HDRoot bootkit door Winnti Groep Mimics Microsoft Net Command - Hoe, Technologie en PC Security Forum | SensorsTechForum.com

HDRoot bootkit door Winnti Groep Mimics Microsoft Net Command

Onderzoekers van Kaspersky Lab hebben onlangs een rapport gepubliceerd, gericht op een cyber-spionage campagne strategized door een hacker organisatie genaamd de Winnti groep. Winnti is het aanvallen van de ondernemingen in de online video game gebied sinds 2009. Het slechte nieuws is dat de groep is weer actief, deze keer gericht digitale certificaten door de grote software-aanbieders getekend bij diefstal van intellectuele eigendom uit te voeren. De broncode van verschillende game-projecten wordt ook bedreigd door het hacken team.

hdroot-rootkit Kaspersky STF

Image Source: Beveiligde Lijst

Welke instrumenten Winnti Employ?

Winnti 1.x en 2.x

Volgens Kaspersky, de groep is met behulp van een stuk van kwaadaardige code, die ook wordt genoemd Winnti. Onderzoekers hebben alle varianten van de functie onderverdeeld in twee generaties - 1.x en 2.x. Meer informatie over de oprichting en het gebruik van Winnti malware, je kunt lezen in de Winnti rapport hulpmiddel door SecureList.

HDRoot / HDD-Rootkit
De nieuwste bedreiging teruggevoerd naar Winnti groep HDRoot genoemd en is gebaseerd op een 2006 bootkit installer.

Wat is een bootkit?

Een bootkit is een boot-virus is ontworpen voor het aansluiten en patchen Windows, en vervolgens worden geladen in de Windows-kernel. Door deze kwaadaardige mogelijkheden, de bootkit krijgt onbeperkt toegang tot de machine. Omdat de Master Boot Record niet versleuteld, een bootkit kan vol volume encryptie voorkomen.

HDRoot wordt beschreven als 'een universeel platform voor een duurzame en aanhoudende verschijning in een gerichte systeem'. Wat is erger, het kan worden gebruikt als een steunpunt voor het instrument elke hacker.

HDRoot wordt gebruikt voor cyber-spionage en diefstal van intellectuele eigendom. Het werd ontdekt 'bij toeval' - als een voorbeeld van malware trok de aandacht van grote (Kaspersky Lab Global Research and Analysis Team). Wat geïntrigeerd de onderzoekers was:

  • De manier waarop dit specifieke malware stuk werd beschermd met een commerciële vmProtect Win64 uitvoerbare en ondertekend met een gecompromitteerde certificaat dat hoort bij een Chinese entiteit – Guangzhou YuanLuo Technology.
  • Het feit dat de malware werd vervalst om te kijken als een Microsoft Net Command net.exe.

HDRoot Schadelijke Mogelijkheden en Doelen

Die twee factoren die de malware sample heel achterdochtig. In een later stadium van de analyse, Kaspersky deskundigen bleek dat de HDRoot bootkit kunnen worden gebruikt om andere kwaadaardige instrumenten lanceren. Meer specifiek, twee soorten backdoor malware werden geïdentificeerd. Eén van hen kon de detectie te omzeilen door professionele anti-virus software in Zuid-Korea – AhnLab V3 Lite, AhnLab V3's 365 Kliniek en ESTsoft's ALYac. Vandaar, een conclusie werd bereikt - de Winnti team gebruikte de achterdeur om doelen in Zuid-Korea aan te vallen.

Kaspersky onderzoekers rekening houden met de kans dat de Winnti organisatie primaire belangen in Zuidoost-Azië. Sommige van zijn andere doelstellingen waarschijnlijk gelegen in Japan, China, Bangladesh en Indonesië. HDRoot infecties zijn ook gedetecteerd in het Verenigd Koninkrijk en Rusland.

winnti slachtoffers - securelist

Image Source: Beveiligde Lijst

De geografie van de doelstellingen is waarschijnlijk gerelateerd aan de Winnti aanvallers thuisland en hun interesse in de lokale software-entiteiten. Het kan zijn dat de hackers wilde toegang tot populaire lokale bedrijven te verkrijgen. Echter, de redenen waarom zij hadden (en nog steeds kan hebben) zijn nog niet helemaal duidelijk.

Onderzoekt ook de mogelijkheid dat de HDD-Rootkit is gemaakt door iemand die de Winnti groep zich beschouwen, nadat hij de Bookit had geschreven. Een ander scenario is dat de hackers gebruikte code van derden, die op de Chinese cyber zwarte markt beschikbaar was. Wat is meer, zodra Kaspersky de aanval van Winnti gespot en begon te analyseren, de groep nam onmiddellijk actie en aangepast. Het resultaat - een paar weken, een nieuwe variant van de bedreiging geïdentificeerd. De aanval is nog steeds actief.

Hoe zijn de Winnti / HDRoot Attacks Geïnitieerd?

Onderzoekers geloven dat de meeste aanvallen zijn begonnen met een phishing e-mail gestuurd naar een of meer mailboxen bedrijf. De e-mailberichten bevatten meestal kwaadaardige attachments in self-extracting of een gewone archief met een uitvoerbaar bestand. Exploitatie van zero-day kwetsbaarheden is niet waargenomen. Zodra het beoogde bedrijf is gepenetreerd, de Winnti groep uploadt een set van tools op de besmette computer en start het scannen van de netwerkbronnen.

Dan, ze escaleren privileges en zoek wat informatie is waardevol in het bijzonder bedrijf. Volgende, gestolen gegevens is exfiltrated in gecomprimeerde vorm aan één van Winnti de controle & command servers. Daartoe, een back-verbinding maken TCP-kanaal door een keten van TCP-proxy apps wordt gebruikt, zoals beschreven door onderzoekers.

Volgens de onderzoekers van Kaspersky Lab, hun producten met succes kan HDRoot blokkeren en bescherming van gebruikers.

***

Om te voorkomen dat misbruik door schadelijke software, behoud van een krachtige AV-oplossing.

Download

Malware Removal Tool


SpyHunter scanner vindt u alleen de dreiging. Als u wilt dat de bedreiging voor automatisch verwijderd, je nodig hebt om de volledige versie van de anti-malware gereedschap kopen.Ontdek meer over SpyHunter Anti-Malware Tool / Hoe te verwijderen SpyHunter

Milena Dimitrova

Een geïnspireerde schrijver, gericht op de privacy van gebruikers en kwaadaardige software. Geniet 'Mr. Robot 'en angsten' 1984 '.

Meer berichten - Website

Laat een bericht achter

Uw e-mailadres wordt niet gepubliceerd. Verplichte velden zijn gemarkeerd *

Termijn is uitgeput. Laad CAPTCHA.

Delen op Facebook Aandeel
Loading ...
Delen op Twitter Gekwetter
Loading ...
Delen op Google Plus Aandeel
Loading ...
Delen op Linkedin Aandeel
Loading ...
Delen op Digg Aandeel
Deel op Reddit Aandeel
Loading ...
Delen op StumbleUpon Aandeel
Loading ...