Nuevo Rootkit para Windows

Microsoft le esta diciendo a sus usuarios que si sus equipos se infectan con el nuevo troyano Trojan:Win32/Popureb.E van a tener que reinstalar Windows, ya que este utiliza un par de técnicas interesantes para que no se pueda remover.

Popureb se instala en el MBR (sector 0 del disco) e impide que se pueda modificar, de esta manera:

1. Llama a la funciónIoGetDeviceAttachmentBaseRef() para obtener el objeto mas bajo del stack del driver de disco, o sea el disco físico.
2. Hace un hook en la funciónDriverStartIo en la estructura DRIVER_OBJECT que devolvió la función anterior.
3. La nueva funciónDriverStartIo monitorea las operaciones de escritura a disco. Si algo intenta escribir sobre los sectores donde se encuentra el Rootkit, se reemplaza la operación de escritura por una de lectura, esto devuelve que la operación se efectuó correctamente, pero no se escribió nada en el disco.

Para solucionar este problema en Windows XP: http://support.microsoft.com/kb/307654

Para solucionar este problema en Windows 7: http://windows.microsoft.com/es-XL/windows7/What-are-the-system-recovery-options-in-Windows-7

Para solucionar este problema definitivamente [click aca]

Related Blogs

Articulos relacionados (de alguna manera):