Ромбертик

Rombertik — это шпионское ПО, предназначенное для кражи конфиденциальной информации у целей, использующих Internet Explorer, Firefox или Chrome, работающих на компьютерах под управлением Windows. ^[1] Впервые об этом сообщили исследователи из Cisco Talos Security and Intelligence Group.

Операция

Ромбертик использует несколько методов, которые затрудняют анализ или реверс-инжиниринг. Более 97% файла представляет собой ненужный код или данные, которые могут сбить с толку аналитиков. Он повторяет код сотни миллионов раз, чтобы задержать выполнение, и проверяет имена файлов и имена пользователей, используемые песочницами анализа вредоносных программ .

Если Rombertik обнаруживает изменение во времени компиляции или двоичном ресурсе в памяти, он пытается перезаписать главную загрузочную запись (MBR) на основном жестком диске. ^[2] MBR содержит код, необходимый для загрузки операционной системы, а также информацию о том, где на жестком диске хранятся разделы. Хотя данные пользователя остаются на жестком диске, операционная система не может получить к ним доступ без MBR. В некоторых случаях возможно восстановить данные с жесткого диска с модифицированной MBR. ^[3]

Если вредоносная программа не имеет необходимых разрешений для перезаписи MBR, она вместо этого шифрует каждый файл в домашнем каталоге жертвы. Этот метод шифрования каталогов похож на программы-вымогатели , но Rombertik не пытается вымогать деньги у своих жертв. Файлы, зашифрованные надежным ключом, практически невозможно восстановить. ^[4]

Ps установлен, он внедряет код в запущенные процессы Internet Explorer, Firefox и Chrome. Внедренный код перехватывает веб-данные до того, как они будут зашифрованы браузером, и пересылает их на удаленный сервер. ^[1]

Ссылки

^ Jump up to: ^а ^б «Обзор угроз: Ромбертик» . Блоги Cisco. 4 мая 2015 г.
^ «Самоуничтожающийся вирус убивает компьютеры» . Новости Би-би-си. 5 мая 2015 г.
^ «Концепции восстановления разделов» . Программное обеспечение для активного восстановления данных . Проверено 8 мая 2015 г.
^ Лемос, Роберт (13 июня 2008 г.). «Программы-вымогатели противостоят попыткам взлома криптовалюты» . БезопасностьФокус.

[Cisco_Blog-1] Jump up to: ^а ^б «Обзор угроз: Ромбертик» . Блоги Cisco. 4 мая 2015 г.

[BBC_News-2] «Самоуничтожающийся вирус убивает компьютеры» . Новости Би-би-си. 5 мая 2015 г.

[NTFS-3] «Концепции восстановления разделов» . Программное обеспечение для активного восстановления данных . Проверено 8 мая 2015 г.

[SecurityFocus-4] Лемос, Роберт (13 июня 2008 г.). «Программы-вымогатели противостоят попыткам взлома криптовалюты» . БезопасностьФокус.

[1]

[2]

[3]

[4]