MBR rootkit blijft plaag voor harde schijven
De afgelopen weken was de TDL3 rootkit regelmatig in het nieuws, maar een andere beruchte rootkit is nog steeds zeer actief en infecteert talloze harde schijven. De MBR rootkit, ook bekend als Mebroot en Torpig, werd onlangs nog door anti-virusbedrijf PrevX op honderden systemen aangetroffen. "Een indrukwekkend aantal dat laat zien hoe actief de dreiging is", zegt Marco Giuliani van PrevX. De malware verspreidt zich voornamelijk via gehackte websites.
Routine
De rootkit is de afgelopen maanden verder ontwikkeld en voorzien van allerlei manieren om zichzelf tegen verwijdering door virusscanners te beschermen. Sommige virusscanners herstarten het systeem meteen na het schoonmaken van de Master Boot Record. Hiervoor crashen ze het systeem via een specifieke "bugcheck". De virusschrijvers hebben nu een routine ontwikkeld, die de rootkit waarschuwt als de bugcheck is aangeroepen. Zodoende kan de rootkit de code naar de Master Boot Record schrijven voordat het systeem wordt herstart.
Gebruikers die willen weten of ze met de rootkit besmet zijn, moeten volgens de virusbestrijder zoeken naar een bestand dat met "$$$" begint en zich in de Temp directory van Windows verbergt.
Zo makkelijk is het dus niet voor een gebruiker.
Een virusscanner maakt de MBR eerst schoon, maar opeens kan de Rootkit gewaarschuwd worden dat de bugcheck wordt aangeroepen?
als je de functie bugcheck() weet om te leiden naar infectmbr() die zn werk doet en vervolgens de originele functie bugcheck() aanroept, is dat niet zo'n probleem
Een virusscanner maakt de MBR eerst schoon, maar opeens kan de Rootkit gewaarschuwd worden dat de bugcheck wordt aangeroepen?
http://www.gmer.net/
Het enige programma dat dit kon was het gratis RegSeeker. (!) op mode automatisch herstel. Dat is nogal bevreemdend ja, omdat het een registerscanner is! Pas hierna lukte het mij middels dosopdrachten attrib -s -h -r *.* en dan del a*.inf en del cp*.exe die rotdingen eraf te krijgen omdat ze het systeem erg vertraagden met onzichtbaar zoekwerk.
Bijkomend voordeel is dat er ook nog een NL-taalmodule en een tweaker opzit waarmee het mij eindelijk ook nog lukte om al die rare Microsoftspelletjes uit bedrijfscomputers eruit te halen: dat scheelt een bedrijf duizenden euro's/jaar!
Ik meen met deze tip anderen met ditzelfde probleem hiermee geholpen te hebben.
Het betalen van het programma doe je door te bidden voor de mooie vrouw van de ontwikkelaar van RegSeeker, tenminste dat vraagt 'ie van je.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
