Melden Sie sich hier an, um auf Kommentare und die Whitepaper-Datenbank zugreifen zu können.

Kein Log-In? Dann jetzt kostenlos registrieren.

Falls Sie Ihr Passwort vergessen haben, können Sie es hier per E-Mail anfordern.

Der Zugang zur Reseller Only!-Community ist registrierten Fachhändlern, Systemhäusern und Dienstleistern vorbehalten.

Registrieren Sie sich hier, um Zugang zu diesem Bereich zu beantragen. Die Freigabe Ihres Zugangs erfolgt nach Prüfung Ihrer Anmeldung durch die Redaktion.

07.05.2015 - 

Rombertik-Schadsoftware

Gefährliche Malware macht Rechner unbrauchbar

Bernhard Haluschak ist als Redakteur bei der IDG Business Media GmbH tätig. Der Dipl. Ing. FH der Elektrotechnik / Informationsverarbeitung blickt auf langjährige Erfahrungen im Server-, Storage- und Netzwerk-Umfeld und im Bereich neuer Technologien zurück. Vor seiner Fachredakteurslaufbahn arbeitete er in Entwicklungslabors, in der Qualitätssicherung sowie als Laboringenieur in namhaften Unternehmen.
Die Sicherheitsexperten von Cisco haben eine neue Malware identifiziert, die Computersystem angreift und diese für den Anwender unbrauchbar macht. Besonders heimtückisch ist die Software deshalb, da sie sich jeglicher Analyse durch einen Selbstzerstörungsmechanismus entzieht.

Die Security-Experten Ben Baker und Alex Chiu aus derTalos Security Intelligence & Research Group von Cisco haben eine neuartige und besonders gefährliche Malware, die den Namen Rombertik führt, gefunden. Das Schadprogramm wurde in erster Linie dazu konzipiert, um Tastatureingaben zu protokollieren, Dateien auf dem Computer zu stehlen und Phishing-Angriffe unter Windows zu erleichtern, so die Talos-Experten.

Sie ist besonders hinterhältig, weil sie den Master Boot Record (MBR) und das Home-Verzeichnis eines Rechners zerstört, wenn es durch Analysewerkzeuge entdeckt wird. Dabei entwickelt das Schadprogramm eine gewisse Eigenintelligenz. Bevor es seine eigentliche Aufgabe ausführt, untersucht die Malware, ob Analysesoftware aktiv ist. Wird ein Analysewerkzeug entdeckt, so versucht das Schadprogramm zuerst den MBR der PhysicalDisk0 mit Null-Werten zu überschreiben und so den System-Boot zu verhindern. Gelingt dies nicht, verschlüsselt der Schädling die Dateien des Home-Verzeichnisses mit einem zufälligen RC4-Schlüssel. Die Daten können dann nicht mehr vom Anwender gelesen werden und sind somit unbrauchbar. Eine Wiederherstellung der Dateninhalt ist nicht möglich.

Das Bild zeigt, wie die Schadsoftware Rombertik ein Rechnersystem Schritt-für-Schritt kompromittiert.
Das Bild zeigt, wie die Schadsoftware Rombertik ein Rechnersystem Schritt-für-Schritt kompromittiert.
Foto: Talos/Cisco

Laut den Sicherheitsexperten gehört Rombertik zu einer neuen Art von Malware, die besonders widerstandsfähig gegen jegliche Art von Analyse- und Debugging-Software ist. Auch neuartige Sandbox-Verfahren erkennt das Schadtool und leitet Gegenmaßnahmen ein, in dem es einen enormen Datenmüll produziert und so eine Untersuchung erschwert.

Um eine Infizierung mir der Schadsoftware zu vermeiden, empfehlen die Talos-Experten vorsichtig mit E-Mail-Anhängen aus unbekannten Quellen umzugehen. Zusätzlich sollte der Anwender eine aktuelle Anti-Virus-Software sowie alle sicherheitsrelevanten Betriebssystem-Updates installiert haben. Weitere detaillierte Informationen über die Rombertik-Malware können Sie auf dem Cisco-Talos-Security-Blog nachlesen. (hal)

Newsletter 'Produkte & Technologien' bestellen!
 

Dirk Haar

Typos:
Teaser: Computersystem*e*
2. Absatz Dateninhalt*e*

Gefunden wurde der Virus in Email-Anhängen,
genauer in einer ".gz"-gepackten, selbstextrahierenden Datei (ca.600kb).

Diese enhält jede Menge (~97%) "Füllstoff", um die eigentliche, als kleine Screensaver (.SCR)-Datei getarnte Schadsoftware zu vertuschen..
Ein Doppelklick auf das Archiv startet indes den Virus.

Die Ausführungen belegen, dass es sich um Windows-User als Ziel handelt.

calli

Frage dazu:
1) Kann der Rombertik den MBR auch ändern, wenn man nicht als Administrator am PC arbeitet und den mail Anhang öffnet?

2) Wie ist das unter Linux?

comments powered by Disqus