思科揭露危險病毒Rombertik：被偵測到時就摧毀開機磁區

思科（Cisco）安全情報研究團隊Talos Group揭露一隻名為Rombertik的可怕危險病毒，這是一個具有多層反分析能力的間諜程式，一旦發現自己已被偵測，就會移除受減染電腦的主開機紀錄（master boot record, MBR，又稱「主開機磁區」），導致系統無法正常開機。

Talos Group指出，Romberik是個複雜的惡意程式，它會附著在使用者的瀏覽器上以讀取各種憑證或機密資訊，並將數據傳送到由駭客掌控的伺服器上，而且Romberik不只鎖定銀行資訊，還毫無限制地蒐集使用者於各式網站上所曝露的資訊。

根據Talos的安裝測試，Romberik執行的第一步就是進行反分析的檢查，完成檢查並確定一切妥當之後才會進行解壓縮與安裝，安裝後則會再執行另一個拷貝版，再以一個含有核心功能的版本覆蓋此一拷貝版，在準備執行監控時，還會進行反分析檢查，假設發現自己的病毒身份曝露，即會嘗試催毀系統的主開機紀錄，以讓電腦無法正常開機，只有重新安裝作業系統才能恢復。

Romberik的最終目的是竊取使用者資訊。它會掃描使用者正在執行的程序來判斷是否有執行中的瀏覽器，然後把自己注入Chrome、Firefox或IE的執行程序中，以讀取使用者輸入的所有文字，可能遭竊的資料涵蓋了使用者在所有網站上的使用者名稱與密碼。

In this sample, the message observed in Rombertik’s distribution appears to come from the “Windows Corporation,” an organization that possesses “state-of-the-art manufacturing quality processes.”  The attackers attempt to convince the user to check the attached documents to see if their business aligns with the target user’s organization.  If the user downloads and unzips the file, the user then sees a file that looks like a document thumbnail.

After intentionally stalling by writing to memory repeatedly, Rombertik checks to see if analysis tools have modified code in the Windows API ZwGetWriteWatch routine.  It does this by calling ZwGetWriteWatch with invalid arguments.  If the routine does not return with a specific error, Rombertik terminates. The assumption behind checking for a specific error versus a generic error is to check for sandboxes that suppress errors returned from API routine calls.   Once the sandbox check is complete, Rombertik calls the Windows API OutputDebugString function 335,000 times as an anti-debugging mechanism.  Finally, an anti-analysis function within the packer is called to check the username and filename of the executing process for strings like “malwar”, “sampl”, “viru”, and “sandb”. If the packer detects any of these substrings, It will stop unpacking and terminate.  At this point, the initial anti-analysis checks are complete.

喔～自己注入Chrome、Firefox或IE？沒關係！這三個瀏覽器我都不用！阿光我只用Safari一個瀏覽器而已。