Duqu

[_Strannik_]

Duqu — сводный брат Stuxnet?

 

«Лаборатория Касперского» подвела первые итоги исследования вредоносной программы Duqu, распространения которой стало одним из главных новостных поводов прошлой недели. Основная причина — сходство нового троянца с печально известным червем Stuxnet.

 

Впервые Duqu был обнаружен в начале сентября 2011 года. Тогда пользователь из Венгрии обнаружил один из модулей вредоносной программы и загрузил его на сайт Virustotal, позволяющий проанализировать зараженный файл антивирусными программами различных производителей. Найденный сэмпл обладает функционалом троянца-шпиона, который сохраняет собранные данные в файлы с именами вида ~DQx.tmp — отсюда и имя зловреда.

 

Сходством со Stuxnet обладает основной модуль вируса, обнаруженный немного позднее. По мнению экспертов, именно он использовался для заражения системы и последующей загрузки троянца. При этом основной модуль и троянец могут работать независимо друг от друга, и по функционалу являются совершенно самостоятельными вредоносными программами. Несмотря на схожесть основного модуля Duqu со Stuxnet, «родственные связи» его шпионского компонента и червя несколько условны. Более того, серьезные различия наблюдаются в поведении вредоносных программ.

 

После того, как были обнаружены несколько вариантов Duqu, эксперты «Лаборатории Касперского» начали в режиме реального времени отслеживать попытки заражения пользователей новой вредоносной программой. За первые сутки после начала детектирования Duqu был зафиксирован единственный реальный случай заражения системы, причем обнаружить удалось только основной модуль, который не имеет вредоносной функциональности. В то же время Stuxnet привел к десяткам тысяч заражений по всему миру, хотя и, предположительно, был направлен на единственную цель в Иране.

 

«Ни одного случая заражения компьютеров наших клиентов шпионской программой в составе Duqu мы не обнаружили, — комментирует Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского». — Это означает, что Duqu может быть нацелен на небольшое количество специфических объектов, и для поражения каждого из них могут использоваться различные модули».

 

Одной из пока не раскрытых тайн Duqu является изначальный способ проникновения в систему: инсталлятор или «дроппер», необходимый для этого, пока не обнаружен. Поиски этого элемента Duqu продолжаются, и именно он способен помочь выявить реальную цель данной вредоносной программы.

 

Все обнаруженные версии червя Duqu в настоящее время детектируются антивирусными продуктами «Лаборатории Касперского».

 

Более подробная информация о черве Duqu доступна в блогах экспертов «Лаборатории Касперского» Александра Гостева и Райана Нарейна на сайте http://www.securelist.com/ru/blog/40797/Ta...u_chast_pervaya

Изменено 24 октября, 2011 пользователем Stranniky

[Sandynist]

Stranniky

 

Незнаю, может быть в дальнейшем статьи надо копипастить более внимательно? Правильная ссылка на материал - http://www.securelist.com/ru/blog/40797/Ta...u_chast_pervaya

 

Исправь, пожалуйста.

[_Strannik_]

Sandynist, упс..косячок исправил..пасиб

[Sandynist]

Вышла вторая часть захватывающего детектива от Александра Гостева Тайна Duqu: часть вторая

 

Обсуждение детективной истории тут

[j-63]

Одной из пока не раскрытых тайн Duqu является изначальный способ проникновения в систему: инсталлятор или «дроппер», необходимый для этого, пока не обнаружен.

Написали прямо как в фильмах ужаса,аж жутко становится

[Sandynist]

Да, Гостев это умеет, сегодня он на Антималваре разносил в пух и прах спецов из Eset'a , которые решили попиариться на этом событии

[Decryptor]

Вышла вторая часть захватывающего детектива от Александра Гостева Тайна Duqu: часть вторая

Уже и третья есть: http://www.securelist.com/ru/blog/20776692...qu_chast_tretya

[Sandynist]

Четвёртая - очень полезные шрифты

 

Пятая - драйверы

 

Шестая - командные и контрольные серверы, на английском языке.