Panda entdeckt kombinierte Trojaner-Rootkit-Angriffe

Panda Security meldet neue Trojaner-Exemplare, die aufgrund integrierter Rootkits in der Lage sind, den Master Boot Record (MBR) von infizierten Computern auszutauschen. Das ist laut Panda eine neue Eigenschaft von Rootkits, die eine Entdeckung der Malware erschwert. Bis dato hatten sich alle bekannten Rootkits in Systemprozessen eingenistet, während die neu entdeckten Rootkits sich auf einem Teil der Festplatte implementieren, der schon beim Bootvorgang – vor dem Start des Betriebssystems – aktiv ist.

Hat sich ein solches Rootkit auf einem System installiert, erstellt es eine Kopie des vorhandenen MBR. Es verändert diesen, indem es schädliche Befehle einfügt, und ersetzt den Original-MBR durch den manipulierten. Bei einem Versuch, auf den MBR zuzugreifen, leitet das Rootkit auf den Original-MBR um, so dass nichts Verdächtiges erkannt wird.

Diese Veränderungen bewirken, dass das System beim Hochfahren den manipulierten Bootsektor aktiviert. „Diese Angriffsmethode macht es aktuell praktisch unmöglich, installierte Rootkits und die zugehörige Malware zu entdecken. Die einzig zuverlässige Verteidigung ist die Prävention. Sie müssen erkannt und abgewehrt werden, noch bevor sie ins System eindringen. Proaktive Technologien, die auch unidentifizierte Schadprogramme aufspüren, sind dazu notwendig“, erklärt der technische Direktor der Pandalabs, Luis Corrons.

Die Rootkits können auch Linux-Systeme infizieren. Besteht der Verdacht, dass ein solches Rootkit installiert ist, sollten betroffene Anwender ihre Rechner mit einer Boot-CD hochfahren, um den Master Boot Record zu umgehen. Um die schädliche Veränderung rückgängig zu machen, sollte der MBR anschließend mit dem systeminternen Tool „fixmbr“ innerhalb der Windows-Recovery-Konsole zurückgesetzt werden.