Torpig

Torpig, cũng được biết đến như Sinowal hay Anserin (chủ yếu được phát tán kèm theo rootkit Mebroot), là một kiểu botnet lan rộng bởi nhiều biến thể trojan khác nhau làm ảnh hưởng tới các máy tính dùng Microsoft Windows. Torpig qua mặt các ứng dụng chống virus thông qua việc sử dụng công nghệ rootkit và khai phá dữ liệu trên hệ thống bị lây nhiễm đối với các ủy nhiệm thư, tài khoản và mật khẩu cũng như cho phép một cách tiềm ẩn kẻ tấn công truy cập vào trong hệ thống. Nó cũng có tham vọng chỉnh sửa dữ liệu hệ thống.

Tháng 11 năm 2008 nó bị quy trách nhiệm cho việc đánh cắp khoảng 500,000 tài khoản ngân hàng trực tuyến, thẻ credit cũng như thẻ debit và được mô tả là "một trong những phần mềm ác tính tiên tiến nhất từng được tạo ra".

Đầu năm 2009, một nhóm các nhà nghiên cứu bảo mật từ UCSB đã giành được quyền điều khiển botnet trong vòng mười ngày. Trong suốt thời gian đó, họ đã trích xuất được một lượng chưa từng thấy các dữ liệu bị đánh cắp (hơn 70GB). Báo cáo đi vào thông tin chi tiết về hoạt động của botnet này.

==Về Mebroot rootkit==
===Master Boot Record===
Mebroot là một rootkit mở màn cho một nòi rootkit mới sử dụng các kỹ thuật chưa từng thấy trong các phần mềm ác tính hiện đại. Điểm đáng chú ý nhất là nhiễm vào Master Boot Record (MBR) và che giấu kỹ điều đó.

MBR là cung từ vật lý đầu tiên của ổ cứng và lưu mã để nạp (load), khởi động của ổ đĩa trong quá trình boot.

Trong cuộc ganh đua giữa rootkit và các trình phát hiện rootkit, ai được khởi động đầu tiên, kẻ đó sẽ nắm ưu thế. Và không gì có thể khởi động sớm hơn thế từ MBR. Tất nhiên, các virus MBR đã từng khá phổ biến trong thời kỳ DOS, từ nhiều năm trước đây (thời điểm Mebroot phát tán là năm 2008).

Rootkit MBR chạy trên Windows này kích hoạt bản thân nó rất sớm trong tiến trình khởi động Windows mà không đòi hỏi bất kỳ thay đổi nào trong registry (sổ đăng ký của Windows) và các tập tin. Thực tế, đó là một điều đáng ngạc nhiên về việc Mebroot có thể ghi vào MBR ngay trong Windows để bắt đầu quá trình hoạt động của mình.

Rootkit MBR — được biết đến là "Mebroot" — là phần mềm ác tính cực kỳ tiên tiến và ẩn thân tốt nhất mà giới bảo mật từng thấy trong một thời gian dài. Nó giữ sao cho phần chỉnh sửa vào hệ thống là tối thiểu và là một thử thách lớn để phát hiện được nó trong một hệ thống đã nhiễm.

===Một số chi tiết về khả năng ẩn mình của rootkit MBR===
- Chi phối đĩa
Hook (câu móc/chi phối) trên tập tin kích hoạt chương trình tải (downloader) tự động ở chế độ nhân HĐH (kernel-mode) được đặt tới hàm nt!Phase1Initialization trú tại phân đoạn INIT. Điều đó nghĩa là sau khi hệ thống khởi động xong phân đoạn này bị xóa khỏi bộ nhớ và không còn dấu vết gì chứng tỏ việc câu móc đã xảy ra.

- Chi phối NDIS
Một đặc điểm đáng chú ý khác là rootkit MBR có khả năng qua mặt toàn bộ các lớp mạng và các phần mềm tường lửa.

== Xem thêm ==
- mebroot
- Drive-by download
- Phishing
- Man in the Browser
- Conficker a worm that also uses domain name generation (or domain flux)
- Timeline of computer viruses and worms

==Liên kết ngoài==
- One Sinowal Trojan + One Gang = Hundreds of Thousands of Compromised Accounts by RSA FraudAction Research Lab, October 2008
- Don't be a victim of Sinowal, the super-Trojan by Woody Leonhard, WindowsSecrets.com, November 2008
- Antivirus tools try to remove Sinowal/Mebroot by Woody Leonhard, WindowsSecrets.com, November 2008
- Taking over the Torpig botnet , UCSB, April 2009
- Torpig Botnet Hijacked and Dissected covered on Slashdot, May 2009