Российские антивирусные эксперты предупреждают о появилении троянца, заражающего BIOS
В руки экспертов вирусной лаборатории компании «Доктор Веб» попал экземпляр вредоносной программы, получившей название Trojan.Bioskit.1. В целом это стандартный по функционалу троянец, заражающий MBR (загрузочную область диска) и пытающийся скачать что-то из сети. После проведенного специалистами исследования оказалось, что в него также заложены механизмы, позволяющие заразить BIOS материнской платы компьютера.
» Нажмите, для открытия спойлера | Press to open the spoiler «
"Чем больше деталей функционирования этой вредоносной программы вскрывалось в процессе исследования, тем больше мы укреплялись во мнении, что это скорее экспериментальная разработка, нежели полноценная вредоносная программа, — либо она «утекла» раньше, чем этого хотелось бы автору", - говорят в компании.
Об этом, в частности, могут свидетельствовать следующие факты:
наличие проверки параметров командной строки (запуск данного экземпляра троянца с ключом -u излечивает систему);
использование сторонних утилит;
отключенный код дезактивации вируса через 50 дней;
присутствие двух разных вариантов заражения системных файлов (из которых используется только один);
ошибки в коде, выглядящие, как описки.
Но все эти обстоятельства нисколько не умаляют потенциальной опасности данного троянца, говорят в "Доктор Веб". В антивирусной компании говорят, что заражению могут подвергнуться только материнские платы, оборудованные BIOS производства компании Award.
Первоначально дроппер троянца Trojan.Bioskit.1 проверяет, запущены ли в операционной системе процессы нескольких китайских антивирусов: если таковые обнаруживаются, то троянец создает прозрачное диалоговое окно, из которого осуществляется вызов его главной функции. Затем Trojan.Bioskit.1 определяет версию операционной системы и в случае, если это Windows 2000 и выше (за исключением Windows Vista), продолжает заражение. Троянец проверяет состояние командной строки, из которой он может быть запущен с различными ключами:
-d — данный ключ не функционирует (вероятно, в «релизной сборке» эта функция была удалена);
-w — заразить систему (используется по умолчанию);
-u — вылечить систему (включая MBR и BIOS).
В ресурсах дроппера упаковано несколько файлов:
cbrom.exe
hook.rom
my.sys
flash.dll
bios.sys
В процессе своей работы дроппер распаковывает и сохраняет на жестком диске драйвер %windir%\system32\drivers\bios.sys. В случае если в системе есть устройство \\.\MyDeviceDriver (в исследуемом дроппере драйвера, реализующего такое устройство, нет), троянец сбрасывает на диск библиотеку %windir%\flash.dll и, вероятнее всего, последовательно пытается внедрить ее в системные процессы services.exe, svchost.exe и explorer.exe. Назначение данной библиотеки — запуск драйвера bios.sys штатными средствами (service control manager) с целью создания службы bios. При выгрузке библиотеки эта служба удаляется. В случае отсутствия устройства \\.\MyDeviceDriver троянец инсталлируется в систему путем перезаписывания системного драйвера beep.sys. После запуска beep.sys восстанавливается из предварительно созданной копии. Единственное исключение из этого правила сделано для ОС Microsoft Windows 7: в данной системе дроппер сбрасывает на диск библиотеку %windir%\flash.dll и сам же ее загружает.
Затем дроппер сохраняет в корне диска C: руткит-драйвер my.sys. Если драйвер bios.sys так и не удалось запустить или BIOS компьютера отличается от Award, троянец переходит к заражению MBR. На диск сбрасывается файл %temp%\hook.rom, который является полноценным модулем расширения (PCI Expansion ROM). Но на данном этапе он используется всего лишь как контейнер, из которого извлекаются данные для последующей записи на диск. После этого перезаписываются первые 14 секторов жесткого диска, включая MBR. Оригинальный MBR сохраняется в восьмом секторе.
Драйвер my.sys
По сегодняшним меркам это достаточно примитивный драйвер: он перехватывает у системного драйвера disk.sys обработчики IRP_MJ_READ, IRP_MJ_WRITE и IRP_MJ_DEVICE_CONTROL, при этом:
IRP_MJ_READ возвращает нули вместо первых 63 секторов винчестера;
IRP_MJ_WRITE не позволяет осуществлять запись в первые 63 сектора. При этом вирус пытается разрешить своему дропперу перезаписать MBR и прочие секторы, но из-за явной ошибки в коде уловка не срабатывает. Таким образом, автор троянца разрешает перезаписывать 0x14 (20) секторов, а дроппер пишет только 0xE (14);
IRP_MJ_DEVICE_CONTROL возвращает STATUS_UNSUCCESSFUL в ответ на запросы IOCTL_DISK_GET_DRIVE_LAYOUT_EX, IOCTL_STORAGE_GET_MEDIA_TYPES_EX и IOCTL_DISK_GET_DRIVE_GEOMETRY_EX.
Заражение BIOS
В ряде случае драйверу bios.sys удается опознать Award BIOS. Надо сказать, что именно наличие этого драйвера выделяет данную вредоносную программу из большого списка подобных троянцев, заражающих MBR. Упомянутый драйвер очень мал и обладает пугающим деструктивным потенциалом. В нем реализовано три метода:
Опознать Award BIOS (попутно определить размер его образа и, самое главное, I/O порта, через который можно программно заставить сгенерировать SMI (System Management Interrupt) и таким образом исполнить код в режиме SMM);
Сохранить образ BIOS на диск в файл С:\bios.bin;
Записать образ BIOS из файла С:\bios.bin.
Получить доступ и тем более перезаписать микросхему с BIOS — задача нетривиальная. Для этого сначала необходимо организовать взаимодействие с чипсетом материнской платы для разрешения доступа к чипу, затем нужно опознать сам чип и применить знакомый для него протокол стирания/записи данных. Но автор этой вредоносной программы пошел более легким путем, переложив все эти задачи на сам BIOS. Он воспользовался результатами работы китайского исследователя, известного под ником Icelord. Работа была проделана еще в 2007 году: тогда при анализе утилиты Winflash для Award BIOS был обнаружен простой способ перепрошивки микросхемы через сервис, предоставляемый самим BIOS в SMM (System Management Mode). Программный код SMM в SMRAM не виден операционной системе (если BIOS корректно написан, то доступ к этой памяти им заблокирован) и исполняется независимо от нее. Назначение данного кода весьма разнообразно: это эмуляция не реализованных аппаратно возможностей материнской платы, обработка аппаратных ошибок, управление режимами питания, сервисные функции и т.д.
Для модификации самого образа BIOS данная вредоносная программа использует утилиту cbrom.exe (от Phoenix Technologies), которую, как и все прочие файлы, несет у себя в ресурсах. При помощи этой утилиты троянец внедряет в образ свой модуль hook.rom в качестве ISA BIOS ROM. Затем Trojan.Bioskit.1 отдает своему драйверу команду перепрошить BIOS из обновленного файла.
При следующей перезагрузке компьютера в процессе инициализации BIOS будет вызывать все имеющиеся PCI Expansion ROM, в том числе и hook.rom. Вредоносный код из этого модуля каждый раз проверяет зараженность MBR и перезаражает ее в случае необходимости. Следует отметить, что наличие в системе Award BIOS вовсе не гарантирует заражение данным троянцем. Так, из трех проверенных в вирусной лаборатории материнских плат заразить удалось только одну, а в двух других в памяти BIOS банально не хватило места для записи нового модуля.
Заражение MBR
Троянец размещает в MBR код, основная задача которого — инфицировать файлы winlogon.exe (в операционных системах Windows 2000 и Windows XP) или wininit.exe (Windows 7). Для решения этой задачи Trojan.Bioskit.1 располагает собственным парсером NTFS/FAT32. Троянец ведет счетчик запусков, который обновляется раз в день. Через 50 дней предполагается дезактивация зараженного модуля: он будет изменен таким образом, что вирусный код перестанет получать управление. Но в данной версии троянца этот механизм отключен. Всего Trojan.Bioskit.1 включает две версии шелл-кода, из которых в настоящий момент активна только одна.
Заключение
Трудно недооценивать опасность подобного рода угроз, особенно с учетом того, что в будущем возможно появление более совершенных модификаций данной троянской программы либо вирусов, действующих по схожему алгоритму. В настоящий момент в антивирусное ПО Dr.Web добавлено детектирование и лечение MBR, системных файлов и файловых компонентов вируса. В случае если после детектирования и лечения данной угрозы система вновь оказывается инфицированной Trojan.Bioskit.1, источником заражения, скорее всего, является инфицированный BIOS компьютера.
Источник: _www.cybersecurity.ruПользователей подстерегает новый троянец, маскирующийся под оповещение от Microsoft
Антивирусная лаборатория PandaLabs компании Panda Security обнаружила новый троян-«вымогатель», показывающийся пользователю в виде оповещения Microsoft. Троян с названием Ransom.AN предупреждает пользователей о том, что их копия операционной системы Windows является незаконной, и угрожает заблокировать компьютер, если пользователь не введет специальный код, который можно получить за 100 евро.
» Нажмите, для открытия спойлера | Press to open the spoiler «
Вредоносное программное обеспечение ориентировано на немецкоязычных пользователей и распространяется разными способами, включая спам и P2P-загрузки. После предупреждения пользователя о незаконной копии операционной системы Windows жертве предлагается оплатить получение кода с помощью кредитной карты через сайт мошенников. Чтобы выудить у пользователей их банковские данные, Ransom.AN угрожает удалить всю информацию, хранящуюся на компьютере, в случае если платеж не будет произведен в течение 48 часов.
«Подобные трояны очень опасны: если компьютер заражён, то вирус чрезвычайно сложно удалить вручную, поэтому пользователи или оплачивают код, или переформатируют устройства, – говорит Луи Корронс, технический директор PandaLabs. – А поскольку Ransom.AN оповещает якобы от имени Microsoft и угрожает действиями со стороны властей, многие пользователи верят этому, и, испугавшись последствий, перечисляют деньги».
Источник: _www.cybersecurity.ru Cisco: киберпреступники переходят от количества к качеству
Вопросами качества заинтересовались киберпреступники, перешедшие от массовой рассылки спама к целенаправленным атакам, способным принести куда больший куш. Эта тенденция подробно описана в новом отчете компании Cisco по вопросам информационной безопасности. Отчет составлен по результатам глобального исследования, проведенного подразделением Cisco Security Intelligence Operations (SIO) в 50 странах.
» Нажмите, для открытия спойлера | Press to open the spoiler «
Исследование показало, что объемы спама падают. За период с июня 2010 по июнь 2011 года количество ежедневно передаваемых спам-сообщений сократилось с 300 млрд до 40 млрд. Наряду с этим за тот же период произошел трехкратный рост целенаправленных фишинг-атак (spearphishing) и четырехкратный рост мошеннических атак против конкретных лиц, а также заражений вредоносными программными кодами.
Атаки киберпреступников наносят большой ущерб: корпорации ежегодно терпят от них убытки в размере 1,29 млрд. долларов США. При этом атаки начинаются с малоприметных действий злоумышленников против конкретного человека или группы сотрудников. Для этого обычно используются вредоносные программные коды или устойчивые вредоносные системы долгосрочного действия, рассчитанные на то, чтобы в течение определенного времени постепенно добыть нужные киберпреступникам данные. К примеру, атака, обнаруженная службой Cisco SIO в начале текущего года, состояла в том, что высшим руководителям одной крупной корпорации было отправлено некое сообщение. Отправитель был неизвестен, но сообщение поступило с легального (но зараженного) сервера из Австралии. В сообщении содержалась ссылка на опять-таки легальный, но зараженный юридический блог. При нажатии на эту ссылку браузер пользователя направлялся на ранее неизвестный экземпляр хакерского средства Phoenix, которое устанавливало на пользовательский компьютер троян ZeuS.
Другой пример целенаправленной атаки - распространение печально известного червя Stuxnet, способного серьезно нарушить работоспособность промышленных компьютерных систем. По некоторым сведениям, этот червь притормозил реализацию иранской ядерной программы. Stuxnet и его клоны, которые могут появиться в будущем, особенно коварны, так как могут передаваться по несетевым системам и подвергать опасности даже те ресурсы, которые не подключены к Интернету и другим сетям.
Даже в тех случаях, когда киберпреступники организуют целенаправленную атаку на десяток руководителей крупной компании (в отличие от грубой массовой рассылки спама), они обычно сосредоточивают усилия на ком-то одном в надежде получить максимальную прибыль. Средняя окупаемость целенаправленной атаки может в 40 раз превысить окупаемость массовых рассылок, если жертва имеет доступ к корпоративным банковским счетам.
Кроме того, каждая атака наносит компании репутационный ущерб, ведущий к потере бизнеса и снижению курса акций. По данным Cisco SIO, в среднем репутационный ущерб составляет 1.900 долларов на каждую взломанную пользовательскую систему, в 6,4 раза превышая прямые финансовые потери.
Cisco предпринимает превентивные действия по борьбе с целенаправленными атаками, используя для этого информацию об угрозах, поступающую в реальном времени из Cisco SIO. Эта самая крупная в мире «облачная» экосистема информационной безопасности использует базу данных SensorBase, куда поступает информация от миллиона работающих решений Cisco для электронной почты, веб-сервисов, межсетевых экранов и систем предотвращения вторжений. Собранные данные Cisco SIO анализирует и обрабатывает, автоматически классифицируя угрозы и создавая правила на основании более двухсот параметров. Кроме того, специалисты по информационной безопасности принимают и передают информацию об угрозах, способных принести наибольший ущерб сетям, приложениям и устройствам. Правила предотвращения угроз передаются на устройства безопасности Cisco в динамическом режиме в течение 3-5 минут.
При этом, в компании говорят, что ни одна система не способна работать со 100-процентной надежностью, но в условиях нарастающих целевых атак ИТ-директора и специалисты, приобретающие средства информационной безопасности, ни на секунду не должны забывать о полномасштабных решениях, работающих в реальном времени.
Источник: _www.cybersecurity.ru