Rootkit Trojan plundert 270.000 bankrekeningen
Eén bende cybercriminelen heeft de afgelopen twee en een half jaar meer dan 500.000 bankrekeningen en creditcards misbruikt, dat blijkt uit vandaag gepubliceerd onderzoek. Volgens de onderzoekers van RSA die de Sinowal Trojan onderzochten, zijn er zelden zoveel gestolen gegevens bij elkaar aangetroffen. Sinowal is specifiek ontwikkeld voor financiële fraude en werd vorig jaar onder andere tegen de Postbank ingezet. Sinds het begin van dit jaar kan het ook de bootsector van harde schijven infecteren, waardoor het zelfs na een herinstallatie van Windows het systeem weer kan besmetten.
Van de meer dan 500.000 gestolen gegevens ging het om 270.000 bankrekeningen en zo'n 240.000 creditcard en debitcardnummers en bijbehorende persoonlijke informatie. Onderzoekers vonden de data op verschillende webservers die de Sinowal-bende gebruikte. Het Trojaanse paard en de gevonden gegevens dateren van februari 2006. "Bijna drie jaar is een zeer lange tijd voor een online bende om met één Trojaans paard te werken", zegt Sean Brady van RSA. "Zelden komen we dit soort crimeware tegen die sinds 2006 continu persoonlijke en financiële gegevens steelt en verzamelt."
Tussen april en oktober van dit jaar ontdekten de onderzoekers elke maand tussen de 60 en 80 nieuwe varianten, die door de helft of zelfs twee derde van de virusscanners niet herkend werden. Inmiddels kan Sinowal van 2700 banken en e-commerce websites de gegevens stelen, waarbij het niet uitmaakt of het slachtoffer twee-factor authenticatie gebruikt. De malware verspreidt zich voornamelijk via ongepatchte beveiligingslekken in populaire software zoals Flash en QuickTime. De laatste zes maanden wist het Trojaanse paard meer dan 100.000 bankrekeningen te plunderen, wat waarschijnlijk het gevolg is van een groot aantal gehackte websites.
"Sinds het begin van dit jaar kan het ook de bootsector van harde schijven infecteren, waardoor het zelfs na een herinstallatie van Windows het systeem weer kan besmetten."
Indien ik met GPartEd die schijf helemaal herpartitioneer, persisteert het wormpje dan ook? Of moet ik apart ook de MBR wipen?
"Sinds het begin van dit jaar kan het ook de bootsector van harde schijven infecteren, waardoor het zelfs na een herinstallatie van Windows het systeem weer kan besmetten."
Indien ik met GPartEd die schijf helemaal herpartitioneer, persisteert het wormpje dan ook? Of moet ik apart ook de MBR wipen?
Voor zover ik kan vinden nestelt deze malware zich inderdaad in het MBR (Master Boot Record). Dit is de allereerste sector op elke harde schijf, en moet niet verward worden met de bootsector die zich aan het begin van elke partitie (ook van je C: schijf) bevindt.
Het MBR bestaat uit 2 delen: een stuk uitvoerbare code en de partitietabel (daarnaast zet windows er nog een semi-uniek serienummer in om meerdere schijven uit elkaar te kunnen houden). GPartEd zal zeker de tabel wijzigen maar of deze iets aan de code doet weet ik niet. De reden om dit niet te doen is dat er speciale code in zou kunnen staan van bootmanagers of tools die problemen tussen grote harddisks en oudere BIOS versies verhelpen (ik weet niet of het spul nog bestaat maar denk daarbij aan [url=http://www.ontrack.com/fujitsu/]Ontrack Diskmanager[/url] en vergelijkbare producten van HDD fabrikanten).
Persoonlijk zou ik altijd het MBR wissen (lees: 512 bytes met nullen overschrijven) en dan een partitioneertool (of diskmanager zoals boven beschreven) draaien. Sterker, ik zou de hele harddisk met nullen overschrijven. Dat voorkomt dat je, mocht je ooit een unerase tool gebruiken, ongewnste bestanden en/of (delen van) malware terughaalt, of zelfs hele partities.
Mocht je alleen het MBR willen wissen dan vond ik na wat Googlen [url=http://www.daniweb.com/forums/thread134861.html]hier[/url] een thread waarin naar een tooltje mbr.exe verwezen wordt waar je je MBR mee zou kunnen fixen. Ik heb er geen ervaring mee, gebruik op eigen risico.
die de code van het virus van een _sector_ van de HD laadt en daar na uitvoerd (meestal wordt die sector als "bad" gelabeld).
Partitionering alleen helpt dus niet. Ik ben er niet zeker van of formatering in alle gevallen ook een "bad" sector weghaald.
Waarschijnlijk niet.
bij een snelformat word je schijf niet geheel gewist, en bij een gewone format worden bad sectors overgeslagen dacht ik.
je hebt met oa partitionmagic een optie voor retest of reclaim bad sectors, hierbij worden bad sectors opnieuw getest en als ze goed zijn weer gewoon aan het volume toegevoegd, als je daarna een gewone format doet, geen snelformat, dan zou de bad sector weg zijn, en hetgene in die sector gewist zijn...
er zijn ook nog lowlevel formats enz mogelijk, wat ook alles geheel met nullen overschijft, maar heel lang kan duren
dus alle partities verwijderen,
dan fdisk /mbr,
retest bad sectors,
dan een gehele (zeer trage) format,
of lowlevel format...
het wissen van de mbr is niet genoeg in ieder geval.
(voor wie een dual boot met bv linux draait, je grub enz gaan ook in rook op als je de mbr wist, dus pas op)
Partitionering alleen helpt dus niet. Ik ben er niet zeker van of formatering in alle gevallen ook een "bad" sector weghaald.
Waarschijnlijk niet.
Wat je vwaarschijnlijk bedoelt is dat de code de sector verstopt, in elk geval voor software die van BIOS routines gebruik maakt. Overigens doen de diskmanagers die ik eerder beschreef dat ook, ze remappen de echte MBR waardoor je denkt naar een schone MBR te kijken terwijl je naar een sector verderop de schijf kijkt. Daarom is het verstandig om bij het met nullen overschrijven van de schijf een tool te gebruiken die niet van de BIOS gebruik maakt, maar de schijf direct benadert. De typische surface-check programma's die elke HDD fabrikant voor zijn schijven beschikbaar stelt kunnen dit.
Kan er nu eindelijk eens iemand een heldere en zekere manier van opschonen bedenken en ergens opstellen of neerzetten op het net, zodat ook de wat minder technische computergebruikers dit gemene probleem kunnen oplossen?
Een van mijn eigen computers is zeker besmet met dit virus en ik heb al tools als GMER en MBR gebruikt, maar het blijkt allemaal niet te werken...
...of is de Recovery Console toch de snelste en doeltreffendste manier?
Het wordt er allemaal niet duidelijker op hoe je dit moet aanpakken.
Wie voelt zich geroepen???
Alvast hartelijk bedankt!
InitDiskillegal partition table *
drive 00 sector 0
illegal partition table * drive 00 sector 0
illegal partition table * drive 00 sector 0
illegal partition table * drive 00 sector 0
Ik moet alles naar kaspersky opsturen want het is te ingewikkelt hier moet programeurs aan te pas komen werd mij gezegt.
Mischien heeft iemand anders een oplossing?
Mischien heeft iemand anders een oplossing?[/quote]
Waarschijnlijk is je bios gepatched door deze heren. Je zou eens kunnen proberen je bios te voorzien van een versie je op een andere pc gedownload hebt (liefst md5sum checked).
Jouw uitleg is uitvoerig, dat kan ik wel zien. Maar mijn vraag was in essentie hoe gaat een minder technische (of helemaal geen technisch) persoon dit nou adequaat oplossen? Is kennelijk niet mogelijk :-(
Erg jammer dat er nou altijd figuren bestaan die uit zijn op ellende, ergernissen, vernielingen en plunderen van andermans zuur verdiende geld, enz. enz...
De Recovery Console ook geprobeerd en de MBR overschreven. Niets baat............
Erg hardnekkig...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
