Mebroot
मेब्रूट एक मास्टर बूट रिकॉर्ड आधारित रूटकिट है जिसका उपयोग टॉरपिग सहित बॉटनेट द्वारा किया जाता है। यह एक परिष्कृत ट्रोजन घोड़ा है जो उपयोगकर्ता से खुद को छिपाने के लिए गुप्त तकनीकों का उपयोग करता है। ट्रोजन पीड़ित के कंप्यूटर पर एक पिछला दरवाजा खोलता है जो हमलावर को कंप्यूटर पर पूरा नियंत्रण करने देता है। पेलोड ट्रोजन एमबीआर को संक्रमित करता है ताकि ऑपरेटिंग सिस्टम शुरू होने से पहले ही खुद को शुरू कर सके। यह इसे कुछ सुरक्षा उपायों को दरकिनार करने और ऑपरेटिंग सिस्टम के भीतर गहराई से खुद को एम्बेड करने की अनुमति देता है। यह ज्ञात है कि ट्रोजन पढ़ने/लिखने के कार्यों को रोक सकता है, नेटवर्क ड्राइवरों के भीतर खुद को गहराई से एम्बेड कर सकता है। यह इसे कुछ फ़ायरवॉल को बायपास करने और कमांड और कंट्रोल सर्वर को एक कस्टम एन्क्रिप्टेड सुरंग का उपयोग करके सुरक्षित रूप से संवाद करने की क्षमता देता है। यह हमलावर को अन्य मैलवेयर, वायरस या अन्य अनुप्रयोगों को स्थापित करने की अनुमति देता है। ट्रोजन आमतौर पर छोटे वित्तीय लाभ के प्रयास में पीड़ित के कंप्यूटर से जानकारी चुराता है। मेब्रूट एंसेरिन से जुड़ा हुआ है, जो एक और ट्रोजन है जो कीस्ट्रोक लॉग करता है और बैंकिंग जानकारी चुरा लेता है। यह और सबूत देता है जो दर्शाता है कि मेब्रूट के पीछे वित्तीय उद्देश्य होने की संभावना है। पता लगाना/हटाना ट्रोजन खुद को atapi.sys में जोड़कर पता लगाने से बचने की कोशिश करता है। यह खुद को Ntoskrnl.exe में भी एम्बेड करता है। मेब्रूट के पास कोई निष्पादन योग्य फ़ाइल नहीं है, कोई रजिस्ट्री कुंजी नहीं है, और कोई ड्राइवर मॉड्यूल नहीं है, जिससे एंटीवायरस सॉफ़्टवेयर के बिना पता लगाना कठिन हो जाता है। एंटीवायरस सॉफ़्टवेयर चलाने के अलावा, मास्टर बूट रिकॉर्ड, हार्ड ड्राइव और ऑपरेटिंग सिस्टम को पोंछकर या मरम्मत करके भी ट्रोजन को हटाया जा सकता है। वितरण मेब्रूट के तीन प्रकारों की खोज की गई है। यह अनुमान लगाया गया था कि पहला संस्करण नवंबर 2007 में संकलित किया गया था। दिसंबर में, मेब्रूट ने ड्राइव-बाय डाउनलोड करना शुरू किया। 2008 की शुरुआत में, हमलों की दूसरी लहर आई। फरवरी 2008 में एक दूसरे संस्करण की खोज की गई थी जो एक संशोधित इंस्टॉलर के साथ है। मार्च 2008 में एक तीसरे प्रकार की खोज की गई, जिसमें हमले अधिक व्यापक हो गए। तीसरे संस्करण के बाद से, ट्रोजन को एंटीवायरस सॉफ़्टवेयर को आज़माने और उससे आगे निकलने के लिए उन्नत किया गया है। यह अज्ञात है कि मेब्रूट अभी भी जंगल में है या नहीं। मेब्रूट को वर्तमान में दुर्भावनापूर्ण वेबसाइटों पर जाकर, या एक अनुप्रयोग शोषण के माध्यम से वितरित किया जाता है। यह अनुमान लगाया गया है कि 1,500 से अधिक वेबसाइटों से समझौता किया गया है, जिनमें से ज्यादातर यूरोपीय क्षेत्र में हैं। मेब्रूट से संक्रमित वेबसाइटों पर यातायात प्रति दिन 50,000 से 100,000 बार देखा जा सकता है। संदर्भ बाहरी लिंक एमबीआर रूटकिट, मैलवेयर की एक नई नस्ल-एफ-सिक्योर ब्लॉग, मार्च 2008 स्टील्थ एमबीआर रूटकिट जीएमईआर द्वारा, जनवरी 2008 Trojan.Mebroot तकनीकी विवरण। सिमेंटेक रूटकिट्स विंडोज ट्रोजन