Sinowal, il rootkit che si nasconde nel Master Boot Record

Kaspersky Lab ha implementato il rilevamento e il trattamento di una nuova variante di Sinowal, in grado di nascondere la sua presenza nel sistema infettando il Master Boot Record (MBR) del disco rigido. La minaccia è stata rilevata per la prima volta alla fine del mese di marzo. Kaspersky Lab, uno dei principali fornitori di software antivirus, è stato tra i primi a implementare con successo l'individuazione e il trattamento della nuova versione Sinowal. Nel corso del 2008, gli esperti di Kaspersky Lab hanno pubblicato diversi articoli tecnici sul fenomeno rootkit: il primo rapporto trimestrale sulla evoluzione del malware e l'articolo "Bootkit: la sfida del 2008". Questa tipologia di malware sembrava quindi essere piuttosto conosciuta in tutte le sue forme.

Tuttavia, questa nuova variante di Sinowal è stata una vera e propria sorpresa per i ricercatori. Diversamente dalle versioni precedenti, Backdoor.Win32.Sinowal penetra molto più in profondità nel sistema per nascondere le sue tracce. Il metodo utilizzato è quello di inserirsi nel settore di avvio del disco rigido e nascondersi tra le istruzioni che il sistema riceve al momento dell’accensione. E’ la prima volta che i cyber criminali usano tecnologie così sofisticate, ciò spiega l’iniziale difficoltà delle soluzioni antivirus nel rilevamento del malware.