в ряду параноиков прибыло. встречайте, Rombertik

малварь с параноидальными замашками. вот отчёт
http://blogs.cisco.com/security/talos/rombertik

пожалуй скопипащу один из переводов.

Вредоносная программа под названием Rombertik распространяется вместе со спамом и фишинговыми электронными письмами. Программа записывает любой текст, вводимый в браузере, с целью кражи конфиденциальных данных и паролей.
«В то время как обычные вредоносные программы стараются обойти средства защиты компьютера, Rombertik ведет себя совершенно иначе, и пытается вывести систему из строя, если считает, что будет обнаружена», заявил представитель Cisco.
Аналогичная техника применялась при развертывании атак на цели в Южной Корее в 2013 году и против компании Sony Pictures в 2014 году.
После установки Rombertik распаковывает различные части своего кода, 97 процентов из которого разработано для сокрытия реальной работы программы. В код входит 75 изображений и 8 тысяч ложных функций, которые в действительности никогда не используются.
«Это приводит к тому, что антивирусные средства не успевают проверить каждую функцию. Более того, чтобы избежать детектирования «песочницами», программа записывает один байт данных в память 960 миллионов раз, чтобы скрыть реальные цели своей деятельности. При этом лог файл может вырасти до 100 гигабайт», отметили эксперты Cisco.
Rombertik вычисляет 32-битный хэш ресурса в памяти, и если этот ресурс или время компиляции изменились, вредоносная программа начинает процесс самоуничтожения.
Сначала программа пытается перезаписать главную загрузочную запись Master Boot Record (MBR), или, в случае недостаточных полномочий, уничтожает все файлы в домашней папке пользователя, шифруя каждый посредством случайно сгенерированного ключа.
Если попытка перезаписи MBR удалась, внедренный код активируется после перезагрузки системы. При этом на экране появляется надпись «Carbon crack attempt, failed» (Попытка взлома провалилась) и компьютер уходит в циклическую перезагрузку. Для восстановления работы компьютера требуется переустановка операционной системы.
Кроме того, изменение MBR также сопровождается перезаписью дисковых разделов нулевыми байтами, что затрудняет в дальнейшем восстановление информации, записанной на жесткий диск.
Эксперты компании Cisco полагают, что такая техника станет превалирующей в дальнейшем. Поэтому пользователям нужно не забывать устанавливать и регулярно обновлять антивирусные и другие программные средства защиты для борьбы с вредоносным ПО.