McAfee ตรวจพบมัลแวร์ "Bioskits" ที่ซ่อนตัวและแพร่กระจายผ่านทาง BIOS โดยจะทำการเรียกตัวเองทุกครั้งที่ผู้ใช้งานมีการบูทอุปกรณ์นั้นๆ ใหม่ ซึ่งนี่ก็เป็นมัลแวร์ตัวที่สองแล้วที่มีลักษณะการทำงานเกี่ยวข้องกับ BIOS โดยตัวแรกชื่อ "MyBios" ถูกตรวจพบเมื่อช่วงปลายปี 2011 โดยบริษัทด้านความปลอดภัยสัญชาติจีน (กรณีการตรวจสอบ MyBios)
มัลแวร์ทั้งสองตัวนี้มีความคล้ายคลึงกันตรงที่มันจะมุ่งโจมตีไปยัง Master Boot Record (MBR) เพื่อที่จะติดตั้งและแพร่กระจาย โดยจากการวิจัยของ McAfee พบว่า Bioskits จะมีการสร้างไฟล์ DLL และไฟล์ executable บางไฟล์เพื่อใช้ในการทำงานโดยเลียนแบบให้คล้ายกับไฟล์ของระบบ
จากความสามารถเบื้องต้นของ Bioskits นั้นจึงมีโอกาสที่จะเป็นไปได้สูงว่า มันอาจถูกใช้เพื่อเป็นแบบอย่างแก่มัลแวร์ในรุ่นต่อไปเพื่อหลีกเลี่ยงการตรวจพบของแอนติไวรัส ซึ่งนั่นก็หมายความว่าแอนติไวรัสก็จำเป็นที่จะต้องพัฒนาตามเพื่อตรวจสอบความผิดปกติในระดับ BIOS ROM เช่นกัน
ที่มา - McAfee Labs via Help Net Security
Comments
เห็นข่าวนี้แล้วเหลือบดูปี (นึกว่าดักแก่)... ทำไมรู้สึกว่าเคยได้ยินไวรัสที่ทำงานแบบนี้ตั้งแต่สมัยประถมกันนะ
เดี๋ยวจะลองแก้สำนวนนิดนึงครับ จริงๆ แล้วคือการติดเชื้อและแพร่กระจายผ่านทาง BIOS ครับ
อ๋อป่าวครับ คือเคยเจอไวรัสแบบที่ฝังใน bios มาตั้งแต่สมัย windows 3.11 ยังไม่มี แล้วมันก็หายไปตั้งแต่สมัย windows 98 (มั้ง) เลยแปลกใจว่ามันกลับมาอีกแล้วเหรอ แค่นั้นเอง
ผมนึกดูแล้วมันก็เหมือน Boot Sector Virus สมัยก่อน เลยกลับไปอ่านอีกทีจึงเจอว่าตกไปบางประเด็นจริงๆ (เรื่องการแพร่กระจาย) ยังไงก็ขอบคุณมากครับ
ข่าวไม่ได้มีปัญหาหรอกครับ
ที่ตลกคือปี 2012 ยังมีคนใช้มุขนี้อยู่เหรอเนี่ย (แล้วใช้ได้ด้วย!!)
ยุค UEFI ยังมี mbr เหลืออีกหรือ
UEFI นี่ น่าจะสนุกมากว่านะครับ ถ้าทำให้มันรันบน efi ได้เลย นี่เจ็บหนักแน่ครับ
แล้วถ้าใช้ UEFI แล้วนี่จะไม่มี mbr แล้วหรือครับผมไม่ทราบจริงๆ?
Windows ยังลงเป็น MBR อยู่ดีครับ
ผมเคย convert เป็น GPT ด้วย diskpart ก่อนจะลงตัว Windows(แต่ไม่ได้แบ่ง Partion ไว้) ผ]ปรากฎว่ามัน convert กลับเป็น MBR ซะงั้น วิธีที่จะให้ให้เป็น GPT ได้คือต้อง convert แล้วสร้าง partition ไว้รอมันเลย :(
Russia is just nazi who accuse the others for being nazi.
someone once said : ผมก็ด่าของผมอยู่นะ :)
ถ้าเป็น WIndows 8 จะเป็น GPT เลยครับ แต่ Windows 7 ยังคงเป็น MBR คือเดิม