Duqu

A Duqu a kártékony programok közé tartozik, és a világon az egyik legismertebb ilyen kártevő. A Duqu felfedezője és első analizálója a Budapesti Műszaki Egyetem Híradástechnikai Tanszékén működő CrySyS Adat- és Rendszerbiztonság Laboratórium (CrySyS Lab), a felfedezés híre bejárta a világsajtót. A laboratórium, amelyik a Duqu nevet adta a kártevőnek, az ügy kapcsán kezdetben egyedül, titokban dolgozva egy 60 oldalas tanulmányt hozott létre. Ennek a tanulmánynak a lerövidített, kb. 35 oldalas tanulmánya került be az első nyilvános jelentésbe a kártevőről, amelyet a Symantec publikált Később a CrySyS Labor elismerte, hogy az ő kutatócsoportjuk áll a kártevő első analízise, felfedezése és elnevezése mögött. A Duqu kártevő a nevét arról kapta, hogy az információ lopó komponense "~DQ" kezdetű fájlneveket használ a rögzített adatok tárolására.

Nómenklatúra

A Duqu kifejezés több dolgot is jelent az ügy vonatkozásában:

• A Duqu kártevő elnevezés használatos az ügy kapcsán felfedezett különféle programkomponensek vonatkozásában, melyek közé tartoznak információ gyűjtő komponensek, kernel driver, kód beinjektáló eszköz, stb. A Duqu kártevő egyfajta moduláris programkészlet, az egyes moduloknak több egyedi változata létezik kis módosításokkal, a szokásos számítógépes kártevőkhöz képest így besorolása nehezebb.

• A Duqu biztonsági rés (Duqu flaw, Duqu exploit) a Microsoft Windows azon hibájára utal, amelyet az eddig megismert két ún. dropper használt. A dropper felelős a többi programkomponens telepítéséért és a többi komponens futtatásáért. A megismert két dropper A Microsoft Windows TTF fontkezelésének hibáját használja ki a win32k.sys operációs rendszer komponensben..

• Duqu hadművelet (Operation Duqu) arra a célzott támadássorozatra utal, amelyet ismeretlen támadók a Duqu segítségével indítottak, és amely vélhetően kapcsolódik a Stuxnet támadássorozathoz.

Stuxnet kapcsolat

A számítógépes biztonsági iparban elsőként a Symantec folytatta az ügy kutatását a CrySyS analízis alapján és a kártevőt a "Stuxnettel majdnem teljesen azonos, de teljesen eltérő célú" kártevőnek nevezte. A Symantec vizsgálat egyértelmű megállapítása, hogy a Duqu kártevőt vagy a Stuxnet szerzői készítették, vagy hozzáfértek a Stuxnet forráskódjához. A Duqu, a Stuxnethez hasonlóan valódi digitális aláírással ellátott kernel drivert használ. Mikko Hyppönen, az F-Secure vezető kutatója elmondta, hogy a Duqu kernel driver JMINET7.SYS olyan mértékben hasonlít a Stuxnet MRXCLS.SYS komponenséhez, hogy az F-Secure's back-end rendszerei Stuxnet komponensnek azonosították. A kernel aláírásához használt tanúsítvány a C-Media tajvani céghez tartozik. A tanúsítvány 2012. augusztus 2-án járt volna le, de visszavonásra került 2011. október 14-én. A Dell SecureWorks azon az állásponton áll, hogy a Duqu esetleg nincs kapcsolatban a Stuxnet kártevővel.

A kutatók szerint a következő három legfontosabb hasonlóság támasztja alá Stuxnet és a Duqu közvetlen kapcsolatát:

• A dropper (telepítő) által kihasznált hibák (zero-day Windows hibák).
• Komponensek, melyek lopott kulcsokkal kerültek digitálisan aláírásra
• Nagymértékű célzottság, amely összefüggésbe hozható Irán atomprogramjával.

Microsoft Word zero-day exploit (korábban nem ismert sérülékenységet kihasználó támadó programrész)

A Stuxnet kártevőhöz hasonlóan, a Duqu Microsoft Windows rendszerek ellen zero-day sérülékenység felhasználásával tud támadást indítani. A Duqu első ismert telepítőjét (más néven a dropper module) a CrySyS Labor azonosította és elemezte elsőként. A támadó adat egy Microsoft Word (.doc) dokumentum amely kihasználja a Win32k windows module TrueType betűtípust feldolgozó magjának hibáját és azon keresztül kód futtatását teszi lehetővé.

A támadás a beágyazott fontokkal kapcsolatos, és nemcsak .doc kiterjesztésű fájlokat érinthet. Ideiglenes megoldásként a Microsoft a T2EMBED.DLL jogosultságainak megváltoztatásával a beágyazott fontok kezelésének letiltását javasolta a később megjelent teljes hibajavítás telepítéséig. A hiba kapcsán a Microsoft MS11-087 néven publikált hibajelentést 2011. november 13-án.

A Duqu célja

A Duqu készítőiről és a támadássorozat pontos céljáról nincs megbízható adat. A feltárt célpontok alapján elmondható, hogy a Duqu információszerzés céljára került bevetésre ipari vezérlőrendszerekkel összefüggő környezetben. A Duqu moduláris felépítése folytán bármilyen speciális feladatra is képes lehet, de eddig megismert komponensei nem tartalmaztak közvetlen károkozó programmodult, mint pl. a Stuxnet esetében a PLC átprogramozó komponens. A vezérlése során a Duqu egy 54×54 pixel méretű jpeg fájlt (364.5 bytes) és további rejtjelezett bináris adatokat használ a kommunikáció leplezésére. A Duqu automata önmegsemmisítéssel is rendelkezik, az első minta esetében a telepítéstől számított 36. napon törli magát, hogy megnehezítse a detektálását.

Command and control kiszolgálók

A Duqu támadások során több command and control vezérlőkiszolgálót sikerült analizálni. Valamilyen oknál fogva több kiszolgáló CentOS 5.x verziójú operációs rendszerre épült, így egyes kutatók azt gyanítják, hogy esetleg egy korábban nem ismert operációs rendszer hiba állhat ennek hátterében. A legtöbb kutatást a C&C kiszolgálók kapcsán a Kaspersky Labs végzett. C&C vezérlőket találtak több országban, így pl. Németország, Belgium, Fülöp-szigetek és Kína területén.