发现专门针对中国PC用户的BIOS病毒

本文系转载,原文地址:http://it.solidot.org/article.pl?sid=11/09/16/061256
狐狸:话说看到BIOS病毒突然感动得泪流满面?

本月初,360报告发现了针对Award BIOS的“BMW病毒(又名Mebromi病毒)”,它能连环感染BIOS(主板芯片程序)、MBR(硬盘主引导区)和Windows系统文件。360称病毒是通过捆绑游戏外挂传播的。

病毒针对的是中国电脑用户,在感染前它会检查系统是否运行瑞星和江民杀毒软件。当电脑被感染后,它会向系统释放五个加密文件:hook.rom、flash.dll、cbrom.exe、my.sys和bios.sys。通过bios.sys,它会检查电脑是否使用Award BIOS。如果是,它会保存现有的BIOS到c:bios.bin,然后检查有没有被感染。如果文件中存在hook.rom,它会认为BIOS已被感染;如果没有,它会尝试刷BIOS,在bios.bin中加入hook.rom。在系统启动时,BIOS会自动调用hook.rom,检查MBR是否被感染…该病毒针对Award BIOS的原因可能是因为几年前安全研究人员曾经演示了Award BIOS的漏洞。

Advertisements

你能相信自己的眼睛吗?

本文系转载,原文地址:http://www.aqee.net/can-we-believe-our-eyes/

本文是从 Can we believe our eyes? 这篇文章翻译而来。

几天前,一个客户向我们提交了一个病毒文件样品(SHA1: fbe71968d4c5399c2906b56d9feadf19a35beb97, 检测认定为TrojanDropper:Win32/Vundo.L病毒)。这种特洛伊病毒在hosts文件里劫持“vk.com” 和 “vkontakte.ru”这两个域名(两个都是俄罗斯的社交网站),把它们重定向到92.38.209.252,但它们的实现方法却很独特。

要想劫持一个网站,把它重定向到自己指定的地址,黑客通常的做法是修改Windows系统里位于%SystemRoot%system32driversetc目录下的hosts文件。然而,当我们打开这个受感染的计算机上的hosts文件时,却没有发现任何的跟“vk.com” 和 “vkontakte.ru”相关的条目,就像你在下图中看到的一样。

但当我们显示出隐藏文件时,却看到了另外一个“hosts”文件。是个隐藏文件,你可以在下图中看见它们:

etc目录下有两个名称完全相同的文件,都是“hosts”!这怎么可能?

继续阅读

Stuxnet超级工厂病毒全球肆虐,专家疑是国家行为

本文非原创

超级病毒疑似攻击伊朗核电站,专家疑是国家行为

  据英国《每日邮报》9月25日(北京时间)报道,日前,世界上首个网络“超级武器”,一种名为Stuxnet的计算机病毒已经感染了全球超过45000个网络,伊朗遭到的攻击最为严重,60%的个人电脑感染了这种病毒。计算机安防专家认为,该病毒是有史以来最高端的“蠕虫”病毒,其目的可能是要攻击伊朗的布什尔核电站。布什尔核电站目前正在装备核燃料,按照计划,它本应在今年8月开始运行。

  “蠕虫”是一种典型的计算机病毒,它能自我复制,并将副本通过网络传输,任何一台个人电脑只要和染毒电脑相连,就会被感染。这种Stuxnet病毒于今年6月首次被检测出来,是第一个专门攻击真实世界中基础设施的“蠕虫”病毒,比如发电站和水厂。目前互联网安全专家对此表示担心。

  一些专家认为,Stuxnet病毒是专门设计来攻击伊朗重要工业设施的,包括上个月竣工的布什尔核电站。它在入侵一台个人电脑后,会寻找广泛用于控制工业系统如工厂、发电站自动运行的一种西门子软件。它通过对软件重新编程实施攻击,给机器编一个新程序,或输入潜伏极大风险的指令。专家指出,病毒能控制关键过程并开启一连串执行程序,最终导致整个系统自我毁灭。

  卡巴斯基的高级安防研究员戴维·爱姆说,Stuxnet与其它病毒的不同之处,就在于它瞄准的是现实世界。他们公司已经和微软联手,查找程序中的编码漏洞,防止新病毒找到它。

  爱姆说,通常的大部分病毒像个大口径短枪到处开火,而Stuxnet像个狙击手,只瞄准特定的系统。一旦它们发现了编码缺陷,就好比找到了房子上的天窗,然后用一把羊头镐撬开一个更大的洞。Stuxnet被设计出来,纯粹就是为了搞破坏。

  德国网络安全研究员拉尔夫·朗纳已经破解了Stuxnet的编码,并将之公布于众。他坚信Stuxnet被设计出来,就是为了寻找基础设施并破坏其关键部分。他说,这是一种百分之百直接面向现实世界中工业程序的网络攻击。它绝非所谓的间谍病毒,而是纯粹的破坏病毒。

  朗纳说,Stuxnet病毒的高端性,意味着只有一个“国家”才能把它开发出来。根据我们所掌握的计算机法医方面证据,它的意图很明显,就是执行破坏性攻击,毁掉大量的内部信息。这并非某个坐在父母家里的地下室里的骇客能干得出来的,这种攻击的来源指向的是一个国家。Stuxnet很可能已经攻击了它的目标,只不过我们还没有接到消息而已。
继续阅读