Windows-rootkit verstopt zich diep in NTFS
Een variant van de beruchte ZeroAccess Trojan voor Windows gebruikt een nieuwe truc om zich te verstoppen. ZeroAccess kan de browser naar andere websites doorsturen en aanvullende malware downloaden. De nieuwste verstopt zich in het Extended Attribute van een NTFS-record. Volgens het Nederlandse beveiligingsbedrijf Surfright een geheel nieuwe manier voor rootkits om zich te verbergen.
Daarmee weet de rootkit virusscanners te omzeilen, aangezien de beveiligingssoftware het Extended Attribute niet scant, omdat het zich diep binnen het NTFS bestandssysteem bevindt. Het Extended Attribuut is alleen via speciale forensische tools te lezen, zoals WinHex.
Code
Inmiddels zijn zowel besmette Windows 7 als Vista systemen ontdekt, zowel 32-bit als 64-bit. Waarom er geen Windows XP-infecties zijn aangetroffen is onduidelijk, aangezien er geen technische reden is waarom de malware niet op dit besturingssysteem zou werken. Onderzoekers ontdekten verder dat zowel de 32-bit als 64-bit code van de rootkits zijn samengevoegd, waardoor de makers die eenvoudiger kunnen beheren en verbeteren.
"De nieuwste verschijning van ZeroAccess heeft succesvol de 32-bit en 64-bit code in een nieuwe variant samengevoegd, die zowel lastig te detecteren als lastig te verwijderen is", aldus Surfright. Het bedrijf laat tegenover Security.nl weten dat het de afgelopen drie weken ruim 3.000 met de nieuwe ZeroAccess besmette pc's heeft gevonden.
Daarmee weet de rootkit virusscanners te omzeilen, aangezien de beveiligingssoftware het Extended Attribute niet scant, omdat het zich diep binnen het HTFS bestandssysteem bevindt. Het Extended Attribuut is alleen via speciale forensische tools te lezen, zoals WinHex.
" HitmanPro must use all its techniques to detect and remove all pieces of this new ZeroAccess variant."
http://hitmanpro.wordpress.com/2012/06/25/zeroaccess-from-rootkit-to-nasty-infection/
http://www.f-secure.com/v-descs/rootkit_w32_zaccess.shtml
En F-Secure geeft aan de F-Secure Rescue CD te gebruiken voor desinfectie, lees ik.
Of het daarmee ook de recente ZeroAccess versie aankan, dat wordt daarmee echter niet duidelijk.
SurfRight geeft onder meer aan,
" ZeroAccess (also known as Sirefef, Maxplus or Smiscer) changed its way of working a few times and recently it evolved from a rootkit into a user mode virus.
[...] a new and novel way of hiding malicious payload making ZeroAccess invisible to most antivirus products.
[...] this trick is entirely new [...]
[...] new variant which is both hard to detect and hard to remove.
http://hitmanpro.wordpress.com/2012/06/25/zeroaccess-from-rootkit-to-nasty-infection/
"invisible to most antivirus products", maar gelukkig niet voor alle.
Ik hoop dat zoveel mogelijk producten er wél raad mee weten, maar dat een antivirus product een eerdere variant de baas was, is jammer genoeg geen garantie dat het ook de nieuwe variatie de baas is.
Zie ook:
http://en.wikipedia.org/wiki/Extended_file_attributes#Windows_NT
De moeilijkheid van deze nieuwe variant is dat je services.exe moet overschrijven met een origineel exemplaar terwijl Windows actief is. Je kunt natuurlijk een Rescue CD gebruiken maar dat is voor de doorsnee computergebruiker erg moeilijk (stel de BIOS maar eens in om te booten van CD). HitmanPro heeft een eigen NTFS parser en overschrijft het services.exe bestand sector-voor-sector, op miniport niveau.
Werkt de move-file, write-new-file, overwrite file, truuk niet? Voor WGA is dit de methode die ik bij voorkeur toepas. Hoewel het misschien in het midden licht in hoeverre dat malware is. Maar in dit voorbeeld is het de bestandsnaam die beschermd is tegen aanpassingen, als het evil_service.exe heet is het ineens geen probleem meer. Ik neem aan dat de beveiliging van services.exe ongeveer hetzelfde werkt?
(P.S. Nee, ik weet niet veel van windows, dus geloof correcties voor je mij gelooft)
http://www.windowsecurity.com/articles/alternate_data_streams.html
Deze posting is gelocked. Reageren is niet meer mogelijk.
Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime
Ben jij er klaar voor om de leiding te nemen in het bevorderen van de regionale samen-werking in de strijd tegen gedigitaliseerde criminaliteit en cybercrime? Samen met collega's, politie en regionale en landelijke partners? Dan is de dynamische rol van Ketenregisseur Gedigitaliseerde Criminaliteit en Cybercrime bij het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) jouw op het lijf geschreven!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.