Duqu

Термін Дуку використовується у багатьох значеннях:

• Комп'ютерний вірус Дуку — це набір програм які комплексно використовуються при вірусній атаці. На цей момент він включає до себе здатність до крадіжки особистих даних у фоновому режимі. Частина вірусу була написана на невідомій мові програмування високого рівня.[5] Названий «Duqu framework». Багато мов було перевірено, в тому числі: C++, Python, Ada, Lua. Однак результати нещодавніх досліджень дозволяють припустити, що Дуку міг бути написаний на об'єктно-орієнтованому С (ОО С) та скомпільований в Microsoft Visual Studio 2008.
• Недолік Дуку — це недолік в Microsoft Windows який використовується в інфікованих файлах для того щоб виконати вірусні компоненти Дуку. На цей момент відома одна хиба, яка відноситься до TTF в win32k.sys.
• Операція Дуку — це процес в якому використовується лише тільки Дуку, цілі якої невідомі. Можливо ця операція відноситься до операції Стакснет.

Symantec, базуючись на звіті Лабораторія Криптографії та Систем Безпеки, продовжує аналізувати загрозу, яку вони називають «майже ідентичною до Стакснет, але з зовсім іншою метою», та опублікували технічний документ з неї, в якій використали первинний звіт в урізаній формі як додаток.[4][6] Symantec вважає, що Дуку був створений тією самою людиною, що й Стакснет, чи автор мав доступ до вихідного коду Стакснет. Черв'як подібний до Стакснет: має вірний, але неправильно вживаний цифровий підпис, та збирає інформацію для майбутніх атак.[4][7]. Мікко Хіпонен, головний дослідницький офіцер F-Secure сказав, що драйвер ядра Дуку JMINET7.SYS, настільки подібний до драйвера ядра Стакснет MRXCLS.SYS, що система бекенду визначила його як Стакснет. Також він заявив, що ключ який був використано для створення власного цифрового підпису Дуку був вкрадений у C-Media, розміщеної в Тайпей, Тайвань. Термін дії сертифікату мав добігти кінця 2 серпня 2012 року, але був відкликаний 14 жовтня 2011 згідно з даними Symantec.[6]

Інше джерело, SecureWorks, повідомляє, що Дуку може не відноситися до Стакснет. Хоче існують переконливі докази, що Дуку відноситься до родини Стакснет.[8]

У ході порівняння було виявлено три подібності:

• Інсталятор використовує zero-day уразливість в ядрі Windows.
• Компоненти підписані вкраденим цифровим ключем.
• Дуку та Стакснет націлені на ядерні програми Ірану.

Duqu шукає інформацію, яка може бути корисна в нападах на промислові системи управління. Його мета не полягає в тому, щоб бути руйнівним, відомі компоненти намагаються збирати інформацію.[9] Проте, на основі модульної структури Duqu, спеціальний модуль може бути використаний, щоб атакувати будь-який тип комп'ютерних систем за допомогою будь-яких засобів і, таким чином кібер-фізичні атаки, засновані на Duqu, можуть бути можливими. Проте, використовування на системах персональних комп'ютерів призводило до видалення всієї нещодавньої інформації, а в деяких випадках повного стирання інформації з жорсткого диску комп'ютера. Внутрішні комунікації Duqu проаналізовані Symantec,[4] але фактичний та точний метод, як він дублюється всередині мережі ще не повністю відомий. Згідно McAfee, одним з пріоритетів Duqu є викрадання цифрових сертифікатів(та відповідно приватних ключів, які використовують відкриті криптографічні ключі) з уражених комп'ютерів, за допомогою яких майбутні віруси з'являються як безпечне програмне забезпечення.[10] Duqu використовує 54× 54 JPEG файл і зашифровані фіктивні файли як контейнери для передачі даних його серверу керування. Експерти з безпеки ще аналізують код, щоб визначити, яка інформація міститься в передачах. Первинне дослідження показало, що первинний зразок вірусу автоматично видаляє себе після 36 днів (вірус зберігає цей параметр в файлах конфігурації), що обмежує його виявлення.[6]

Ключові моменти:

• Вірус було розроблено після Стакснет, використовуючи первинний код, який був виявлений у Стакснет.
• Вірус розроблено для збору інформації, такої як натискання клавіш та системної інформації.
• Поточний аналіз показує, що код не пов'язаний з промисловими системами управління або з самовідтворенням.
• Виконувані файли були знайдені в обмеженій кількості організацій, в тому числі тих, що беруть участь у виробництві промислових систем управління.
• Відфільтрована інформація може бути використана для майбутніх, подібних до Стакснет атак або, можливо, вже була використана з цією метою.

Деякі з ботнетів Duqu були проаналізовані. Здається, що керівники, віддавали перевагу серверам CentOS 5.x, внаслідок чого деякі дослідники вважають, що вони повинні були мати уразливість zero-day. Ботнети розкидані в різних країнах, у тому числі Німеччини, Бельгії, Філіппін, Індії та Китаю. Kaspersky опублікував кілька блогпостів та ботнетів.[11]

• Flame (вірус)
• Проактивний захист
• Кіберкомандування США