Новый представитель вредоносного ПО пытается повредить компьютер при попытках его обнаружения антивирусными приложениям. Вирус получил от специалистов из Cisco Systems название Rombertik и предназначен для перехвата вводимого в окно браузера текста. Он распространяется через спам и фишинговые ссылки.
Вирус проводит на Windows-компьютерах несколько проверок на предмет того, не был ли он обнаружен. Зафиксировав определённые атрибуты связанного с анализом вредоносного ПО кода вирус начинает вести разрушительную деятельность. В этом он похож на аналог 2013 года в атаке против Южной Корее и на прошлогодний, применённый против Sony.
Вирус вычисляет 32-битный хеш ресурса в памяти; если этот ресурс или дата компиляции были изменены, начинается процедура самоуничтожения вируса. Сначала атака идёт на главную загрузочную запись (Master Boot Record, MBR); если тут доступ не получен, вирус уничтожает файлы в домашней папке пользователя, шифруя их случайным ключом RC4. Далее компьютер перезагружается и MBR попадает в бесконечный цикл, не дающий системе загрузиться. На экране отображается сообщение Carbon crack attempt, failed.
При попадании на компьютер вирус распаковывает себя, на 97% состоя из файлов-«обманок», имея 75 изображений и 8000 отвлекающих функций, в действительности никогда не используемых. Они призваны отвлечь внимание антивирусных приложений. Также вирус старается избежать попадания в «песочницу» - карантин на время его проверки. Rombertik начинает записывать в память один байт данных 960 млн. раз, и если антивирус попытается зафиксировать все циклы записи, размер файла превысит 100 Гб.