Il Rootkit Che Infetta Il BIOS: Mebromi

L'idea di inserire del codice dannoso all'interno del BIOS(che fornisce una serie di funzioni di base per l'accesso all'hardware e alle periferiche integrate nella scheda madre da parte del sistema operativo)non è nuova.
Nel 1998, il virus Chernobyl aveva come peculiarità proprio quella di tentare la modifica del contenuto del BIOS: tale malware, tuttavia, aveva però soltanto un effetto distruttivo.
Il BIOS, infatti, veniva in quel caso completamente sovrascritto ed il computer non era così più in grado di avviarsi normalmente.

Diverso l'approccio utilizzato dalla minaccia da poco rilevata in Rete(simile al Malware IceLord del 2007).

"Mebromi", questo il nome del malware, una volta andato in esecuzione sul sistema dell'utente-vittima, provvede innanzi tutto a controllare che sul computer sia utilizzato un Award BIOS. In caso affermativo, ricorre al comando CBROM per "estendere" le funzionalità del BIOS agganciandovi delle routine maligne.
Non appena il personal computer verrà riavviato, il codice malevolo inserito all'interno del BIOS provvederà a modificare il contenuto del "Master Boot Record" (MBR) del disco fisso in modo tale da infettare alcuni processi necessari per il funzionamento di Windows 2000, Windows XP e Windows Server 2003.
Al successivo riavvio di Windows, il malware scaricherà un componente rootkit per prevenire il ripristino del corretto contenuto del master boot record da parte, ad esempio, di un software antivirus.
"Mebromi", però, sopravviverà anche se il disco fisso del sistema infetto venisse completamente ripulito attraverso l'eliminazione del rootkit, il ripristino dei file di Windows e del contenuto del MBR. Il malware, infatti, riesce a garantirsi una puntuale esecuzione ad ogni avvio del sistema proprio grazie al fatto di essersi insediato all'interno del BIOS.
Per lo stesso motivo, "Mebromi riuscirebbe a riattivarsi anche nel caso di sostituzione del disco fisso.

Come Funziona Il Rootkit Mebroot

In circolazione dal 2006 Mebroot(anche noto come “Sinowal” o “Torpig”) è stato capace di collezionare qualcosa come più di 270mila credenziali di account bancari online e circa 240mila numeri di carte di credito. Prendendo di mira le macchine basate su sistemi operativi Windows, rivela il FraudAction Research Lab di RSA, il malware ha permesso a una singola gang del cyber-crimine di agire indisturbata per anni con una costanza che solo raramente è stato possibile osservare in altre occasioni.
La caratteristica “vincente” del malware è quella di essere totalmente invisibile al sistema ospite colpito dall’infezione: non solo Mebroot si inietta nel Master Boot Record(il settore zero dell’hard disk, seguito prima ancora di qualsiasi sistema operativo Windows, Linux o quant’altro) per garantirsi l’avvio a ogni sessione, ma arriva al punto di non modificare in alcun modo i file o i settori della partizione su cui l’OS colpito risiede, copiando invece il corpo principale del proprio codice in settori e tracce del disco inutilizzati.

Come Funziona Il Rootkit Rustock B

Rustock B è un virus della tipologia rootkit conosciuto con il nome di Spam-Mailbot.c .

Non ha sintomi rilevanti ed è quindi di difficile individuazione,nato come Trojan backdoor é stato studiato appositamente affinché il soggetto infettato non si renda conto di nulla e permetta all'ideatore del malware di utilizzare la macchina infettata a suo piacimento all'insaputa dell'utente.

-Una volta installato Rustock và ad effettuare una modifica al registro di sistema, inserendo la chiave HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\pe386 affinché il file lzx32.sys possa essere caricato ad ogni avvio del sistema operativo,quindi è possibile constatare la presenza di questo trojan virus grazie all’identificazione di questa chiave di registro.
-Per mascherare la sua attività utilizzando avanzate tecniche di rootkit e virus stealth,tenta di nascondersi dalle applicazioni che contengono le stringhe RootkitRevealer,BlackLight,Rkdetector, gmer.exe,endoscope.EXE,DarkSpy & Anti-Rootkit.
-Mantiene memorizzate le informazioni in un file temporaneo:
C:\Windows\TEMP\[NOME_CASUALE].tmp.log in Microsoft Windows 95/98/Me/XP
C:\WINNT\Temp\[NOME_CASUALE]. in Windows NT/2000
-Altera il corretto funzionamento di alcuni file di sistema utilizzati per la comunicazione di rete, riuscendo a bypassare i firewall e manipola i pacchetti.I file di sintema che infetta sono tcpip.sys,wanarp.ss , ndis.sys
-Utilizza tecniche di hijack per modificare la navigazione degli utenti che inviano query a google del tipo:
www.google.com/search?hl=en&q=[KEYWORDS]
-Prova a contattare l’host: 208.66.194.14/index.php?page=main
-Può anche essere utilizzato per inviare spam.