Mebromi: नए BIOS रूटकिट

2 सितंबर को, चीनी कंपनी Qihoo 360 ने एक नए वायरस की घोषणा की, जिसमें चीनी कंप्यूटरों पर एक रूटकिट BIOS का पता लगाया गया। इस समाचार ने सुरक्षा पेशेवरों की रुचि जगा दी, क्योंकि 2007 में आइसलॉर्ड अवधारणा के बाद से इस तरह के कार्यक्रमों को क्षेत्र की स्थितियों में पंजीकृत नहीं किया गया है।

मेब्रोमी नामक एक कार्यक्रम में पूरा सेट होता है: पुरस्कार BIOS को फ्लैश करने के उद्देश्य से एक BIOS रूटकिट, एमबीआर को संशोधित करने के लिए एक बूटकिट, विंडोज कर्नेल स्तर पर एक रूटकिट, पीई फ़ाइल संशोधक और ट्रोजन।

वायरस स्पष्ट रूप से चीनी प्रणालियों को लक्षित करता है और ऑपरेशन के दौरान एंटी-वायरस प्रोग्राम राइजिंग एंटीवायरस और जिंगमिन केवी एंटीवायरस की उपस्थिति की जांच करता है। फिलहाल, मेब्रोमी 64-बिट सिस्टम को संक्रमित करने का इरादा नहीं है और सीमित विशेषाधिकारों के साथ उपयोगकर्ता खातों पर काम करने में सक्षम नहीं है।

BIOS को संशोधित करने में सक्षम होने के लिए, मेम्ब्रोमी दो तरीकों का उपयोग करता है: यह या तो फ्लैश शुरू करता है। पुस्तकालय, जो bios.sys ड्राइवर को लोड करता है, या beep.sys को लोड करता है और इसे अपने स्वयं के कोड बीप्स के साथ अधिलेखित करता है। सेवा शुरू करता है, और फिर मूल beep.sys कोड को पुनर्स्थापित करता है। ।

Bios.sys ड्राइवर का नियंत्रण प्राप्त करने के बाद, प्रोग्राम यह जाँचता है कि BIOS अवार्ड BIOS (लाइन $ @ AWDFLA की उपस्थिति) का उपयोग करता है। इस मामले में, एक फ्लैशिंग किया जाता है।



यदि BIOS ROM आप के लिए देख रहे हैं से मेल खाता है, तो rootkit C: \ bios.bin फ़ाइल में BIOS की एक प्रति सहेजता है और अगले चरण पर आगे बढ़ता है। ड्रॉपर cbrom.exe और hook.rom फ़ाइलों को निकालता है। पुरस्कार / फीनिक्स BIOS ROM बायनेरिज़ को संशोधित करने के लिए पहला फीनिक्स टेक्नोलॉजीज का मानक कार्यक्रम है। Hook.rom - एक रूटकिट जो बाइनरी में जोड़ा जाता है। ड्रॉपर / isa विकल्प के साथ cbrom.exe प्रोग्राम लॉन्च करता है। लेकिन वास्तविक ISA ROM संक्रमण से पहले, ड्रॉपर "हुक रोम" मार्कर की उपस्थिति के लिए BIOS ROM कोड की जाँच करता है, ताकि द्वितीयक संक्रमण उत्पन्न न हो।



फिर सभी 14 एमबीआर क्षेत्रों का संक्रमण किया जाता है और दुर्भावनापूर्ण कोड को विंडोज पर लोड करने के बाद winlogon.exe या wininit.exe फ़ाइल में इंजेक्ट किया जाता है। एक संक्रमण मार्कर यहां भी जांचा जाता है।



Webroot Threat Blog के माध्यम से