Nova versão dos pacotes de malware financeiro Gozi rootkit MBR

Pesquisadores da empresa de segurança Trusteer descobriram uma nova variante do programa Trojan bancário Gozi, que infecta o Master Boot Record (MBR) de um computador para obter persistência.

O Boot Record (MBR) é um setor de inicialização que reside no início de uma unidade de armazenamento e contém informações sobre como essa unidade é particionada. Também inclui código de inicialização que é executado antes do sistema operacional ser iniciado.

Alguns autores de malware aproveitaram o MBR para dar a seus programas maliciosos uma vantagem sobre os programas antivírus instalados no computador.

[Outras leituras: Como remova malware do seu PC Windows]

Malwares sofisticados que usam componentes rootkit MBR, como o TDL4, também conhecido como Alureon ou TDSS, são parte do motivo pelo qual a Microsoft criou o recurso Inicialização segura no Windows 8. Esse malware é difícil de detectar e remover e até sobreviver a procedimentos de reinstalação do sistema operacional. "Embora os rootkits MBR sejam considerados altamente eficazes, eles não foram integrados a muitos malwares financeiros", disse Etay Maor, pesquisador da Trusteer, em um post no blog. "Uma exceção foi o rootkit Mebroot que foi usado para implantar o Torpig (também conhecido como Sinowal / Anserin)."

Infecta o Internet Explorer

O novo componente rootkit MBR do Gozi aguarda o lançamento do Internet Explorer e injeta código malicioso no processo. Isso permite que o malware intercepte o tráfego e execute injeções da Web dentro do navegador, como a maioria dos programas de Trojans financeiros, disse Maor.

O fato de uma nova variante do Gozi ser descoberta mostra que os criminosos continuam a usar essa ameaça, apesar de principal desenvolvedor e alguns de seus cúmplices foram presos e indiciados. O Trojan Gozi existe há pelo menos cinco anos.

A nova variante detectada pelos pesquisadores da Trusteer é muito semelhante a uma versão mais antiga, exceto pelo componente adicional de rootkit MBR, disse Maor. "Isso pode indicar que um novo rootkit está sendo vendido nos fóruns dos cibercriminosos e é adotado por autores de malware."

Embora existam algumas ferramentas dedicadas para remover rootkits MBR, muitos especialistas recomendam limpar todo o disco rígido e recriar as partições A fim de garantir um início limpo, se o computador foi infectado com tal ameaça, Maor disse.

Como a limpeza desse malware pode exigir conhecimento técnico avançado, provavelmente é melhor entrar em contato com o departamento de suporte técnico do seu provedor de antivírus para obtenha ajuda especializada