Lue uutinen mobiilisivustolla

Uusi näkymätön uhka tietokoneita vastaan

Kuva: Ville Myllynen / Lehtikuva

11.1.2008 10:39 (päivitetty 10:53) Panda Securityn viruslaboratorio PandaLabs on tunnistanut useita rootkiteja (MBRtool.A, MBRtool.B, MBRtool.C) sisältäviä troijalaisia.

Rootkitit on suunniteltu vaihtamaan pääkäynnistyslohko (master boot record), eli kovalevyn ensimmäinen tai nollasektori, omaansa. Tämä on uusi tapa hyödyntää rootkiteja. Niihin liittyviä haittakoodeja on entistä vaikeampi tunnistaa.

- Tämä hyökkäystapa aiheuttaa sen, että rootkitien ja niiden piilottamien haitallisten koodien tunnistaminen on lähes mahdotonta sen jälkeen kun ne ovat asentuneet tietokoneelle, sanoo Luis Corrons, PandaLabsin johtaja.

- Ainoa tapa puolustautua on tunnistaa rootkitit ennen kuin ne pääsevät koneelle. Jos vastaavia haitallisia koodeja ilmaantuu jatkossakin, on olennaista käyttää proaktiivisia suojaustekniikoita, jotka voivat tunnistaa myös tuntemattomat uhkat.

Rikolliset hyödyntävät rootkiteja piilottaakseen haittaohjelmien toiminnot, jolloin ne ovat hankalia tunnistaa. Tähän asti rootkitit on asennettu järjestelmäprosesseihin, mutta PandaLabsin nyt tunnistamat rootkitit asennetaan sellaiselle kovalevyn osiolle joka käynnistyy jo ennen käyttöjärjestelmää.

Kun tällainen rootkit käynnistyy, se tekee kopion olemassa olevasta pääkäynnistyslohkosta, ja muokkaa sitä haitallisiin tarkoitusperiin sopivaksi. Jos pääkäynnistyslohkoon yritetään päästä käsiksi, rootkit ohjaa edelleen alkuperäiseen versioon, jolloin käyttäjä tai sovellukset eivät huomaa mitään epäilyttävää.

Kun tietokone käynnistetään, muokattu pääkäynnistyslohko käynnistyy ennen kuin käyttöjärjestelmä on latautunut. Sillä hetkellä rootkit suorittaa loput koodistaan, jolloin se voi piilottaa itsensä ja siihen liittyvän haittakoodin täydellisesti.
 
Tähän saakka rootkiteja on käytetty piilottamaan sovelluslaajennuksia tai prosesseja, mutta nyt löydetyt versiot voivat huijata järjestelmää suoraan. Sijainnin ansiosta käyttäjät eivät huomaa mitään poikkeavaa järjestelmän prosesseissa, sillä muistiin ladattu rootkit monitoroi pääsyä levylle taatakseen haittaohjelmien huomaamattomuuden.

Pandan mukaan käyttäjien on hyvä suojautua tätä uudentyyppistä uhkaa vastaan. Erityisesti kannattaa jättää tuntemattomilta tahoilta tulevat tiedostot avaamatta.

Tämän haittakoodin poistamiseksi käyttäjien tulee käynnistää kone käynnistys cd:n kanssa. Tällöin pääkäynnistyslohkoa ei käynnistetä. Sen jälkeen pääkäynnistyslohko palautetaan esimerkiksi fixmbr:n avulla Windowsin Recovery Consolen kautta.

- Nämä rootkitit toimivat myös muilla alustoilla, kuten Linuxilla, sillä niiden toiminta on riippumatonta siitä, mikä käyttöjärjestelmä koneelle on asennettuna, lisää Corrons.  

Kalevi Nikulainen toimitus@digitoday.fi

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kirjoita kommentti

Kommentit (30)

0

0

Panda Securityn viruslaboratorio PandaLabs on tunnistanut useita rootkiteja (MBRtool.A, MBRtool.B, MBRtool.C) sisältäviä troijalaisia.

Digitoday

Lainaa Ilmoita asiaton viesti

# 11.1.2008 10:59

1

0

Tjaah. Mutta eikös BIOSseissa ole jo pitkään ollut mahdollisuus estää MBR:n ylikirjoittaminen? Toisin sanoen käyttiksen asennuksen jälkeen MBR:n suojaus BIOSsista päälle, ja olemme turvassa ko. viruksilta?

bio(s)hazard

Lainaa Ilmoita asiaton viesti

# 11.1.2008 10:59

1

0

 

Onko unix ihattuna?

Lainaa Ilmoita asiaton viesti

# 11.1.2008 11:02

1

0

Josku '80 luvulla tuli naputeltua heksaeditorilla omaa uusi MBR kiintolevyille, hieman hankalaa se oli mutta onnistui.

Josku '80 luvulla tuli naputeltua heksaeditorilla omaa uusi MBR,

Lainaa Ilmoita asiaton viesti

# 11.1.2008 11:03

1

0

Josku '80 luvulla tuli naputeltua heksaeditorilla omaa uusi MBR kiintolevyille, hieman hankalaa se oli mutta onnistui.

Josku '80 luvulla tuli naputeltua heksaeditorilla omaa uusi MBR,

Lainaa Ilmoita asiaton viesti

# 11.1.2008 11:04

1

0

Se ohjelma on joka muokkaa MBR:ää on kyllä käytännössä windows-binääri (ja pitää saada ajoon root-oikeuksilla jollain windows-rootkitillä).

Eli vaikka tekniikka periaatteessa toimii Unixeillakin, käytännön sovellukset toimivat vain windowsilla.

o.

Lainaa Ilmoita asiaton viesti

# 11.1.2008 11:23

1

0

p

p

Lainaa Ilmoita asiaton viesti

# 11.1.2008 11:30

1

0

Skenaario:
MBR:llä rootkit, joka lähettää näppäimistöltä kirjoitetut merkit suoraan verkkoon käyttöjärjestelmän ohi.

Toimii käyttiksessä kuin käyttiksessä.

Skenaario

Lainaa Ilmoita asiaton viesti

# 11.1.2008 11:34

1

0

Skenaario:
MBR:llä rootkit, joka lähettää näppäimistöltä kirjoitetut merkit suoraan verkkoon käyttöjärjestelmän ohi.

Toimii käyttiksessä kuin käyttiksessä.

Vaatii käytännössä windows-asennuksen.

MS-pelkonomi

Lainaa Ilmoita asiaton viesti

# 11.1.2008 11:37

1

0

"Se ohjelma on joka muokkaa MBR:ää on kyllä käytännössä windows-binääri (ja pitää saada ajoon root-oikeuksilla jollain windows-rootkitillä)."

Suurin osa windowsin (koti) käyttäjistä on administrator oikeuksilla,
joten ei tarvitse kuin käynnistää tuo haittaohjelma joka muuttaa MBR:n. Eli windowsin EI tarvitse olla ennalta saastunut rootkitillä.

Linuxilla ongelma on pienempi sillä ohjelma joka yrittää muokata
MBR:ää ei normaali käytössä toimi, johtuen root oikeuksien puuttumisesta.

j

Lainaa Ilmoita asiaton viesti

# 11.1.2008 11:38

Sivut: 1 2 3 Edellinen Seuraava

Uutiset

Obama perääntyi ehkäisykiistassa

• Miljoonien viinakokoelma myyntiin vaimon vuoksi
• Kreikan pääministeri varoitti maksukyvyttömyyden johtavan kaaokseen
• Maailman parhaat lehtikuvat palkittiin – katso kuvakooste
• Väyrysen matkakuluista ilmiriita keskustassa