[Asec対応チームblog] オンラインゲームユーザーのアカウント情報を奪取するBootkit
Bootkit とは・・・
Bootkit は、感染した PC の MBR (Master Boot Record、PC がブーティングする際に必要な情報が保存されている物理的なハードディスク領域, 512バイト) を操作し、感染した PC がブーティングする時に他のマルウェアを生成するようになっているマルウェアを意味します。
Bootkit 分析情報
今回、韓国で改ざんサイトを介して配布された Bootkit の構造は下図のとおりです。
Bootkit は感染した PC の MBR 領域を操作し、セキュリティソリューションでマルウェアを駆除しても、ブーティングするたびにマルウェアを生成し続けるようになっています。 [図 2]を参照。
感染した PC のオリジナル MBR 領域を暗号化するプロセスは下記のとおりです。
上記のルーチンにより暗号化され感染した PC のオリジナル MBR は、下記のルーチンを実行することで、ハードディスクの物理的なセクターである54番にバックアップされます。
上図 [図 3] の 1 番先頭にある 8 バイトは、暗号化されオリジナル MBR がバックアップされるセクターの位置と数を意味します。
• 0x000000036 = (Dec) 54, セクター位置
• 0x000000001 = (Dec) 1, セクター数
以上、改ざんサイトを介して配布された Bootkit の特徴と駆除方法について簡単に整理しました。
今回、Bootkit の事例にもありましたが、マルウェアは自身の生存時間を延ばし、目的を達成するためにさまざまな方法を使い、セキュリティソリューションでの駆除を困難にする傾向にあります。マルウェアの感染予防と被害を最小化するためには下記事項を必ず順守する必要があります。
上記事項を順守して、マルウェアの感染を防ぎましょう。
