Neues Rootkit spioniert sehr gut getarnt Daten aus Einstellungen

[Kenshiro]

Hallo,

Das Sicherheitsunternehmen Prevx hat vor einer neuen Variante des Rootkits Mebroot gewarnt. Diese soll sich aktuell ausbreiten und über ausgefeilte Methoden verfügen, sich vor der Entdeckung durch Security-Software zu schützen.

Quelle
Winfuture

[Voyager]

Wenn es Mebroot wäre, würden/sollten doch mittlerweile einige Scanner dein File als solchen melden.

Du weisst aber schon das die Malwareschreiber die Sachen immer wieder ändern und manipulieren so das die AV-Erkennung dann in der Regel fehl schlägt, was glaubst du warum der Großteil der Erkennungen nur auf der Erkennung eines vorhandenen Packers beruhen und nur einer einen Rootkit sieht (Gdata verwendet Avast-Sigs) ? Wie erklärst du dir das NIS auf die offensichtliche Manipulation der Hardware-ID reagiert und eine Neuaktivierung verlangt ?
Es passt auf das beobachtete Verhalten das es sich um Mebroot handelt .

edit:
in der technischen Mebroot Beschreibung steht ausserdem "The Trojan may also inject additional code into usermode processes." , kuck was NAB detectiert hat.

Der Beitrag wurde von Voyager bearbeitet: 17.04.2009, 21:30