Duqu: различия между версиями
| [непроверенная версия] | [непроверенная версия] |
Функция «Добавить ссылку»: добавлено 3 ссылки. |
→Язык программирования: Добавил новый раздел. |
||
| (не показаны 4 промежуточные версии 4 участников) | |||
| Строка 1: | Строка 1: | ||
'''Duqu''' — [[компьютерный червь]], впервые официально упомянутый в отчёте отчет антивирусной фирмы Symantec от 18 октября 2011 года. Первый зараженный кодом Duqu файл прислали на сканирование в [[VirusTotal]] 1 сентября 2011 года, а 9 сентября того же года поступил второй файл с большим сходством главного модуля Duqu со [[Stuxnet]]. Дальнейшие исследования [[Symantec]], «[[Лаборатория Касперского|Лаборатории Касперского]]» и других компаний показали «фамильное сходство» кода червей Duqu и Stuxnet<ref>{{cite web |
|||
'''Duqu''' — [[компьютерный червь]], обнаруженный 1 сентября 2011 года. Некоторые исследователи полагают, что он связан с червем [[Stuxnet]]<ref>{{cite web |
|||
|url = http://www.f-secure.com/weblog/archives/00002255.html |
|url = http://www.f-secure.com/weblog/archives/00002255.html |
||
|title = Duqu – Stuxnet 2 |
|title = Duqu – Stuxnet 2 |
||
| Строка 11: | Строка 11: | ||
|archivedate = 2012-09-12 |
|archivedate = 2012-09-12 |
||
|deadurl = yes |
|deadurl = yes |
||
}}</ref>. Червь получил имя Duqu из-за префикса «~DQ», который использовался во всех именах файлов, создаваемых им<ref>{{cite web|url=http://www.crysys.hu/in-the-press.html|title=Statement on Duqu's initial analysis|publisher=Laboratory of Cryptography of Systems Security (CrySyS)|date=2011-09-21|accessdate=2011-09-25|archiveurl=https://www.webcitation.org/6B98SI8gJ?url=http://www.crysys.hu/in-the-press.html|archivedate=2012-10-03|deadurl=yes}}</ref>. |
}}</ref><ref>{{Cite web|lang=en|url=https://www.infosecurity-magazine.com/news/stuxnet-and-duqu-were-produced-by-the-same/|title=Stuxnet and Duqu were produced by the same malware team|website=Infosecurity Magazine|access-date=2024-11-24|archive-date=2024-04-14|archive-url=https://web.archive.org/web/20240414081151/https://www.infosecurity-magazine.com/news/stuxnet-and-duqu-were-produced-by-the-same/|deadlink=no}}</ref><ref name="3dnews">{{Cite web|lang=ru|url=https://3dnews.ru/619187|title=DUQU, пришедший затмить Stuxnet|website=3DNews|access-date=2024-11-24|archive-date=2024-05-26|archive-url=https://web.archive.org/web/20240526014943/https://3dnews.ru/619187|deadlink=no}}</ref>. Червь получил имя Duqu из-за префикса «~DQ», который использовался во всех именах файлов, создаваемых им<ref>{{cite web|url=http://www.crysys.hu/in-the-press.html|title=Statement on Duqu's initial analysis|publisher=Laboratory of Cryptography of Systems Security (CrySyS)|date=2011-09-21|accessdate=2011-09-25|archiveurl=https://www.webcitation.org/6B98SI8gJ?url=http://www.crysys.hu/in-the-press.html|archivedate=2012-10-03|deadurl=yes}}</ref>. [[Symantec]] считает, что создатели Duqu или создали Stuxnet, или имели доступ к [[Исходный код|исходному коду]] последнего, и их целью был сбор информации для следующей версии Stuxnet<ref>[http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_duqu_the_precursor_to_the_next_stuxnet_research.pdf W32.Duqu. The precursor to the next Stuxnet] {{Wayback|url=http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_duqu_the_precursor_to_the_next_stuxnet_research.pdf |date=20140809024131 }}.</ref>. |
||
Лаборатория [[Криптография|криптографии]] и системной безопасности [[Будапештский университет технологии и экономики|Будапештского университета технологии и экономики]] в [[Венгрия|Венгрии]] выпустила 60-страничный доклад, в котором анализировался данный червь<ref>{{cite web|url=http://www.crysys.hu/publications/files/bencsathPBF11duqu.pdf|title=Duqu: A Stuxnet-like malware found in the wild, technical report|publisher=Laboratory of Cryptography of Systems Security (CrySyS)|date=2011-11-14|lang=en|archiveurl=https://www.webcitation.org/6AdElY6lw?url=http://www.crysys.hu/publications/files/bencsathPBF11duqu.pdf|archivedate=2012-09-12|deadurl=yes}}</ref>. В ходе проведённого расследования удалось выяснить, что распространение данной [[Вредоносная программа|вредоносной программы]] происходило через электронную почту. Заражение системы происходит посредством [[0day|свежей уязвимости]] в ядре Windows, допускающей выполнение вредоносного кода и определяемой как CVE-2011-3402<ref>{{cite web |
Лаборатория [[Криптография|криптографии]] и системной безопасности [[Будапештский университет технологии и экономики|Будапештского университета технологии и экономики]] в [[Венгрия|Венгрии]] выпустила 60-страничный доклад, в котором анализировался данный червь<ref>{{cite web|url=http://www.crysys.hu/publications/files/bencsathPBF11duqu.pdf|title=Duqu: A Stuxnet-like malware found in the wild, technical report|publisher=Laboratory of Cryptography of Systems Security (CrySyS)|date=2011-11-14|lang=en|archiveurl=https://www.webcitation.org/6AdElY6lw?url=http://www.crysys.hu/publications/files/bencsathPBF11duqu.pdf|archivedate=2012-09-12|deadurl=yes}}</ref>. В ходе проведённого расследования удалось выяснить, что распространение данной [[Вредоносная программа|вредоносной программы]] происходило через электронную почту, а атаки с применением программы велись по меньшей мере с декабря 2010-го<ref name="3dnews" />. Заражение системы происходит посредством [[0day|свежей уязвимости]] в ядре Windows, допускающей выполнение вредоносного кода и определяемой как CVE-2011-3402<ref>{{cite web |
||
|url = http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-3402 |
|url = http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-3402 |
||
|title = CVE-2011-3402 |
|title = CVE-2011-3402 |
||
|publisher = National Vulnerability Database (NVD) |
|publisher = National Vulnerability Database (NVD) |
||
|accessdate = 2012-03-20 |
|accessdate = 2012-03-20 |
||
|lang = en |
|lang = en |
||
|archive-date = 2012-06-09 |
|||
|archive-url = https://web.archive.org/web/20120609124717/http://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2011-3402 |
|||
|deadlink = no |
|||
}}</ref>. После заражения системы и установления связи с сервером происходила загрузка и установка дополнительного модуля, предназначенного для сбора сведений о системе, поиска файлов, снятия [[скриншот]]ов, перехвата паролей и ряда других функций<ref>{{cite web |
}}</ref>. После заражения системы и установления связи с сервером происходила загрузка и установка дополнительного модуля, предназначенного для сбора сведений о системе, поиска файлов, снятия [[скриншот]]ов, перехвата паролей и ряда других функций<ref>{{cite web |
||
|url = https://securelist.ru/tajna-duqu-privet-mr-b-jason-i-dexter/2200/ |
|url = https://securelist.ru/tajna-duqu-privet-mr-b-jason-i-dexter/2200/ |
||
| Строка 31: | Строка 34: | ||
|archive-url = https://web.archive.org/web/20200929010523/https://securelist.ru/tajna-duqu-privet-mr-b-jason-i-dexter/2200/ |
|archive-url = https://web.archive.org/web/20200929010523/https://securelist.ru/tajna-duqu-privet-mr-b-jason-i-dexter/2200/ |
||
}}</ref>. |
}}</ref>. |
||
[[Symantec]] считает, что создатели Duqu или создали Stuxnet, или имели доступ к [[Исходный код|исходному коду]] последнего, и их целью был сбор информации для следующей версии Stuxnet<ref>[http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_duqu_the_precursor_to_the_next_stuxnet_research.pdf W32.Duqu. The precursor to the next Stuxnet] {{Wayback|url=http://www.symantec.com/content/en/us/enterprise/media/security_response/whitepapers/w32_duqu_the_precursor_to_the_next_stuxnet_research.pdf |date=20140809024131 }}.</ref>. |
|||
== Язык программирования == |
== Язык программирования == |
||
| Строка 60: | Строка 61: | ||
Код был написан с применением [[Объектно-ориентированное программирование|объектно-ориентированного подхода]], но на языке Си, а не Си++. Предполагается, что выбор языка Си был сделан автором-программистом старой закалки, который переходил с [[язык ассемблера|ассемблеров]] на Си, и которому Си++ не понравился. Применение Си в сочетании с ОО-подходом встречается в коммерческих программных проектах (например, [[движок Doom]]), но несвойственно для вредоносных программ и выделяет Duqu как необычную разработку<ref name="solved" />. |
Код был написан с применением [[Объектно-ориентированное программирование|объектно-ориентированного подхода]], но на языке Си, а не Си++. Предполагается, что выбор языка Си был сделан автором-программистом старой закалки, который переходил с [[язык ассемблера|ассемблеров]] на Си, и которому Си++ не понравился. Применение Си в сочетании с ОО-подходом встречается в коммерческих программных проектах (например, [[движок Doom]]), но несвойственно для вредоносных программ и выделяет Duqu как необычную разработку<ref name="solved" />. |
||
== Особенности и структура Duqu == |
|||
Одной из первых обнаруженных особенностей Duqu стало использование подлинной [[Электронная подпись|цифровой подписи]], украденной у тайваньской компании. Эта подпись подтверждала легитимность [[драйвер]]а, используемого [[Сетевой червь|червем]], что позволяло ему обходить защиту большинства [[Антивирусная программа|антивирусных программ]]. На момент обнаружения программы ни один из 43 протестированных антивирусов не классифицировал файл как вредоносный. Подобный подход ранее применялся и в [[Stuxnet]], что указывает на схожесть стратегий, направленных на обеспечение скрытности<ref name="3dnews" />. |
|||
'''Модульная структура''' |
|||
Duqu построен как модульная система, включающая как минимум три компонента, выполняющих различные задачи: |
|||
''Файл-установщик''. Этот компонент отвечает за доставку основного модуля в систему-жертву. Примечательно, что на момент проведения исследований, несмотря на многочисленные заражения, сам файл-установщик не был найден, что затрудняет понимание методов внедрения. |
|||
''Главный модуль''. Структурно состоит из следующих компонентов: |
|||
*Драйвер, который внедряет [[Динамически подключаемая библиотека|DLL-библиотеку]] в системные процессы. |
|||
*Зашифрованный DLL-файл с расширением PNF. Этот файл включает дополнительные модули и взаимодействует с удаленным сервером команд и управления (C&C). |
|||
*Настроечный конфигурационный файл, также зашифрованный. |
|||
Главный модуль имел уникальную на момент обнаружения особенность: он загружал все свои компоненты в [[Оперативная память|оперативную память]], минимизируя активность на диске. Это делало его практически невидимым для большинства антивирусных систем того времени. |
|||
''Шпионская программа''. Отдельный модуль для сбора данных, известный как «инфостилер». Он работает независимо от других компонентов, собирая сведения о системе, пароли, снимки экрана и другие конфиденциальные данные. Модуль сохраняет собранную информацию во временных файлах с префиксом ~DQ<ref name="3dnews" />. |
|||
'''Технологии скрытности''' |
|||
Duqu использует драйвер уровня ядра для расшифровки своих компонентов и их внедрения в системные процессы. Это позволяет ему избегать обращений к [[Жёсткий диск|жесткому диску]], которые обычно детектируются антивирусами. Более того, первый обнаруженный образец Duqu был настроен на самоуничтожение через 36 дней работы, однако последующие версии имели изменяемый таймер, который мог быть настроен на более короткий или длинный срок<ref name="3dnews" />. |
|||
'''Сходство со Stuxnet''' |
|||
Хотя Duqu и Stuxnet имеют общую базу в коде, их цели существенно различаются. Если Stuxnet был нацелен на разрушение промышленных объектов, Duqu служит скорее платформой для разведки и предварительной подготовки атак. Он действует выборочно, заражая небольшое количество стратегически важных систем. При этом его модульная структура позволяет адаптироваться под конкретные цели, изменяя длину файлов, их имена и контрольные суммы вредоносных компонентов. |
|||
'''Проникновение в систему''' |
|||
Основной модуль Duqu попадает в систему через файл-установщик ([[дроппер]]), представляющий собой файл формата [[Microsoft Word]] с [[эксплоит]]ом уязвимости драйвера win32k.sys, отвечающего за механизм [[рендеринг]]а [[TTF]] шрифтов. При успешной инсталляции сохраняются три файла (драйвер, основной модуль и его файл данных конфигурации), при этом последние два файла хранятся на диске в зашифрованном виде. Для автозапуска Duqu создаётся служба, использующая файл драйвера, который расшифровывает основной модуль на лету при помощи сохранённых в реестре ключей<ref name="3dnews" /><ref>{{Cite web|lang=ru|url=https://securelist.ru/tajna-duqu-chast-pervaya/2231/|title=Тайна Duqu: часть первая|website=Securelist|access-date=2024-11-24|archive-date=2024-06-25|archive-url=https://web.archive.org/web/20240625052136/https://securelist.ru/tajna-duqu-chast-pervaya/2231/|deadlink=no}}</ref><ref>{{Cite web|lang=ru|url=https://habr.com/ru/articles/159669/|title=Duqu — вредоносная матрёшка|website=Habr|access-date=2024-11-24|archive-date=2024-12-03|archive-url=https://web.archive.org/web/20241203163656/https://habr.com/ru/articles/159669/|deadlink=no}}</ref>. |
|||
== См. также == |
== См. также == |
||
| Строка 72: | Строка 102: | ||
* [http://www.securitylab.ru/news/410046.php Иран стал жертвой вируса Duqu]{{Недоступная ссылка|date=февраля 2021 |bot=InternetArchiveBot }} |
* [http://www.securitylab.ru/news/410046.php Иран стал жертвой вируса Duqu]{{Недоступная ссылка|date=февраля 2021 |bot=InternetArchiveBot }} |
||
* [http://thg.ru/technews/20111107_074500.html Symantec: вирус Duqu создан для атаки на определённые предприятия] |
* [http://thg.ru/technews/20111107_074500.html Symantec: вирус Duqu создан для атаки на определённые предприятия] |
||
{{Хакерские атаки 2010-х}} |
{{Хакерские атаки 2010-х}} |
||
Текущая версия от 16:55, 3 декабря 2024
Duqu — компьютерный червь, впервые официально упомянутый в отчёте отчет антивирусной фирмы Symantec от 18 октября 2011 года. Первый зараженный кодом Duqu файл прислали на сканирование в VirusTotal 1 сентября 2011 года, а 9 сентября того же года поступил второй файл с большим сходством главного модуля Duqu со Stuxnet. Дальнейшие исследования Symantec, «Лаборатории Касперского» и других компаний показали «фамильное сходство» кода червей Duqu и Stuxnet[1][2][3]. Червь получил имя Duqu из-за префикса «~DQ», который использовался во всех именах файлов, создаваемых им[4]. Symantec считает, что создатели Duqu или создали Stuxnet, или имели доступ к исходному коду последнего, и их целью был сбор информации для следующей версии Stuxnet[5].
Лаборатория криптографии и системной безопасности Будапештского университета технологии и экономики в Венгрии выпустила 60-страничный доклад, в котором анализировался данный червь[6]. В ходе проведённого расследования удалось выяснить, что распространение данной вредоносной программы происходило через электронную почту, а атаки с применением программы велись по меньшей мере с декабря 2010-го[3]. Заражение системы происходит посредством свежей уязвимости в ядре Windows, допускающей выполнение вредоносного кода и определяемой как CVE-2011-3402[7]. После заражения системы и установления связи с сервером происходила загрузка и установка дополнительного модуля, предназначенного для сбора сведений о системе, поиска файлов, снятия скриншотов, перехвата паролей и ряда других функций[8].
Язык программирования
[править | править код]Немалая часть Duqu — объектно-ориентированный фреймворк, написанный на неизвестном языке[9]. Вирусные лаборатории перепробовали даже такие экзотические языки, как Lua, Google Go и AngelScript, но потерпели неудачу, и им пришлось попросить помощи у сообщества. В конце концов разгадка нашлась: это оказался чистый Си, скомпилированный Microsoft Visual C++ с необычными настройками оптимизации[10].
Код был написан с применением объектно-ориентированного подхода, но на языке Си, а не Си++. Предполагается, что выбор языка Си был сделан автором-программистом старой закалки, который переходил с ассемблеров на Си, и которому Си++ не понравился. Применение Си в сочетании с ОО-подходом встречается в коммерческих программных проектах (например, движок Doom), но несвойственно для вредоносных программ и выделяет Duqu как необычную разработку[10].
Особенности и структура Duqu
[править | править код]Одной из первых обнаруженных особенностей Duqu стало использование подлинной цифровой подписи, украденной у тайваньской компании. Эта подпись подтверждала легитимность драйвера, используемого червем, что позволяло ему обходить защиту большинства антивирусных программ. На момент обнаружения программы ни один из 43 протестированных антивирусов не классифицировал файл как вредоносный. Подобный подход ранее применялся и в Stuxnet, что указывает на схожесть стратегий, направленных на обеспечение скрытности[3].
Модульная структура
Duqu построен как модульная система, включающая как минимум три компонента, выполняющих различные задачи:
Файл-установщик. Этот компонент отвечает за доставку основного модуля в систему-жертву. Примечательно, что на момент проведения исследований, несмотря на многочисленные заражения, сам файл-установщик не был найден, что затрудняет понимание методов внедрения.
Главный модуль. Структурно состоит из следующих компонентов:
- Драйвер, который внедряет DLL-библиотеку в системные процессы.
- Зашифрованный DLL-файл с расширением PNF. Этот файл включает дополнительные модули и взаимодействует с удаленным сервером команд и управления (C&C).
- Настроечный конфигурационный файл, также зашифрованный.
Главный модуль имел уникальную на момент обнаружения особенность: он загружал все свои компоненты в оперативную память, минимизируя активность на диске. Это делало его практически невидимым для большинства антивирусных систем того времени.
Шпионская программа. Отдельный модуль для сбора данных, известный как «инфостилер». Он работает независимо от других компонентов, собирая сведения о системе, пароли, снимки экрана и другие конфиденциальные данные. Модуль сохраняет собранную информацию во временных файлах с префиксом ~DQ[3].
Технологии скрытности
Duqu использует драйвер уровня ядра для расшифровки своих компонентов и их внедрения в системные процессы. Это позволяет ему избегать обращений к жесткому диску, которые обычно детектируются антивирусами. Более того, первый обнаруженный образец Duqu был настроен на самоуничтожение через 36 дней работы, однако последующие версии имели изменяемый таймер, который мог быть настроен на более короткий или длинный срок[3].
Сходство со Stuxnet
Хотя Duqu и Stuxnet имеют общую базу в коде, их цели существенно различаются. Если Stuxnet был нацелен на разрушение промышленных объектов, Duqu служит скорее платформой для разведки и предварительной подготовки атак. Он действует выборочно, заражая небольшое количество стратегически важных систем. При этом его модульная структура позволяет адаптироваться под конкретные цели, изменяя длину файлов, их имена и контрольные суммы вредоносных компонентов.
Проникновение в систему
Основной модуль Duqu попадает в систему через файл-установщик (дроппер), представляющий собой файл формата Microsoft Word с эксплоитом уязвимости драйвера win32k.sys, отвечающего за механизм рендеринга TTF шрифтов. При успешной инсталляции сохраняются три файла (драйвер, основной модуль и его файл данных конфигурации), при этом последние два файла хранятся на диске в зашифрованном виде. Для автозапуска Duqu создаётся служба, использующая файл драйвера, который расшифровывает основной модуль на лету при помощи сохранённых в реестре ключей[3][11][12].
См. также
[править | править код]Примечания
[править | править код]- ↑ Mikko. Duqu – Stuxnet 2 (англ.). F-Secure (18 сентября 2011). Дата обращения: 20 марта 2012. Архивировано из оригинала 12 сентября 2012 года.
- ↑ Stuxnet and Duqu were produced by the same malware team (англ.). Infosecurity Magazine. Дата обращения: 24 ноября 2024. Архивировано 14 апреля 2024 года.
- ↑ 1 2 3 4 5 6 DUQU, пришедший затмить Stuxnet. 3DNews. Дата обращения: 24 ноября 2024. Архивировано 26 мая 2024 года.
- ↑ Statement on Duqu's initial analysis. Laboratory of Cryptography of Systems Security (CrySyS) (21 сентября 2011). Дата обращения: 25 сентября 2011. Архивировано из оригинала 3 октября 2012 года.
- ↑ W32.Duqu. The precursor to the next Stuxnet Архивная копия от 9 августа 2014 на Wayback Machine.
- ↑ Duqu: A Stuxnet-like malware found in the wild, technical report (англ.). Laboratory of Cryptography of Systems Security (CrySyS) (14 ноября 2011). Архивировано из оригинала 12 сентября 2012 года.
- ↑ CVE-2011-3402 (англ.). National Vulnerability Database (NVD). Дата обращения: 20 марта 2012. Архивировано 9 июня 2012 года.
- ↑ Александр Гостев. Тайна Duqu: Привет, “Mr. B. Jason” и “Dexter”. SecureList (11 ноября 2011). Дата обращения: 20 марта 2012. Архивировано из оригинала 29 сентября 2020 года.
- ↑ Игорь Суменков. Загадка фреймворка Duqu. SecureList (7 марта 2012). Дата обращения: 20 марта 2012. Архивировано из оригинала 25 февраля 2018 года.
- ↑ 1 2 Игорь Суменков. Фреймворк Duqu: задача решена. SecureList (19 марта 2012). Дата обращения: 20 марта 2012. Архивировано из оригинала 14 августа 2020 года.
- ↑ Тайна Duqu: часть первая. Securelist. Дата обращения: 24 ноября 2024. Архивировано 25 июня 2024 года.
- ↑ Duqu — вредоносная матрёшка. Habr. Дата обращения: 24 ноября 2024. Архивировано 3 декабря 2024 года.
Ссылки
[править | править код]- Иранские программисты смогли победить «младшего брата Stuxnet»
- Иран стал жертвой вируса Duqu (недоступная ссылка)
- Symantec: вирус Duqu создан для атаки на определённые предприятия
