Duqu

Duqu — це зібрання шкідливих програмних засобів виявлених 1 вересня 2011, яке вважається, пов'язаним із хробаком Стакснет. Лабораторія криптографії та системи безпеки (^[en]) Будапештського університету технології та економіки (Угорщина) виявили та проаналізували загрозу цього шкідливого ПО у вигляді 60-сторінкової доповіді, давши назву Duqu. Duqu отримав свою назву від префікса «~ DQ» яка є в іменах файлів, ним створених.

Номенклатура

Термін Дуку використовується у багатьох значеннях:

• Комп'ютерний вірус Дуку — це набір програм які комплексно використовуються при вірусній атаці. На цей момент він включає до себе здатність до крадіжки особистих даних у фоновому режимі. Частина вірусу була написана на невідомій мові програмування високого рівня. Названий «Duqu framework». Багато мов було перевірено, в тому числі: , Python, Ada, Lua. Однак результати нещодавніх досліджень [ 7 жовтня 2014 у Wayback Machine.] дозволяють припустити, що Дуку міг бути написаний на об'єктно-орієнтованому С (ОО С) та скомпільований в Microsoft Visual Studio 2008.
• Недолік Дуку — це недолік в Microsoft Windows який використовується в інфікованих файлах для того щоб виконати вірусні компоненти Дуку. На цей момент відома одна хиба, яка належить до TTF в win32k.sys.
• Операція Дуку — це процес в якому використовується лише тільки Дуку, цілі якої невідомі. Можливо ця операція належить до операції Стакснет.

Відношення до Стакснет

Symantec, базуючись на звіті Лабораторія Криптографії та Систем Безпеки, продовжує аналізувати загрозу, яку вони називають «майже ідентичною до Стакснет, але з зовсім іншою метою», та опублікували технічний документ з неї, в якій використали первинний звіт в урізаній формі як додаток. Symantec вважає, що Дуку був створений тією самою людиною, що й Стакснет, чи автор мав доступ до вихідного коду Стакснет. Черв'як подібний до Стакснет: має вірний, але неправильно вживаний цифровий підпис, та збирає інформацію для майбутніх атак.. ^[en], головний дослідницький офіцер F-Secure сказав, що драйвер ядра Дуку JMINET7.SYS, настільки подібний до драйвера ядра Стакснет MRXCLS.SYS, що система бекенду визначила його як Стакснет. Також він заявив, що ключ який був використано для створення власного цифрового підпису Дуку був вкрадений у C-Media, розміщеної в Тайпей, Тайвань. Термін дії сертифікату мав добігти кінця 2 серпня 2012 року, але був відкликаний 14 жовтня 2011 згідно з даними Symantec.

Інше джерело, ^[en], повідомляє, що Дуку може не належати до Стакснет. Хоче існують переконливі докази, що Дуку належить до родини Стакснет.

У ході порівняння було виявлено три подібності:

• Інсталятор використовує zero-day уразливість в ядрі Windows.
• Компоненти підписані вкраденим цифровим ключем.
• Дуку та Стакснет націлені на ядерні програми Ірану.

Мета

Duqu шукає інформацію, яка може бути корисна в нападах на промислові системи управління. Його мета не полягає в тому, щоб бути руйнівним, відомі компоненти намагаються збирати інформацію. Проте, на основі модульної структури Duqu, спеціальний модуль може бути використаний, щоб атакувати будь-який тип комп'ютерних систем за допомогою будь-яких засобів і, таким чином кібер-фізичні атаки, засновані на Duqu, можуть бути можливими. Проте, використовування на системах персональних комп'ютерів призводило до видалення всієї нещодавньої інформації, а в деяких випадках повного стирання інформації з жорсткого диску комп'ютера. Внутрішні комунікації Duqu проаналізовані Symantec, але фактичний та точний метод, як він дублюється всередині мережі ще не повністю відомий. Згідно McAfee, одним з пріоритетів Duqu є викрадання цифрових сертифікатів(та відповідно приватних ключів, які використовують відкриті криптографічні ключі) з уражених комп'ютерів, за допомогою яких майбутні віруси з'являються як безпечне програмне забезпечення. Duqu використовує 54× 54 JPEG файл і зашифровані фіктивні файли як контейнери для передачі даних його серверу керування. Експерти з безпеки ще аналізують код, щоб визначити, яка інформація міститься в передачах. Первинне дослідження показало, що первинний зразок вірусу автоматично видаляє себе після 36 днів (вірус зберігає цей параметр в файлах конфігурації), що обмежує його виявлення.

Ключові моменти:

• Вірус було розроблено після Стакснет, використовуючи первинний код, який був виявлений у Стакснет.
• Вірус розроблено для збору інформації, такої як натискання клавіш та системної інформації.
• Поточний аналіз показує, що код не пов'язаний з промисловими системами управління або з самовідтворенням.
• Виконувані файли були знайдені в обмеженій кількості організацій, в тому числі тих, що беруть участь у виробництві промислових систем управління.
• Відфільтрована інформація може бути використана для майбутніх, подібних до Стакснет атак або, можливо, вже була використана з цією метою.

Ботнети

Деякі з ботнетів Duqu були проаналізовані. Здається, що керівники, віддавали перевагу серверам CentOS 5.x, внаслідок чого деякі дослідники вважають, що вони повинні були мати уразливість zero-day. Ботнети розкидані в різних країнах, у тому числі Німеччини, Бельгії, Філіппін, Індії та Китаю. Kaspersky опублікував кілька блогпостів та ботнетів.

Див. також

• Flame (вірус)
• Проактивний захист
• Кіберкомандування США

Примітки

1. . Архів оригіналу за 7 серпня 2019. Процитовано 4 November 2011.
2. (PDF). Laboratory of Cryptography of Systems Security (CrySyS). 14 October 2011. Архів оригіналу (PDF) за 21 квітня 2019. Процитовано 4 листопада 2014.
3. Statement on Duqu's initial analysis. Laboratory of Cryptography of Systems Security (CrySyS). 21 October 2011. Архів оригіналу за 3 жовтень 2012. Процитовано 25 October 2011.
4. (PDF). Symantec. 23 листопада 2011. Архів оригіналу (PDF) за 11 березня 2012. Процитовано 30 грудня 2011.
5. Shawn Knight (2012) [ 24 грудня 2017 у Wayback Machine.] Duqu Trojan contains mystery programming language in Payload DLL
6. Zetter, Kim (18 October 2011). . Wired. Архів оригіналу за 20 жовтня 2011. Процитовано 21 October 2011.
7. . Die Zeit. 19 жовтня 2011. Архів оригіналу за 20 жовтня 2011. Процитовано 19 жовтня 2011.
8. . Архів оригіналу за 28 жовтня 2011. Процитовано 27 October 2011.
9. Steven Cherry, with Larry Constantine (14 грудня 2011). . IEEE Spectrum. Архів оригіналу за 25 грудня 2018. Процитовано 4 листопада 2014.
10. Venere, Guilherme; Szor, Peter (18 жовтня 2011). . McAfee. Архів оригіналу за 31 травня 2016. Процитовано 19 жовтня 2011.
11. . 30 листопада 2011. Архів оригіналу за 7 червня 2014. Процитовано 30 листопада 2011.