Die Security-Experten Ben Baker und Alex Chiu aus der Talos Security Intelligence & Research Group von Cisco haben eine neuartige und besonders gefährliche Malware, die den Namen Rombertik führt, gefunden. Das Schadprogramm wurde in erster Linie dazu konzipiert, um Tastatureingaben zu protokollieren, Dateien auf dem Computer zu stehlen und Phishing-Angriffe unter Windows zu erleichtern, so die Talos-Experten.
Sie ist besonders hinterhältig, weil sie den Master Boot Record (MBR) und das Home-Verzeichnis eines Rechners zerstört, wenn es durch Analysewerkzeuge entdeckt wird. Dabei entwickelt das Schadprogramm eine gewisse Eigenintelligenz. Bevor es seine eigentliche Aufgabe ausführt, untersucht die Malware, ob Analysesoftware aktiv ist. Wird ein Analysewerkzeug entdeckt, so versucht das Schadprogramm zuerst den MBR der PhysicalDisk0 mit Null-Werten zu überschreiben und so den System-Boot zu verhindern. Gelingt dies nicht, verschlüsselt der Schädling die Dateien des Home-Verzeichnises mit einem zufälligen RC4-Schlüssel. Die Daten können dann nicht mehr vom Anwender gelesen werden und sind somit unbrauchbar. Eine Wiederherstellung der Dateninhalt ist nicht möglich.
Foto: Talos/Cisco
Laut den Sicherheitsexperten gehört Rombertik zu einer neuen Art von Malware, die besonders widerstandsfähig gegen jegliche Art von Analyse- und Debugging-Software ist. Auch neuartige Sandbox-Verfahren erkennt das Schadtool und leitet Gegenmaßnahmen ein, in dem es einen enormen Datenmüll produziert und so eine Untersuchung erschwert.
Um eine Infizierung mir der Schadsoftware zu vermeiden, empfehlen die Talos-Experten vorsichtig mit E-Mail-Anhängen aus unbekannten Quellen umzugehen. Zusätzlich sollte der Anwender eine aktuelle Anti-Virus-Software sowie alle sicherheitsrelevanten Betriebssystem-Updates installiert haben. Weitere detaillierte Informationen über die Rombertik-Malware können Sie auf dem Cisco-Talos-Security-Blog nachlesen. (hal)