Napad Trojancem Duqu planiran godinama

Opisi virusa, 14.11.2011, 00:58 AM

Trojanac Duqu koji je pronađen u zaraženim računarima širom sveta pre otprilike dva meseca mogao bi biti opasniji i sofisticiraniji nego što se to na prvi pogled činilo. Šta više, oni koji stoje iza Duqu-a razvijali su kod ovog malware-a više od četiri godine.

Prema analizi uzoraka Trojanca Duqu koje su istraživačima Kaspersky Laboratorije dostavili stručnjaci iz Sudana, jedan od drajvera koji je bio deo napada je iz avgusta 2007. godine. Roel Šuvenberg iz Kaspersky Laboratorije kaže da je taj drajver verovatno pisan specijalno za Duqu Trojanca i da su autori drajvera isti oni koji stoje iza Duqu napada, jer on nikada ranije nije nigde viđen.

Neki drugi fajlovi koje koristi Duqu su iz februara 2008. godine, ali za sada nisu poznati napadi ovog malware-a pre onih iz aprila 2011. godine. Iz istog meseca su i dva napada na neimenovanu metu u Sudanu, jedan od 17. aprila koji je bio neuspešan jer su email koji je sadržao maliciozni Word dokument blokirali antispam filteri, i drugi napad zabeležen 21. aprila koji je rezultirao infekcijom računara sa Windows operativnim sistemom. Iz Microsoft-a su potvrdili da Duqu koristi ranjivost u Windows kernel mod drajveru, posebno u “W32k.sys” i njegovom mehanizmu za analizu TrueType fontova kako bi stekao dovoljno prava da instalira malware na zaraženom računaru. Dok zakrpa ne bude objavljena, Microsoft je apelovao na korisnike da isključe ovaj program za obradu TrueType fontova.

Pored ovoga, još jedno otkriće stručnjaka Kaspersky Lab-a je i to da je svaki od ciljanih napada na kompjutersku infrastrukturu velikih kompanija širom sveta je posebno osmišljen te da je u svakom od napada Duqu koristio fajlove posebno napravljene neposredno pred napad Duqu-a na odabrani cilj. Za svaki od napada je postojo poseban C&C (komandni i kontrolni) server, čija je adresa bila ugrađena u fajlove Duqu-a. Šuvenberg dodaje da su ova otkića i činjenice pokazatelji da je Duqu “poslovno orjentisan” i da su njegovi autori profesionalci.

Iako se unazad dva meseca vode polemike o tome jesu li Duqu i ozloglašeni kompjuterski crv Stuxnet povezani, u Kaspersky Laboratoriji kao i u kompaniji Symantec koja je prva objavila postojanje Duqu Trojanca čvrsto stoje na stanovištu da veza između dva malware-a postoji. U Kaspersky Laboratoriji veruju da je reč o istim autorima koji su učili na greškama koje su napravili u slučaju Stuxnet-a.