Pardon, c'è un rootkit nel MBR

Alcune ricerche nel campo della sicurezza hanno evidenziato la presenza di nuovo malware , difficile da rilevare e da rimuovere, che potrebbe infilarsi nei meandri meno accessibili e meno maneggevoli del disco fisso del computer. Si tratta di un rootkit basato sul Trojan.Mebroot , un software che impiega una tecnica vecchia di dieci anni – ma ancora efficace – per occultarsi alla “vista” degli antivirus. E che viene sparato da siti infetti.

Sarebbero circa 30 mila gli spazi web, la maggior parte dei quali in Europa, che attentano alla sicurezza dei computer non aggiornati con le più recenti patch. Secondo quanto emerge dagli studi del team iDefense di Verisign , dalla metà di dicembre scorso il “nuovo” vermicello è stato in grado di infettare ben 5000 macchine in due tranche separate, precisamente il 12 e il 19 dicembre. I cracker che lo hanno sguinzagliato sarebbero gli stessi che hanno immesso in rete il Torpig Trojan , analogo malware che è riuscito a conquistarsi la CPU di oltre 250 mila PC.

Il metodo di contagio impiegato è quello di attrarre la vittima su un sito opportunamente configurato. Una volta collegato, il sito tenta in tutti i modi possibili di iniettare il codice malevolo sul PC. Qualunque computer, con qualsiasi sistema operativo, visto che un rootkit viene lanciato dal Master Boot Record prima del sistema operativo stesso.

“In sostanza, se si può prendere il controllo del Master Boot Record, si prende il controllo del sistema operativo e, di conseguenza, del computer su cui risiede”, ha scritto Elia Florio, ricercatore di Symantec, nel blog dell’azienda.

Il direttore di nCircle Network Security , Andrew Storms, è preoccupato per la grande scaltrezza dei cracker che hanno avviato questa nuova ondata di infezioni: “Al momento la rilevazione è ancora incerta, ma già dai giorni scorsi molti produttori ne hanno confermato l’individuazione. Quanto alla diffusione, al momento non molti sembrano averla evidenziata”.

Marc Maiffret, security researcher indipendente, è convinto che “far funzionare bene questo tipo di malware sia sempre stata una grande sfida per i cracker. Per prendere il controllo dei PC già da qualche anno si preferiscono metodi diversi”. E, pur ritenendo che presto si aggiungeranno altre varianti al medesimo tipo di infezione, rassicura: “Non ci vorrà molto per le aziende produttrici di antivirus a reagire”.

Marco Valerio Principato