в MS SQL Server, MySQL и PostgreSQL
15-04-2009 16:17
Скончался создатель «Рамблера» Дмитрий Крюков
15-04-2009 16:14
Частные лица могут пользоваться корпоративными тарифами МТС
15-04-2009 16:09
LaCie Rugged XL: противоударный внешний винчестер на 1 Тб
14-04-2009 16:40
Рунет под глобальным DDoSом?
14-04-2009 16:18
Минкомсвязь ищет альтернативу «Связьинвесту»
14-04-2009 16:12
В сети «Одноклассники» введена плата за смайлики
14-04-2009 16:07
Новая версия офисного пакета Microsoft переедет в онлайн и станет бесплатной
Страницы: 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28
Сообщение
24-04-2009 17:51
Автор: nikedeforest
Mebroot — почти неуловимый вирус
Тысячи веб-сайтов не по своей волe оказались вовлечены в распространение новой, более изощренной версии известного руткита (rootkit) под кодовым названием Mebroot. Вирус распространяется через зараженные сайты с помощью известных уязвимостей в браузерах через механизм скрытой загрузки "drive-by", а затем скрывается в недрах загрузочного сектора на жестком диске ПК, причем обычные антивирусные сканеры его не обнаруживают.



Одно из первых сообщений о нахождении нового варианта Mebroot исходит от британской компании Prevx, которая занимается системами информационной безопасности. Первые разновидности этого вируса обнаружили в 2007 г. специалисты Symantec, которые и дали ему такое название. В отличие от традиционных руткитов, которые устанавливаются в систему под видом драйверов, новый вариант Mebroot скрывается глубоко в недрах системы Windows, и его очень сложно обнаружить.

  Вирус Mebroot перезаписывает на жестком диске ПК сектор MBR (Master Boot Record), который загружается в первую очередь при включении и загрузке Windows. Фактически, вирус становится невидимым для самой системы Windows и традиционных защитных программ. Кроме того, при попытке просканировать сектор MBR загруженный в память вирус подменяет данные и отдает защитным программам образ неповрежденного MBR.

  Каждый раз при загрузке операционной системы Mebroot внедряется в один из системных процессов Windows, находящихся в памяти. Как сообщили представители Prevx, вирус может встраиваться в процесс "svc.host". Это означает, что вирус ничего не записывает на жесткий диск, но может похищать информацию и передавать ее на внешние серверы по протоколу HTTP. Жак Эразмус (Jacques Erasmus), директор исследовательского подразделения Prevx, отметил, что утилиты для анализа сетевого трафика не могут обнаружить деятельность Mebroot, поскольку вирус хорошо маскирует передаваемую информацию внутри обычного трафика.

  Для заражения через взломанные сайты новая версия Mebroot использует скрытые окна IFrame, которые запускаются незаметно для пользователя, если не установлены обязательные обновления и исправления системы безопасности браузера. После заражения установка этих обновлений становится бесполезной – вирус захватывает полный контроль над системой.

  На данный момент специалисты многих антивирусных компаний работают над поиском средства для обнаружения и уничтожения новой разновидности опасного руткита, однако главной мерой безопасности остается своевременная установка всех обновлений и исправлений. Как заметил Эразмус, неизвестно, кто создал Mebroot, но судя по всему, его целью является заражениe как можно большего количества компьютеров.

  Дополнительную информацию о новой опасной разновидности руткита Mebroot можно почерпнуть из подробного описания вируса в блоге TrustDefender Labs.

  По непроверенным данным, если на зараженном Mebroot компьютере открыть редактор Блокнот, затем выполнить команду "Файл/Открыть" и подставить путь "c:WINDOWSTEMP g4sfay", в окне появятся пароли пользователя.

Источник: Information Security