Neue Version von Gozi-Finanz-Malware bündelt MBR-Rootkit

Forscher der Sicherheitsfirma Trusteer haben eine neue Variante des Gozi-Banking-Trojanerprogramms gefunden, die den Master Boot Record (MBR) eines Computers infiziert, um Persistenz zu erreichen.

Der Master Boot Record (MBR) ist ein Bootsektor, der sich am Anfang eines Speicherlaufwerks befindet und Informationen darüber enthält, wie das Laufwerk partitioniert ist. Es enthält auch Boot-Code, der vor dem Start des Betriebssystems ausgeführt wird.

Einige Malware-Autoren haben den MBR genutzt, um ihren schädlichen Programmen einen Vorsprung vor den auf dem Computer installierten Antivirenprogrammen zu verschaffen.

[Weitere Informationen: Vorgehensweise entfernen Sie Malware von Ihrem Windows-PC]

Ausgefeilte Malware, die MBR-Rootkit-Komponenten wie TDL4, auch bekannt als Alureon oder TDSS, verwendet, ist einer der Gründe, warum Microsoft die Secure Boot-Funktion in Windows 8 eingebaut hat. Diese Malware ist schwer zu erkennen und entfernt und kann sogar Betriebssystem-Neuinstallationsverfahren überleben.

"Obwohl MBR-Rootkits als sehr effektiv angesehen werden, wurden sie nicht in eine Menge finanzieller Malware integriert", sagte der Trusteer-Forscher Etay Maor am Donnerstag in einem Blogbeitrag. "Eine Ausnahme war das Mebroot-Rootkit, mit dem Torpig (alias Sinowal / Anserin) bereitgestellt wurde."

Infiziert Internet Explorer

Die neue Gozi-MBR-Rootkit-Komponente wartet auf den Start von Internet Explorer und injiziert dann bösartigen Code in den Prozess. Dadurch kann die Malware den Datenverkehr abfangen und Webinjektionen innerhalb des Browsers durchführen, wie die meisten finanziellen Trojaner-Programme tun.

Die Tatsache, dass eine neue Variante von Gozi entdeckt wurde, zeigt, dass Cyberkriminelle diese Bedrohung trotz der Tatsache weiterhin nutzen Hauptentwickler und einige seiner Komplizen wurden verhaftet und angeklagt. Der Gozi-Trojaner gibt es seit mindestens fünf Jahren.

Die neue Variante, die von den Trusteer-Forschern entdeckt wurde, ist einer älteren Version sehr ähnlich, mit Ausnahme der zusätzlichen MBR-Rootkit-Komponente, sagte Maor. "Dies könnte darauf hindeuten, dass ein neues Rootkit in den Foren der Cyberkriminellen verkauft wird und von Malware-Autoren übernommen wird."

Während einige spezielle Tools zum Entfernen von MBR-Rootkits existieren, empfehlen viele Experten, die gesamte Festplatte zu löschen und die Partitionen neu zu erstellen um einen sauberen Start zu gewährleisten, wenn der Computer mit einer solchen Bedrohung infiziert wurde, sagte Maor.

Da die Reinigung solcher Malware fortgeschrittene technische Kenntnisse erfordert, ist es wahrscheinlich am besten, den technischen Support Ihres Virenschutzanbieters zu kontaktieren Holen Sie sich Hilfe von Experten.