Groźny wirus Rombertik niszczy dyski twarde. Jak się przed nim bronić?

Kilka dni temu w mediach pojawiły się alarmujące doniesienia o nowym, groźnym szkodniku Rombertik, który bezpowrotnie niszczy dyski komputerowe. Jest on o wiele bardziej złośliwy i irytujący od znanych robaków takich jak ZeuS czy SpyEye, jednak skutki jego działania można cofnąć i tym samym uratować dane z komputera. Czym dokładnie jest Rombertik i jak się przed nim zabezpieczyć? Co zrobić, jeśli już zdążył wyrządzić szkody?

Groźny wirus Rombertik niszczy dyski twarde. Jak się przed nim bronić?
Źródło zdjęć: © Jason Bache / CC

Rombertik pod lupą

Rombertik należy do rodziny szkodników określanych jako „blastware”, czyli narzędzi hakerskich posiadających funkcję autodestrukcji. Innymi słowy robak został zaprogramowany tak, by w razie wykrycia zniszczyć dane zlokalizowane na dyskach twardych.

Jak większość współczesnego szkodliwego oprogramowania Rombertik dostaje się na komputery swoich ofiar poprzez pocztę e-mail. Metoda ta nazywa się _ spear phishing _ i polega na celowanych w konkretne osoby atakach. Stosowana jest przy tym socjotechnika. E-mail ma nie wzbudzać żadnych podejrzeń. Najczęściej hakerzy podszywają się pod znajomych, współpracowników lub kierowników. Rombertik ukrywa się w mailach pod postacią PDF-u, który tak naprawdę jest wykonywalnym plikiem systemu Windows o rozszerzeniu .scr. Aby dodatkowo zmylić odbiorcę, atakujący zmieniają ikonę pliku na znaną z plików PDF, bądź nazywa plik wg klucza . Domyślnie w ustawieniach systemu Windows pokazywanie rozszerzeń znanych plików jest wyłączone, dlatego końcówka .scr może być niewidoczna dla użytkownika.

Gdy Rombertik zainstaluje się na komputerze swojej ofiary, zaczyna zbierać dane logowania oraz inne cenne z punktu widzenia użytkownika informacje. Są one przechwytywane za pośrednictwem przeglądarek internetowych Firefox, Chrome lub Internet Explorer. Zakamuflowany w przeglądarce robak może nawet kopiować dane wpisywane w formularzach witryn o „bezpiecznym” protokole HTTPS np. na stronach banków. Robi to zanim dane zostaną zaszyfrowane przez ten protokół. Zebrane informacje są przekazywane na serwery hackerów, którzy następnie sprzedają je na czarnym rynku.

Rombertik wyposażony został w mechanizmy ochronne utrudniające zlokalizowanie go i zanalizowanie przez programy antywirusowe i analityków ds. bezpieczeństwa. Czym jednak różni się od innego oprogramowania tego typu? Podczas gdy inne szkodniki zazwyczaj usuwają się same z komputera w momencie wykrycia, Rombertik idzie dalej. Jeśli tylko wykryje, że jest namierzany przez oprogramowanie antywirusowe, próbuje nadpisać główny rekord startowy, tzw. Master Boot Record na dysku twardym komputera. MBR zawiera program rozruchowy oraz tablicę partycji i jeśli zostanie zmieniony, system nie może się uruchomić, co powoduje trwające w nieskończoność restarty. Gdy z jakichś powodów robakowi nie uda się zmienić treści MBR (zdarza się to jednak stosunkowo rzadko), szyfrowane są wszystkie pliki użytkownika zlokalizowane w folderze głównym komputera (C:\Documents and Settings).

Co zrobić?

Jak wiemy Rombertik nie niszczy całego komputera, zaburza jedynie sekwencję rozruchową na dyskach twardych. Wymaga to zastosowania narzędzi odzyskujących dane. Istnieje szereg programów, które mogą pomóc przywrócić uszkodzony lub usunięty MBR. Część z nich znajduje się na nośniku instalacyjnym systemu Windows. Z instrukcją naprawy uszkodzonego MBR można zapoznać się tutaj: http://www.sevenforums.com/tutorials/20864-mbr-restore-windows-7-master-boot-record.html

W zależności od zakresu wyrządzonych szkód, w przypadku niemożności naprawy MBR niektórzy użytkownicy będą zmuszeni dokonać reinstalacji systemu operacyjnego.

Malware dystrybuowany w postaci plików wykonywalnych .scr jest prawie tak stary jak sam Internet. Przestępcy mogą wykorzystywać także pliki o rozszerzeniach .vbs, .bat, .com oraz .pif. Jeśli nie istnieje wyraźna potrzeba, rekomendujemy blokowanie wszelkich tego typu załączników lub po prostu nie ściąganie ich i nie otwieranie. Dodatkowo wskazane jest pokazywanie rozszerzeń plików w systemie Windows. Aby to zrobić należy postępować zgodnie z instrukcją zawartą na stronie: http://windows.microsoft.com/pl-pl/windows/show-hide-file-name-extensions.

Zajmująca się bezpieczeństwem internetowym firma Fortinet po raz pierwszy wykryła i opracowała skuteczną metodę blokowania Rombertika we wrześniu 2014. Klienci z ważną subskrypcją modułu antywirusowego na urządzeniach FortiGate, FortiMail, FortiSandbox oraz FortiWeb są przed nim w pełni chronieni tak samo jak użytkownicy darmowego oprogramowania antywirusowego FortiClient.

Meizu M1 Note - potężny, tani smartfon. Zobacz nasz test!

Źródło artykułu:WP Tech

Wybrane dla Ciebie

Komentarze (81)

Cenimy Twoją prywatność

Kliknij "AKCEPTUJĘ I PRZECHODZĘ DO SERWISU", aby wyrazić zgodę na korzystanie w Internecie z technologii automatycznego gromadzenia i wykorzystywania danych oraz na przetwarzanie Twoich danych osobowych przez Wirtualną Polskę, Zaufanych Partnerów IAB (869 partnerów) oraz pozostałych Zaufanych Partnerów (403 partnerów) a także udostępnienie przez nas ww. Zaufanym Partnerom przypisanych Ci identyfikatorów w celach marketingowych (w tym do zautomatyzowanego dopasowania reklam do Twoich zainteresowań i mierzenia ich skuteczności) i pozostałych, które wskazujemy poniżej. Możesz również podjąć decyzję w sprawie udzielenia zgody w ramach ustawień zaawansowanych.


Na podstawie udzielonej przez Ciebie zgody Wirtualna Polska, Zaufani Partnerzy IAB oraz pozostali Zaufani Partnerzy będą przetwarzać Twoje dane osobowe zbierane w Internecie (m.in. na serwisach partnerów e-commerce), w tym za pośrednictwem formularzy, takie jak: adresy IP, identyfikatory Twoich urządzeń i identyfikatory plików cookies oraz inne przypisane Ci identyfikatory i informacje o Twojej aktywności w Internecie. Dane te będą przetwarzane w celu: przechowywania informacji na urządzeniu lub dostępu do nich, wykorzystywania ograniczonych danych do wyboru reklam, tworzenia profili związanych z personalizacją reklam, wykorzystania profili do wyboru spersonalizowanych reklam, tworzenia profili z myślą o personalizacji treści, wykorzystywania profili w doborze spersonalizowanych treści, pomiaru wydajności reklam, pomiaru wydajności treści, poznawaniu odbiorców dzięki statystyce lub kombinacji danych z różnych źródeł, opracowywania i ulepszania usług, wykorzystywania ograniczonych danych do wyboru treści.


W ramach funkcji i funkcji specjalnych Wirtualna Polska może podejmować następujące działania:

  1. Dopasowanie i łączenie danych z innych źródeł
  2. Łączenie różnych urządzeń
  3. Identyfikacja urządzeń na podstawie informacji przesyłanych automatycznie
  4. Aktywne skanowanie charakterystyki urządzenia do celów identyfikacji

Cele przetwarzania Twoich danych przez Zaufanych Partnerów IAB oraz pozostałych Zaufanych Partnerów są następujące:

  1. Przechowywanie informacji na urządzeniu lub dostęp do nich
  2. Wykorzystywanie ograniczonych danych do wyboru reklam
  3. Tworzenie profili w celu spersonalizowanych reklam
  4. Wykorzystanie profili do wyboru spersonalizowanych reklam
  5. Tworzenie profili w celu personalizacji treści
  6. Wykorzystywanie profili w celu doboru spersonalizowanych treści
  7. Pomiar efektywności reklam
  8. Pomiar efektywności treści
  9. Rozumienie odbiorców dzięki statystyce lub kombinacji danych z różnych źródeł
  10. Rozwój i ulepszanie usług
  11. Wykorzystywanie ograniczonych danych do wyboru treści
  12. Zapewnienie bezpieczeństwa, zapobieganie oszustwom i naprawianie błędów
  13. Dostarczanie i prezentowanie reklam i treści
  14. Zapisanie decyzji dotyczących prywatności oraz informowanie o nich

W ramach funkcji i funkcji specjalnych nasi Zaufani Partnerzy IAB oraz pozostali Zaufani Partnerzy mogą podejmować następujące działania:

  1. Dopasowanie i łączenie danych z innych źródeł
  2. Łączenie różnych urządzeń
  3. Identyfikacja urządzeń na podstawie informacji przesyłanych automatycznie
  4. Aktywne skanowanie charakterystyki urządzenia do celów identyfikacji

Dla podjęcia powyższych działań nasi Zaufani Partnerzy IAB oraz pozostali Zaufani Partnerzy również potrzebują Twojej zgody, którą możesz udzielić poprzez kliknięcie w przycisk "AKCEPTUJĘ I PRZECHODZĘ DO SERWISU" lub podjąć decyzję w sprawie udzielenia zgody w ramach ustawień zaawansowanych.


Cele przetwarzania Twoich danych bez konieczności uzyskania Twojej zgody w oparciu o uzasadniony interes Wirtualnej Polski, Zaufanych Partnerów IAB oraz możliwość sprzeciwienia się takiemu przetwarzaniu znajdziesz w ustawieniach zaawansowanych.


Cele, cele specjalne, funkcje i funkcje specjalne przetwarzania szczegółowo opisujemy w ustawieniach zaawansowanych.


Serwisy partnerów e-commerce, z których możemy przetwarzać Twoje dane osobowe na podstawie udzielonej przez Ciebie zgody znajdziesz tutaj.


Zgoda jest dobrowolna i możesz ją w dowolnym momencie wycofać wywołując ponownie okno z ustawieniami poprzez kliknięcie w link "Ustawienia prywatności" znajdujący się w stopce każdego serwisu.


Pamiętaj, że udzielając zgody Twoje dane będą mogły być przekazywane do naszych Zaufanych Partnerów z państw trzecich tj. z państw spoza Europejskiego Obszaru Gospodarczego.


Masz prawo żądania dostępu, sprostowania, usunięcia, ograniczenia, przeniesienia przetwarzania danych, złożenia sprzeciwu, złożenia skargi do organu nadzorczego na zasadach określonych w polityce prywatności.


Korzystanie z witryny bez zmiany ustawień Twojej przeglądarki oznacza, że pliki cookies będą umieszczane w Twoim urządzeniu końcowym. W celu zmiany ustawień prywatności możesz kliknąć w link Ustawienia zaawansowane lub "Ustawienia prywatności" znajdujący się w stopce każdego serwisu w ramach których będziesz mógł udzielić, odwołać zgodę lub w inny sposób zarządzać swoimi wyborami. Szczegółowe informacje na temat przetwarzania Twoich danych osobowych znajdziesz w polityce prywatności.