Der Code schreibt unter anderem nutzlose Daten 960 Millionen mal in den Speicher, um bei Ausführung in einer Analyse-Sandbox die Logs der Software aufzublähen – ein Tracing-Tool könnte so potentiell mehrere Gigabyte an Daten produzieren. Ebenso wird eine Windows-Debug-Funktion immer wieder aufgerufen, um möglichst viel Krach zu erzeugen und eine Analyse mit Hilfe von Debug-APIs zu erschweren. Die Forscher von Ciscos Malware-Analyseeinheit Talos, die Rombertik entdeckt haben, hatten zwar schon vorher ähnliche Anti-Analysetechniken in anderem Schadcode beobachtet, der Versuch den Computer nach Entdeckung einer Analyse komplett unbrauchbar zu machen sei allerdings neu.

 

     Code des Schädlings mit Analysetools

 

Wie man sich schützen kann

 

Rombertik verbreitet sich über Phishing-Mails als angebliche PDF-Datei, die eigentlich ein Bildschirmschoner ist. Wird diese .SCR-Datei angeklickt, startet sich der Schadcode automatisch. Trotz des ganzen Anti-Analyse-Aufwandes sollten aktuelle Virenscanner gegen den Schädling helfen – wenigstens bis die Drahtzieher ihn wieder abwandeln. Hat Rombertik den MBR eines Systems gelöscht, sind die Daten zwar nicht unwiederbringlich verloren, eine Wiederherstellung ist auf Grund der Methode, mit der alle Daten im MBR mit Nullen überschrieben werden, allerdings nicht ganz einfach.