Duqu: 0day + инсталлятор

Автор оригинала: Symantec
  • Перевод
В предыдущем посте мы уже вкратце рассказали о весьма изощренном трояне Duqu, ворующем конфиденциальную информацию компаний и самоуничтожающемся после завершения работы. На что мы получили 2 заявки
1. найти инсталляционный файл
2. найти уязвимость нулевого дня

Итак, концерт по заявкам:

image
Схема инфицирования Duqu


Совместно с компанией CrySyS нам удалось обнаружить и провести анализ инсталляционного файла трояна, который до сих пор не был никем идентифицирован.

Как выяснилось, данный файл представляет собой документ Microsoft Word (.doc)! Инфицирование системы происходит посредством эксплуатации ранее неизвестной, и, соответственно, незакрытой уязвимости в ядре Windows, допускающей выполнение вредоносного кода. В случае запуска файла, на целевой компьютер происходит установка файлов Duqu. По нашим данным, корпорация Microsoft уже работает над устранением обнаруженной уязвимости.

Документ был сконфигурирован таким образом, чтобы заражение было возможно только в определенный срок, и предназначался только для обозначенных предприятий. Вредоносной программе было отведено на процесс заражения восемь дней в августе текущего года. Заметим, что данный образец инсталляционного файла на момент публикации являлся единственным в своем роде, и не исключено, что существует еще несколько его разновидностей.

В результате инфицирования целевой системы злоумышленники получают возможность управления действиями своего творения. Как показало расследование, проведенное в одной из пострадавших организаций, управление трояном осуществлялось через сетевой протокол прикладного уровня (SMB), используемого для предоставления удаленного доступа к компьютеру. Важно заметить, что некоторые из зараженных машин не имели подключения к Интернет. Однако файлы конфигурации вредоносной программы, найденные на них, были сформированы таким образом, что связь с удаленным контрольно – командным сервером (C&C) осуществлялась через некий общий C&C протокол, посредством которого «общались» все зараженные компьютеры. Таким образом, с помощью остальных компьютеров, которые в данном случае использовались в качестве прокси-серверов, злоумышленники могли получить доступ к безопасной зоне.

Угроза успела распространиться в нескольких странах, несмотря на то, что общее число компаний, подтвердивших наличие угрозы сравнительно небольшое. Тем не менее, угроза была замечена в шести организациях, расположенных в восьми странах, таких как Франция, Нидерланды, Швейцария, Украина, Индия, Иран, Судан и Вьетнам. Важно отметить, что эта информация была получена через интернет-провайдера, а, следовательно, их количество может быть иным. Более того, невозможно точно идентифицировать предприятие по IP адресу.

image
Красным отмечены страны, заражение в которых подтверждено, оранжевым — заражение вероятно, но не подтверждено


И наконец, в ходе проведенной работы стало известно о наличии иного образца Duqu, отличного от ранее известных, контрольно – командный сервер которых находился в Индии. У этого экземпляра C&C сервер находится в Бельгии с IP адресом '77.241.93.160'. В настоящий момент он уже отключен.
Symantec
Компания

Похожие публикации

Реклама
AdBlock похитил этот баннер, но баннеры не зубы — отрастут

Подробнее

Комментарии 18

    +4
    ахренеть
      +1
      Молодцы ребята.
        +1
        [sarcasm] Какие именно? [/sarcasm]
        –5
        виндоюзеры должны страдать!
        минусуйте :)
          +3
          почему это виндоюзеры должны страдать?
            +2
            [sarcasm]
            Потому что longbow линуксобог и не боится вирусов :-D
            [/sarcasm]
          +2
          А какого типа предприятия?
            +3
            Троян такого уровня через doc-файл! Это сильно. Можно спокойно подсунуть в составе, например, документации для самого невинного оборудования для предприятия. Вирусописательство на промышленном уровне набирает обороты
              +3
              Коварный план Duqu был успешно пресечён джедаями :)
                0
                В других источниках читал что Window 7 unaffected? Так ли это?
                  0
                  Он же не сработает, если в офисе отключены макросы? или я не прав?
                    0
                    Я бы не стал рисковать, так как это 0day
                    –1
                    0day — это в заголовке к чему?
                      +1
                      Как выяснилось, данный файл представляет собой документ Microsoft Word (.doc)! Инфицирование системы происходит посредством эксплуатации ранее неизвестной, и, соответственно, незакрытой уязвимости в ядре Windows, допускающей выполнение вредоносного кода. В случае запуска файла, на целевой компьютер происходит установка файлов Duqu. По нашим данным, корпорация Microsoft уже работает над устранением обнаруженной уязвимости.
                      0
                      Диаграмму рисовали в Visio?
                        0
                        Не знаем, если честно. Эти картинки рисовали в штаб-квартире :)
                        –2
                        Это как надо писать операционную систему, чтобы при открытии пользователем документа, устанавливался драйвер(!), происходило внедрение кода в системный процесс (!!) и никто ничего не замечает? Как вообще можно незамеченным проводить обмен через корпоративные фаерволлы (которые по определению в том числе должны предотвращать несанкционированный обмен информацией)? Куда смотрят их админы?

                        Лично я считаю, что те, кто автоматизирует крупные предприятия, сами виноваты, что экономят на нормальной ОС, нормальной сетевой архитектуре и нормальных разработчиках. Итог вполне заслуженный. Видимо им нарушение производственного процесса приносит меньше убытков.
                          0
                          Если кому интересно, здесь автор поста, предоставил возможность скачать некоторые версии этого вируса и поэкспериментировать.

                          Только полноправные пользователи могут оставлять комментарии. Войдите, пожалуйста.

                          Самое читаемое