Microsoft: Nhiễm rootkit Popureb sẽ phải cài lại Windows

Phần mềm độc hại (malware) mới, ẩn trong Master Boot Record (MBR) của máy tính, làm vô hiệu quá các nỗ lực làm sạch máy tính.

Microsoft khuyến cáo người dùng Windows rằng, họ sẽ phải cài đặt lại hệ điều hành (HĐH) nếu máy bị nhiễm loại rootkit mới ẩn trong phần mồi khởi động (boot sector) của máy.

Một biến thể mới của trojan mà Microsoft gọi là "Popureb" đào rất sâu vào hệ thống. Cách duy nhất để tiêu diệt Popureb là đưa Windows trở về cấu hình như lúc mới mua, kỹ sư Chun Feng của nhóm bảo mật Microsoft Malware Protection Center (MMPC) cho biết.

"Nếu hệ thống của bạn bị nhiễm trojan Win32/Popureb.E, chúng tôi khuyên bạn sửa MBR và sau đó sử dụng đĩa CD phục hồi (recovery CD) để khôi phục hệ thống của bạn về trạng thái trước khi bị nhiễm bệnh", ông Feng nói. Đĩa phục hồi đưa Windows trở lại những thiết lập tại nhà máy của nó.

Các malware như Popureb ghi đè lên MBR của ổ đĩa cứng. MBR là sector đầu tiên - Cylinder 0, Head 0, Sector 1 - gồm 512 byte chứa đoạn mã tự mồi (bootstrap) HĐH sau khi BIOS kết thúc quá trình kiểm tra khi máy mới bật. Do Popureb ẩn trên MBR, rootkit trở nên thực sự vô hình với cả HĐH và phần mềm bảo mật.

Theo ông Feng, Popureb phát hiện các hoạt động ghi nhằm vào MBR - những hoạt động được thiết kế để “cọ sạch” MBR và nhiều sector đĩa khác có chứa mã tấn công - và sau đó hoán đổi hoạt động ghi thành hoạt động đọc.

Vì thế, mặc dù hoạt động ghi có vẻ như thành công, nhưng dữ liệu mới không thực sự được ghi vào đĩa. Nói cách khác, quá trình làm sạch sẽ thất bại.

Ông Feng đã cung cấp các liên kết đến những hướng dẫn khắc phục MBR cho XP, Vista và Windows 7.