據(jù)稱，新發(fā)現(xiàn)的高級惡意軟件Rombertik在被檢測時會讓計算機癱瘓。那么，Rombertik惡意軟件究竟有什么特別之處，當它被檢測時它如何進行自毀?我們是否應(yīng)該采用不同的反惡意軟件戰(zhàn)略來檢測和隔離它?

[[158473]]

Nick Lewis：任何惡意軟件在感染系統(tǒng)后都可能讓計算機癱瘓，而不只是Rombertik惡意軟件。對于更先進的計算機，惡意軟件編寫者會有更多方法來讓其癱瘓。自1980年代以來，我們就開始看到惡意軟件讓受感染的終端崩潰——惡意軟件會重寫引導扇區(qū)，并讓系統(tǒng)不可用。同時，還有很多其他方法來讓終端崩潰。

惡意軟件會試圖躲開虛擬環(huán)境以及破壞其存在的證據(jù)，對于這種惡意軟件，企業(yè)需要更長的時間來檢測和分析。思科公司Talos研究小組在其博客中介紹了新的Rombertik惡意軟件，該惡意軟件會多次檢查以確定它是否在被分析，如果它確定正在被分析，則會通過重寫主引導記錄(MBR)來破壞系統(tǒng)。

重寫MBR的威脅并沒有對反惡意軟件研究人員起到威懾作用，因為他們知道，一個不慎就可能導致系統(tǒng)以及任何保存的分析數(shù)據(jù)遭到破壞。更大的風險是：IT專業(yè)新手會試圖解決問題并刪除該惡意軟件，他們可能不知道在調(diào)查惡意軟件以及如何捕捉其登錄憑證時可能導致數(shù)據(jù)被銷毀。

對于Rombertik惡意軟件，應(yīng)該采用略微不同的反惡意軟件戰(zhàn)略來進行檢測和隔離，但讓受感染終端恢復(fù)的最有效方法是重新安裝系統(tǒng)。如果惡意軟件自毀并導致系統(tǒng)無法啟動，這將不會是一個問題。不過，這種假設(shè)的前提是企業(yè)已經(jīng)做好備份或者數(shù)據(jù)存儲在獨立的系統(tǒng)，企業(yè)仍然可以通過監(jiān)控網(wǎng)絡(luò)來檢測該惡意軟件，但不會阻止惡意軟件的網(wǎng)絡(luò)通信。