Bez zakrpe za 'Duqu bag' u novembru

Vesti, 04.11.2011, 00:10 AM

Misteriozni malware Duqu, koji je još uvek predmet špekulacija i polemika stručnjaka, može iskoristiti zero-day ranjivost u Windows kernelu i na taj zaraziti računar.

Mađarski CrySyS Lab otkrio je dropper (installer) fajl malware-a Duqu koji je prvi maliciozni fajl kojim započinje infekcija računara nakon čega on preuzima i instalira druge maliciozne fajlove na zaraženom računaru.

Dropper fajl je u ovom slučaju Microsoft Word dokument (.doc) koji iskorišćava ranije nepoznatu ranjivost u kernelu Windows-a koja omogućava izvršenje koda. CrySys Lab je o ovome obavestio Microsoft koji će objaviti zakrpu što je pre moguće.

Dropper fajl je jedini koji je za sada poznat stručnjacima, ali to ne znači da nema i drugih koji funkcionišu na drugačiji način od ovog. U slučaju ovog dropper fajla dovoljno je otvaranje malicioznog Word dokumenta da bi se izvršio maliciozni kod koji iskorišćava postojeću i ranije nepoznatu ranjivost da bi dalje instalirao više binarnih fajlova Duqu malware-a.

Dok Microsoft ne objavi zakrpu jedini način za zaštitu je izbegavati otvaranje dokumenata koji dolaze iz nepoznatih izvora i korišćenje programa alternativnog Word-u. Većina respektabilnih antivirusa detektuje i blokira glavne fajlove Duqu-a čime se napad sprečava.

Stručnjaci su otkrili još jednu osobenost Duqu-a a to je sposobnost da zarazi i kontroliše računare koji nisu povezani sa internetom. U slučaju jedne napadnute organizacije otkriveno je da napadači upravljaju Duqu malware-om preko SMB deljenja. Tako su neki od kompjutera koji nisu mogli da povežu na internet i primaju komande sa C&C servera koristili fajl-šering C&C protokol i preko drugog zaraženog računara koji je povezan sa internetom komunicirali sa C&C serverom. Na taj način, Duqu koristi računare povezane sa internetom kao proksije za infekciju računara koji su određeni kao bezbedna zona umreženih računara. Obično takvi računari u kompanijama i organizacijama služe za čuvanje poverljivih podataka.

Početkom nedelje otkriven je i drugi C&C server Duqu-a, ovog puta u Belgiji (prvi je bio u Indiji) a belgijski provajder je brzo reagovao nakon upozorenja tako da je server van funkcije.