Malware Rombertik, keylogger, který při pokusu o detekci smaže harddisk

Hackeři jsou čím dál nebezpečnější a nedávno byla identifikována další zajímavá hrozba v podobě malwaru Rombertik. Našli ji výzkumníci z Cisco Systems a jde o keylogger, který se "zahákne" do internetových prohlížečů a čte všechny stisknuté klávesy. Problém je tedy v tom, že i pokud jste na zabezpečené stránce (např. přes HTTPS), malware čte data ještě před tím, než se zakódují a pošlou internetem. Typickým místem, kde lze tento malware "chytnout", jsou phishingové e-maily, kdy oběť otevře infikovaný soubor v příloze.
Malware pracuje velmi složitě, neboť nejprve zjišťuje, zda má plné pole působnosti a není analyzován. Pokud toto projde, spustí svou druhou instanci a přepíše ji škodlivým kódem. Opět zkontroluje, zda náhodou není analyzován. Pokud není, zahákne se do internetových prohlížečů, zaznamenává klávesy a posílá je na vzdálený server. Pokud ale detekuje, že je analyzován, přepíše MBR zápis na pevném disku, čímž v podstatě poškodí veškerá data na něm. Nemá-li přístup k MBR záznamu, zakóduje všechna data na disku pomocí náhodných RC4 šifer. Takže opět se k datům nelze dostat. Poté se počítač restartuje a zůstane viset nekonečné smyčce s nápisem “Carbon crack attempt, failed” na obrazovce. Ochranou je tedy jako vždy neotevírat podezřelé přílohy v e-mailech.

Zdroj: cisco.com