Windows-rootkit verstopt zich diep in NTFS
Een variant van de beruchte ZeroAccess Trojan voor Windows gebruikt een nieuwe truc om zich te verstoppen. ZeroAccess kan de browser naar andere websites doorsturen en aanvullende malware downloaden. De nieuwste verstopt zich in het Extended Attribute van een NTFS-record. Volgens het Nederlandse beveiligingsbedrijf Surfright een geheel nieuwe manier voor rootkits om zich te verbergen.
Daarmee weet de rootkit virusscanners te omzeilen, aangezien de beveiligingssoftware het Extended Attribute niet scant, omdat het zich diep binnen het NTFS bestandssysteem bevindt. Het Extended Attribuut is alleen via speciale forensische tools te lezen, zoals WinHex.
Code
Inmiddels zijn zowel besmette Windows 7 als Vista systemen ontdekt, zowel 32-bit als 64-bit. Waarom er geen Windows XP-infecties zijn aangetroffen is onduidelijk, aangezien er geen technische reden is waarom de malware niet op dit besturingssysteem zou werken. Onderzoekers ontdekten verder dat zowel de 32-bit als 64-bit code van de rootkits zijn samengevoegd, waardoor de makers die eenvoudiger kunnen beheren en verbeteren.
"De nieuwste verschijning van ZeroAccess heeft succesvol de 32-bit en 64-bit code in een nieuwe variant samengevoegd, die zowel lastig te detecteren als lastig te verwijderen is", aldus Surfright. Het bedrijf laat tegenover Security.nl weten dat het de afgelopen drie weken ruim 3.000 met de nieuwe ZeroAccess besmette pc's heeft gevonden.
Daarmee weet de rootkit virusscanners te omzeilen, aangezien de beveiligingssoftware het Extended Attribute niet scant, omdat het zich diep binnen het HTFS bestandssysteem bevindt. Het Extended Attribuut is alleen via speciale forensische tools te lezen, zoals WinHex.
" HitmanPro must use all its techniques to detect and remove all pieces of this new ZeroAccess variant."
http://hitmanpro.wordpress.com/2012/06/25/zeroaccess-from-rootkit-to-nasty-infection/
http://www.f-secure.com/v-descs/rootkit_w32_zaccess.shtml
En F-Secure geeft aan de F-Secure Rescue CD te gebruiken voor desinfectie, lees ik.
Of het daarmee ook de recente ZeroAccess versie aankan, dat wordt daarmee echter niet duidelijk.
SurfRight geeft onder meer aan,
" ZeroAccess (also known as Sirefef, Maxplus or Smiscer) changed its way of working a few times and recently it evolved from a rootkit into a user mode virus.
[...] a new and novel way of hiding malicious payload making ZeroAccess invisible to most antivirus products.
[...] this trick is entirely new [...]
[...] new variant which is both hard to detect and hard to remove.
http://hitmanpro.wordpress.com/2012/06/25/zeroaccess-from-rootkit-to-nasty-infection/
"invisible to most antivirus products", maar gelukkig niet voor alle.
Ik hoop dat zoveel mogelijk producten er wél raad mee weten, maar dat een antivirus product een eerdere variant de baas was, is jammer genoeg geen garantie dat het ook de nieuwe variatie de baas is.
Zie ook:
http://en.wikipedia.org/wiki/Extended_file_attributes#Windows_NT
De moeilijkheid van deze nieuwe variant is dat je services.exe moet overschrijven met een origineel exemplaar terwijl Windows actief is. Je kunt natuurlijk een Rescue CD gebruiken maar dat is voor de doorsnee computergebruiker erg moeilijk (stel de BIOS maar eens in om te booten van CD). HitmanPro heeft een eigen NTFS parser en overschrijft het services.exe bestand sector-voor-sector, op miniport niveau.
Werkt de move-file, write-new-file, overwrite file, truuk niet? Voor WGA is dit de methode die ik bij voorkeur toepas. Hoewel het misschien in het midden licht in hoeverre dat malware is. Maar in dit voorbeeld is het de bestandsnaam die beschermd is tegen aanpassingen, als het evil_service.exe heet is het ineens geen probleem meer. Ik neem aan dat de beveiliging van services.exe ongeveer hetzelfde werkt?
(P.S. Nee, ik weet niet veel van windows, dus geloof correcties voor je mij gelooft)
http://www.windowsecurity.com/articles/alternate_data_streams.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
