Компания «Лаборатория Касперского» провела детальный анализ работы нового варианта уникального MBR-руткита, известного под названием Sinowal.
Схема работы инсталлятора буткита: вредоносный код после попадания на компьютер изменяет MBR, записывает руткит-части в секторы диска, извлекает из себя и устанавливает бэкдор в Windows и после этого самоудаляется (блок-схема «Лаборатории Касперского»).
Новая модификация Sinowal скрывает свое присутствие на компьютере за счет заражения главной загрузочной записи (MBR, Master Boot Record) жесткого диска. При этом, как отмечают эксперты, вредоносная программа использует гораздо более сложный способ внедрения, нежели предыдущие варианты: буткит применяет перехваты на уровне объектов устройств — самом «глубоком» уровне работы операционной системы. «Лаборатория Касперского» подчеркивает, что никогда ранее злоумышленники не обращались к таким продвинутым технологиям. Из-за этого ни один из существовавших антивирусных продуктов на момент начала распространения новой модификации Sinowal не был в состоянии не только вылечить пораженные компьютеры, но и даже обнаружить проблему.
Появление опасного буткита было зафиксировано еще в конце марта, и на протяжении прошлого месяца программа активно распространялась с ряда вредоносных сайтов. После проникновения в систему Sinowal обеспечивает скрытое функционирование основного модуля, главная задача которого — кража персональных пользовательских данных.
«Лаборатория Касперского» отмечает, что разработка процедур обнаружения и устранения буткита Sinowal стала наиболее сложной задачей из всех, с которыми приходилось сталкиваться специалистам антивирусной индустрии на протяжении нескольких лет. Функции детектирования и удаления буткита с компьютера уже реализованы в продуктах компании.