Symantec сообщила о новых подробностях, вскрывшихся в процессе исследования нашумевшей вредоносной программы Duqu. Совместно с экспертами CrySyS специалистам компании удалось обнаружить и провести анализ инсталляционного файла трояна, который до сих пор не был никем идентифицирован. Как выяснилось, этот файл представляет собой документ офисного приложения Microsoft Word (.doc). «Инфицирование системы происходит посредством эксплуатации ранее неизвестной, и, соответственно, незакрытой уязвимости в ядре Windows, допускающей выполнение вредоносного кода. В случае запуска файла, на целевой компьютер происходит установка файлов Duqu», — поясняют в Symantec.
По данным экспертов, документ был сконфигурирован таким образом, чтобы заражение было возможно только в определенный срок, и предназначался только для обозначенных предприятий. Вредоносной программе было отведено на процесс заражения восемь дней в августе текущего года. Заметим, что данный образец инсталляционного файла на данный момент является единственным в своем роде, однако не исключено, что существует еще несколько его разновидностей.
В результате инфицирования целевой системы злоумышленники получают возможность управления действиями Duqu. Как показало расследование, проведенное в одной из пострадавших организаций, управление трояном осуществлялось через сетевой протокол прикладного уровня (SMB), используемого для предоставления удаленного доступа к компьютеру.
Важно, что некоторые из зараженных машин не имели подключения к Интернет. Однако файлы конфигурации вредоносной программы, найденные на них, были сформированы таким образом, что связь с удаленным контрольно-командным сервером (C&C) осуществлялась через некий общий C&C-протокол, посредством которого «общались» все зараженные компьютеры. Таким образом, с помощью остальных компьютеров, которые в данном случае использовались в качестве прокси-серверов, злоумышленники могли получить доступ к безопасной зоне.
По данным Symantec, угроза успела распространиться в нескольких странах, несмотря на то, что общее число компаний, подтвердивших наличие угрозы сравнительно невелико. Тем не менее, угроза была замечена в шести организациях, расположенных в восьми странах – во Франции, Нидерландах, Швейцарии, Украине Индии, Иране, Судане и Вьетнаме. Однако эта информация была получена через интернет-провайдера, а, следовательно, количество пострадавших предприятий может быть иным. Более того, невозможно точно идентифицировать жертв по IP-адресу, отмечают специалисты Symantec.
В ходе проведенной работы стало известно еще и о наличии иного образца Duqu, отличного от ранее известных, контрольно–командный сервер которых находился в Индии. У этого же экземпляра C&C сервер находится в Бельгии. В настоящий момент он уже отключен.
Денис Викторов http://i-business.ru/