Ongrijpbare rootkit besmet VBR harde schijf
Een variant van de beruchte TDL4-rootkit is nu ook in staat om de volume boot record (VBR) van de harde schijf te infecteren en is daarmee veel anti-virusbedrijven te slim af. Op een standaard harde schijf staat een Master Boot Record (MBR), die verschillende gegevens bevat over het soort en de locatie van de logische partities van de harde schijf.
De eerste sector van een partitie, waar de MBR naar wijst, wordt ook de volume boot sector, boot block of volume boot record (VBR) genoemd. In het verleden zijn verschillende rootkits ontdekt die de MBR besmetten.
Besmetting
Onlangs rapporteerde beveiligingsbedrijf Damballa dat een variant van de TDL4-rootkit zeker 250.000 computers had geïnfecteerd. Opmerkelijk genoeg wist het beveiligingsbedrijf geen exemplaren van de malware te vinden. Alleen aan de hand van netwerkanalyse werden de infecties vastgesteld.
"Als er geen exemplaren bestaan, en we hebben meer dan twee maanden geprobeerd om ze te vinden, zijn er geen signatures om de malware te blokkeren of potentieel geïnfecteerde machines te scannen", zo liet de beveiliger destijds weten.
Rootkit
Het Nederlandse anti-virusbedrijf SurfRight meldt dat het exemplaren van de mysterieuze rootkit in bezit heeft. Die zou zich inmiddels op grote schaal verspreiden. "Het probleem is dat de meeste commerciële anti-virusprogramma's geen ondersteuning hebben om de VBR te lezen. De meeste zijn ook al niet in staat om de MBR te scannen als de bedreiging actief is op het systeem. Dit komt omdat de rootkit volledige controle heeft over alles wat er op het systeem gebeurt, inclusief de virusscanner", zegt Mark Loman tegenover Security.nl.
De onderzoeker van SurfRight meldt op het eigen blog dat de malware daardoor een nog grotere uitdaging voor commerciële anti-virusprogramma's is. "Dit betekent dat commerciële anti-virusprogramma's deze malware niet kunnen detecteren, laat staan verwijderen."
In de Malware Prevalence Top 25 van het anti-virusbedrijf staat de TDL4-variant inmiddels op een tweede plek. Het gaat hier om scans van besmette systemen door Hitman Pro. Hoe de systemen met de malware besmet zijn geraakt is nog niet bekend.
Als een gebruiker die privileges niet heeft en het systeem qua patches up-to-date is, is de kans op deze besmetting minimaal: de aanvallers moeten dan kennis hebben van een unpatched privilege escalation vulnerability die is uit te voeren op het betreffende systeem, of ze moeten de gebruiker via social engineering overhalen admin privileges te verkrijgen (UAC), of ze moeten de gebruiker zover krijgen dat iemand met admin rechten het systeem "overneemt" en de malware uitvoert.
Is het niet mogelijk om bepaalde kritieke gebieden te immuniseren? Bijvoorbeeld de MBR. Je zou de virusscanner daarvoor kunnen gebruiken die als het ware de MBR zou kunnen 'gijzelen' waardoor hij read-only wordt totdat je de virusscanner groen licht geeft om de wijzigingen uit te voeren. Of bedenk ik nu iets geks?
http://www.security.nl/artikel/39232/1/Rootkit_omzeilt_Windows_8_Secure_Boot.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
