 Kapsersky Lab ostrzega przed nowym wielofunkcyjnym rootkitem stanowiącym poważne zagrożenie dla 32 i 64 bitowych systemów Windows.
Rootkit, o którym będzie mowa instaluje się przy pomocy innej aplikacji, która ściąga na komputer różne zagrożenia, w tym próbuje instalować fałszywe oprogramowanie antywirusowe dla systemu Mac OS X. Można by się dziwić po co ktoś próbuje poprzez aplikację Windowsową instalować coś na MACu. Otóż hakerzy powoli zaczynają się interesować możliwością tworzenia szkodników wieloplatformowych. I choć tutaj szkodnik by nie uruchomił tego antywirusa, to widać, że faktycznie takie próby są już podejmowane.
Sam rootkit jest o tyle ciekawy, że wykorzystuje specjalny podpis cyfrowy. "Sterownik 64-bitowy zawiera tzw. ‘testowy podpis cyfrowy’. W przypadku uruchomienia systemu Windows Vista lub Windows 7 w trybie ‘TESTSIGNING’, aplikacje mogą aktywować sterowniki zawierające taki podpis. Jest to funkcja, którą Microsoft pozostawił dla programistów, aby mogli oni bez przeszkód testować swoje sterowniki. Niestety, dzięki niej cyberprzestępcy mogą uruchamiać własne twory bez odpowiedniego podpisu", mówi Aleksander Gostiew, główny ekspert ds. bezpieczeństwa w Kaspersky Lab. "W wyniku tego, rootkit może uruchomić się, omijając mechanizmy ochrony wbudowane w 64-bitowe systemy Windows".
Do zarażenia może dojść poprzez odwiedzenie szkodliwej strony internetowej. Hakerzy stosują tutaj wiele luk znajdujących się w oprogramowaniu, w tym w Adobe Flash oraz Java JRE. Wykrywa on następnie wersję systemu operacyjnego i instaluje odpowiednią wersję.
Robak ten następnie blokuje wszelkie próby instalacji lub uruchomienia wielu popularnych programów antywirusowych oraz sprawia, że komputer staje się podatny na atak. Z kolei inny szkodnik w tym samym czasie próbuje pobrać i uruchomić kolejne zagrożenia, w tym opisywane oprogramowanie AV. Szkodniki te są wykrywane jako: Trojan-Downloader.Win32.Necurs.a oraz Rootkit.Win32.Necurs.a / Rootkit.Win64.Necurs.a
Z kolei fałszywy antywirus dla Mac OS X jest wykrywany jako Hoax.OSX.Defma.f i stanowi nowe zagrożenie dla tego systemu.
Źródło: Informacja prasowa Kaspersky Lab |
