ડુકુ - દૂષિત નેસ્ટિંગ ઢીંગલી

પરિચય

1 સપ્ટેમ્બર, 2011 ના રોજ, હંગેરીથી VirusTotal વેબસાઇટ પર ~DN1.tmp નામની ફાઇલ મોકલવામાં આવી હતી. તે સમયે, ફાઇલ માત્ર બે એન્ટિવાયરસ એન્જિનો દ્વારા દૂષિત તરીકે શોધી કાઢવામાં આવી હતી - BitDefender અને AVIRA. આ રીતે ડુકુની વાર્તા શરૂ થઈ. આગળ જોતાં, એવું કહેવું આવશ્યક છે કે આ ફાઇલના નામ પરથી Duqu મૉલવેર કુટુંબનું નામ આપવામાં આવ્યું હતું. જો કે, આ ફાઇલ કીલોગર ફંક્શન્સ સાથેનું એક સંપૂર્ણપણે સ્વતંત્ર સ્પાયવેર મોડ્યુલ છે, જે કદાચ દૂષિત ડાઉનલોડર-ડ્રોપરનો ઉપયોગ કરીને ઇન્સ્ટોલ કરેલું છે, અને તેને ફક્ત તેના ઓપરેશન દરમિયાન Duqu મૉલવેર દ્વારા લોડ કરવામાં આવેલ "પેલોડ" તરીકે જ ગણી શકાય, અને એક ઘટક તરીકે નહીં ( ડુક્યુનું મોડ્યુલ). ડુક્યુ ઘટકોમાંથી એક માત્ર 9 સપ્ટેમ્બરના રોજ વાયરસટોટલ સેવામાં મોકલવામાં આવ્યો હતો. તેનું વિશિષ્ટ લક્ષણ સી-મીડિયા દ્વારા ડિજિટલી હસ્તાક્ષર કરાયેલ ડ્રાઈવર છે. કેટલાક નિષ્ણાતોએ તરત જ માલવેરના અન્ય પ્રખ્યાત ઉદાહરણ સાથે સામ્યતા દોરવાનું શરૂ કર્યું - સ્ટક્સનેટ, જેમાં હસ્તાક્ષરિત ડ્રાઇવરોનો પણ ઉપયોગ થતો હતો. વિશ્વભરમાં વિવિધ એન્ટિવાયરસ કંપનીઓ દ્વારા શોધાયેલ ડુક્યુ-સંક્રમિત કમ્પ્યુટર્સની કુલ સંખ્યા ડઝનેકમાં છે. ઘણી કંપનીઓ દાવો કરે છે કે ઈરાન ફરીથી મુખ્ય લક્ષ્ય છે, પરંતુ ચેપના ભૌગોલિક વિતરણને ધ્યાનમાં લેતા, આ નિશ્ચિતપણે કહી શકાય નહીં.

આ કિસ્સામાં, તમારે આત્મવિશ્વાસપૂર્વક ફક્ત નવી કંપની વિશે જ બોલવું જોઈએ APT (ઉન્નત સતત ધમકી).

સિસ્ટમ અમલીકરણ પ્રક્રિયા

હંગેરિયન સંસ્થા CrySyS (બુડાપેસ્ટ યુનિવર્સિટી ઓફ ટેક્નોલોજી એન્ડ ઇકોનોમિક્સમાં હંગેરિયન લેબોરેટરી ઓફ ક્રિપ્ટોગ્રાફી એન્ડ સિસ્ટમ સિક્યુરિટી) ના નિષ્ણાતો દ્વારા હાથ ધરવામાં આવેલી તપાસમાં ઇન્સ્ટોલર (ડ્રોપર) ની શોધ થઈ જેના દ્વારા સિસ્ટમને ચેપ લાગ્યો હતો. તે win32k.sys ડ્રાઈવર નબળાઈ (MS11-087, 13 નવેમ્બર, 2011 ના રોજ માઈક્રોસોફ્ટ દ્વારા વર્ણવવામાં આવ્યું હતું) માટે શોષણ સાથે માઈક્રોસોફ્ટ વર્ડ ફાઈલ હતી, જે TTF ફોન્ટ રેન્ડરીંગ મિકેનિઝમ માટે જવાબદાર છે. શોટાઈમ ઇન્ક. ફોન્ટના નિર્માતા તરીકે સૂચિબદ્ધ સાથે, શોષણનો શેલકોડ દસ્તાવેજમાં એમ્બેડેડ 'ડેક્સ્ટર રેગ્યુલર' નામના ફોન્ટનો ઉપયોગ કરે છે. જેમ તમે જોઈ શકો છો, ડુકુના નિર્માતાઓ રમૂજની ભાવના માટે કોઈ અજાણ્યા નથી: ડેક્સ્ટર એ સીરીયલ કિલર છે, તે જ નામની ટેલિવિઝન શ્રેણીનો હીરો છે, જે શોટાઇમ દ્વારા નિર્મિત છે. ડેક્સ્ટર માત્ર (જો શક્ય હોય તો) ગુનેગારોને મારી નાખે છે, એટલે કે તે કાયદેસરતાના નામે કાયદો તોડે છે. સંભવતઃ, આ રીતે, ડ્યુક્યુ વિકાસકર્તાઓ વ્યંગાત્મક છે કે તેઓ સારા હેતુઓ માટે ગેરકાયદેસર પ્રવૃત્તિઓમાં રોકાયેલા છે. ઈમેલ મોકલવાનું હેતુપૂર્વક કરવામાં આવ્યું હતું. શિપમેન્ટમાં ટ્રેકિંગને મુશ્કેલ બનાવવા માટે મધ્યસ્થી તરીકે સમાધાન (હેક) કમ્પ્યુટર્સનો ઉપયોગ કરવામાં આવ્યો હતો.
આ રીતે વર્ડ દસ્તાવેજમાં નીચેના ઘટકો શામેલ છે:

• ટેક્સ્ટ સામગ્રી;
• બિલ્ટ-ઇન ફોન્ટ;
• શેલકોડનો ઉપયોગ કરો;
• ડ્રાઈવર;
• ઇન્સ્ટોલર (DLL લાઇબ્રેરી).

જો સફળ થાય, તો શોષણ શેલકોડ નીચેની કામગીરી કરે છે (કર્નલ મોડમાં):

• ફરીથી ચેપ માટે તપાસ કરવામાં આવી હતી; આ માટે, 'CF4D' કીની હાજરી 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones1' સરનામાં પર રજિસ્ટ્રીમાં તપાસવામાં આવી હતી; જો આ સાચું હતું, તો શેલકોડે તેનો અમલ પૂર્ણ કર્યો;
• બે ફાઇલો ડિક્રિપ્ટ કરવામાં આવી હતી - ડ્રાઇવર (sys) અને ઇન્સ્ટોલર (dll);
• ડ્રાઇવરને services.exe પ્રક્રિયામાં ઇન્જેક્ટ કરવામાં આવ્યો હતો અને ઇન્સ્ટોલર શરૂ કર્યું હતું;
• છેલ્લે, શેલકોડ મેમરીમાં શૂન્ય સાથે પોતાને ભૂંસી નાખે છે.

એ હકીકતને કારણે કે win32k.sys ને વિશેષાધિકૃત વપરાશકર્તા 'સિસ્ટમ' હેઠળ ચલાવવામાં આવે છે, ડ્યુક ડેવલપર્સે અનધિકૃત લોન્ચિંગ અને અધિકારો (મર્યાદિત અધિકારો સાથે વપરાશકર્તા ખાતા હેઠળ ચાલી રહેલ) બંનેની સમસ્યાને સુંદર રીતે હલ કરી છે.
નિયંત્રણ પ્રાપ્ત કર્યા પછી, ઇન્સ્ટોલરે મેમરીમાં તેમાં સમાવિષ્ટ ડેટાના ત્રણ બ્લોક્સને ડિક્રિપ્ટ કર્યા, જેમાં શામેલ છે:

• સહી કરેલ ડ્રાઈવર (sys);
• મુખ્ય મોડ્યુલ (dll);
• ઇન્સ્ટોલર રૂપરેખાંકન ડેટા (pnf).

ઇન્સ્ટોલર રૂપરેખાંકન ડેટામાં તારીખ શ્રેણીનો ઉલ્લેખ કરવામાં આવ્યો હતો (બે ટાઇમસ્ટેમ્પના સ્વરૂપમાં - પ્રારંભ અને અંત). ઇન્સ્ટોલરે તપાસ કરી કે વર્તમાન તારીખ તેમાં સમાવિષ્ટ છે કે કેમ, અને જો નહીં, તો તેણે તેનું અમલીકરણ પૂર્ણ કર્યું. ઇન્સ્ટોલર રૂપરેખાંકન ડેટામાં નામો પણ હતા જેના હેઠળ ડ્રાઇવર અને મુખ્ય મોડ્યુલ સાચવવામાં આવ્યા હતા. આ કિસ્સામાં, મુખ્ય મોડ્યુલ એનક્રિપ્ટેડ સ્વરૂપમાં ડિસ્ક પર સાચવવામાં આવ્યું હતું.

ડ્યુકુને ઑટોસ્ટાર્ટ કરવા માટે, ડ્રાઇવર ફાઇલનો ઉપયોગ કરીને સેવા બનાવવામાં આવી હતી જે રજિસ્ટ્રીમાં સંગ્રહિત કીનો ઉપયોગ કરીને ફ્લાય પરના મુખ્ય મોડ્યુલને ડિક્રિપ્ટ કરે છે. મુખ્ય મોડ્યુલમાં તેનું પોતાનું રૂપરેખાંકન ડેટા બ્લોક છે. જ્યારે પ્રથમ વખત લોંચ કરવામાં આવ્યું હતું, ત્યારે તેને ડિક્રિપ્ટ કરવામાં આવ્યું હતું, તેમાં ઇન્સ્ટોલેશનની તારીખ દાખલ કરવામાં આવી હતી, ત્યારબાદ તેને ફરીથી એનક્રિપ્ટ કરવામાં આવી હતી અને મુખ્ય મોડ્યુલ દ્વારા સાચવવામાં આવી હતી. આમ, અસરગ્રસ્ત સિસ્ટમમાં, સફળ ઇન્સ્ટોલેશન પર, ત્રણ ફાઇલો સાચવવામાં આવી હતી - ડ્રાઇવર, મુખ્ય મોડ્યુલ અને તેની ગોઠવણી ડેટા ફાઇલ, જ્યારે છેલ્લી બે ફાઇલો એનક્રિપ્ટેડ સ્વરૂપમાં ડિસ્ક પર સંગ્રહિત કરવામાં આવી હતી. બધી ડીકોડિંગ પ્રક્રિયાઓ ફક્ત મેમરીમાં કરવામાં આવી હતી. આ જટિલ ઇન્સ્ટોલેશન પ્રક્રિયાનો ઉપયોગ એન્ટીવાયરસ સૉફ્ટવેર દ્વારા શોધની શક્યતાને ઘટાડવા માટે કરવામાં આવ્યો હતો.

મુખ્ય મોડ્યુલ

મુખ્ય મોડ્યુલ (સંસાધન 302), અનુસાર માહિતી કંપની કેસ્પરસ્કી લેબ, શુદ્ધ C માં MSVC 2008 નો ઉપયોગ કરીને લખાયેલ છે, પરંતુ ઑબ્જેક્ટ-ઓરિએન્ટેડ અભિગમનો ઉપયોગ કરીને. દૂષિત કોડ વિકસાવતી વખતે આ અભિગમ અસ્પષ્ટ છે. નિયમ પ્રમાણે, માપ ઘટાડવા અને C++ માં અંતર્ગત કોલ્સથી છુટકારો મેળવવા માટે આવા કોડ C માં લખવામાં આવે છે. અહીં ચોક્કસ સહજીવન છે. ઉપરાંત, ઇવેન્ટ-આધારિત આર્કિટેક્ચરનો ઉપયોગ કરવામાં આવ્યો હતો. કેસ્પરસ્કી લેબના કર્મચારીઓ એ સિદ્ધાંત તરફ વલણ ધરાવે છે કે મુખ્ય મોડ્યુલ પ્રી-પ્રોસેસર એડ-ઓનનો ઉપયોગ કરીને લખવામાં આવ્યું હતું જે તમને ઑબ્જેક્ટ શૈલીમાં C કોડ લખવાની મંજૂરી આપે છે.
મુખ્ય મોડ્યુલ ઓપરેટરો પાસેથી આદેશો પ્રાપ્ત કરવાની પ્રક્રિયા માટે જવાબદાર છે. ડુકુ ક્રિયાપ્રતિક્રિયાની ઘણી પદ્ધતિઓ પ્રદાન કરે છે: HTTP અને HTTPS પ્રોટોકોલનો ઉપયોગ કરીને, તેમજ નામવાળી પાઈપોનો ઉપયોગ કરીને. HTTP(S) માટે, આદેશ કેન્દ્રોના ડોમેન નામો નિર્દિષ્ટ કરવામાં આવ્યા હતા, અને પ્રોક્સી સર્વર દ્વારા કાર્ય કરવાની ક્ષમતા પ્રદાન કરવામાં આવી હતી - તેમના માટે વપરાશકર્તા નામ અને પાસવર્ડનો ઉલ્લેખ કરવામાં આવ્યો હતો. IP સરનામું અને તેનું નામ ચેનલ માટે સ્પષ્ટ થયેલ છે. ઉલ્લેખિત ડેટા મુખ્ય મોડ્યુલ રૂપરેખાંકન ડેટા બ્લોકમાં (એનક્રિપ્ટેડ સ્વરૂપમાં) સંગ્રહિત થાય છે.
નામવાળી પાઈપોનો ઉપયોગ કરવા માટે, અમે અમારું પોતાનું RPC સર્વર અમલીકરણ શરૂ કર્યું છે. તે નીચેના સાત કાર્યોને સમર્થન આપે છે:

• ઇન્સ્ટોલ કરેલ સંસ્કરણ પરત કરો;
• ઉલ્લેખિત પ્રક્રિયામાં dll દાખલ કરો અને ઉલ્લેખિત કાર્યને કૉલ કરો;
• dll લોડ કરો;
• CreateProcess();ને કૉલ કરીને પ્રક્રિયા શરૂ કરો;
• આપેલ ફાઇલની સામગ્રી વાંચો;
• ઉલ્લેખિત ફાઇલમાં ડેટા લખો;
• ઉલ્લેખિત ફાઇલ કાઢી નાખો.

ડુક્યુ-સંક્રમિત કમ્પ્યુટર્સ વચ્ચે અપડેટ કરેલ મોડ્યુલો અને રૂપરેખાંકન ડેટાને વિતરિત કરવા માટે સ્થાનિક નેટવર્કમાં નામવાળી પાઈપોનો ઉપયોગ કરી શકાય છે. આ ઉપરાંત, ડુકુ અન્ય ચેપગ્રસ્ત કમ્પ્યુટર્સ માટે પ્રોક્સી સર્વર તરીકે કાર્ય કરી શકે છે (જેમાં ગેટવે પર ફાયરવોલ સેટિંગ્સને કારણે ઇન્ટરનેટની ઍક્સેસ ન હતી). Duqu ના કેટલાક સંસ્કરણોમાં RPC કાર્યક્ષમતા નથી.

જાણીતા "પેલોડ્સ"

Symantec એ ડ્યુક્યુ કંટ્રોલ સેન્ટરમાંથી આદેશ હેઠળ ડાઉનલોડ કરેલા ઓછામાં ઓછા ચાર પ્રકારના પેલોડ્સ શોધ્યા.
તદુપરાંત, તેમાંથી ફક્ત એક જ નિવાસી હતી અને એક્ઝિક્યુટેબલ ફાઇલ (exe) તરીકે સંકલિત કરવામાં આવી હતી, જે ડિસ્કમાં સાચવવામાં આવી હતી. બાકીના ત્રણ dll પુસ્તકાલયો તરીકે અમલમાં મુકાયા હતા. તેઓ ગતિશીલ રીતે લોડ થયા હતા અને ડિસ્કમાં સાચવ્યા વિના મેમરીમાં ચલાવવામાં આવ્યા હતા.

નિવાસી "પેલોડ" એક જાસૂસ મોડ્યુલ હતું (ઇન્ફોસ્ટીલર) કીલોગર ફંક્શન્સ સાથે. તેને VirusTotal ને મોકલીને જ Duqu સંશોધન પર કામ શરૂ થયું. મુખ્ય જાસૂસી કાર્યક્ષમતા સંસાધનમાં હતી, જેમાંથી પ્રથમ 8 કિલોબાઈટમાં ગેલેક્સી NGC 6745 (છદ્માવરણ માટે) ના ફોટોનો ભાગ હતો. અત્રે એ યાદ રાખવું જોઈએ કે એપ્રિલ 2012 માં કેટલાક મીડિયાએ માહિતી પ્રકાશિત કરી હતી (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) કે ઈરાન કેટલાક દૂષિત સોફ્ટવેર “સ્ટાર્સ”ના સંપર્કમાં આવ્યું હતું, જ્યારે તેની વિગતો ઘટના જાહેર કરવામાં આવી ન હતી. કદાચ તે ડ્યુકુ "પેલોડ" નો આવો જ એક નમૂનો હતો જે તે સમયે ઈરાનમાં મળી આવ્યો હતો, તેથી તેનું નામ "સ્ટાર્સ" પડ્યું.
જાસૂસી મોડ્યુલે નીચેની માહિતી એકત્રિત કરી:

• ચાલી રહેલ પ્રક્રિયાઓની સૂચિ, વર્તમાન વપરાશકર્તા અને ડોમેન વિશેની માહિતી;
• લોજિકલ ડ્રાઈવોની યાદી, નેટવર્ક ડ્રાઈવો સહિત;
• સ્ક્રીનશૉટ્સ;
• નેટવર્ક ઇન્ટરફેસ સરનામાં, રૂટીંગ કોષ્ટકો;
• કીબોર્ડ કીસ્ટ્રોકની લોગ ફાઇલ;
• ઓપન એપ્લીકેશન વિન્ડોનાં નામ;
• ઉપલબ્ધ નેટવર્ક સંસાધનોની સૂચિ (શેરિંગ સંસાધનો);
• દૂર કરી શકાય તેવી ડિસ્ક સહિત તમામ ડિસ્ક પરની ફાઇલોની સંપૂર્ણ યાદી;
• "નેટવર્ક પર્યાવરણ" માં કમ્પ્યુટર્સની સૂચિ.

અન્ય જાસૂસ મોડ્યુલ (ઇન્ફોસ્ટીલર) એ પહેલાથી વર્ણવેલ છે તેની વિવિધતા હતી, પરંતુ dll લાઇબ્રેરી તરીકે સંકલિત કરવામાં આવી હતી; કીલોગરના કાર્યો, ફાઇલોની સૂચિનું સંકલન અને ડોમેનમાં સમાવિષ્ટ કમ્પ્યુટર્સની સૂચિને તેમાંથી દૂર કરવામાં આવ્યા હતા.
આગલું મોડ્યુલ (સ્વીકૃતિ) એકત્રિત સિસ્ટમ માહિતી:

• કમ્પ્યુટર ડોમેનનો ભાગ છે કે કેમ;
• વિન્ડોઝ સિસ્ટમ ડિરેક્ટરીઓ માટે પાથ;
• ઓપરેટિંગ સિસ્ટમ આવૃત્તિ;
• વર્તમાન વપરાશકર્તા નામ;
• નેટવર્ક એડેપ્ટરોની સૂચિ;
• સિસ્ટમ અને સ્થાનિક સમય, તેમજ સમય ઝોન.

છેલ્લું મોડ્યુલ (આયુષ્ય વધારનાર) કાર્ય પૂર્ણ થાય ત્યાં સુધી બાકી રહેલા દિવસોની સંખ્યા (મુખ્ય મોડ્યુલ રૂપરેખાંકન ડેટા ફાઇલમાં સંગ્રહિત) વધારવા માટે એક કાર્ય અમલમાં મૂક્યું છે. ડિફૉલ્ટ રૂપે, આ ​​મૂલ્ય Duqu ફેરફારના આધારે 30 અથવા 36 દિવસ પર સેટ કરવામાં આવ્યું હતું, અને દરરોજ એકનો ઘટાડો થયો હતો.

આદેશ કેન્દ્રો

ઑક્ટોબર 20, 2011 ના રોજ (શોધ વિશેની માહિતી પ્રસારિત થયાના ત્રણ દિવસ પછી), ડ્યુક્યુ ઓપરેટરોએ કમાન્ડ સેન્ટર્સની કામગીરીના નિશાનને નષ્ટ કરવા માટેની પ્રક્રિયા હાથ ધરી હતી. વિયેતનામ, ભારત, જર્મની, સિંગાપોર, સ્વિટ્ઝર્લૅન્ડ, ગ્રેટ બ્રિટન, હોલેન્ડ અને દક્ષિણ કોરિયામાં - કમાન્ડ સેન્ટરો વિશ્વભરના હેક થયેલા સર્વર્સ પર સ્થિત હતા. રસપ્રદ રીતે, બધા ઓળખાયેલા સર્વર્સ CentOS વર્ઝન 5.2, 5.4 અથવા 5.5 ચલાવી રહ્યા હતા. ઓએસ બંને 32-બીટ અને 64-બીટ હતા. હકીકત એ છે કે કમાન્ડ સેન્ટર્સના સંચાલનને લગતી તમામ ફાઇલો કાઢી નાખવામાં આવી હોવા છતાં, કેસ્પરસ્કી લેબના નિષ્ણાતો સ્લેક સ્પેસમાંથી LOG ફાઇલોમાંથી કેટલીક માહિતી પુનઃપ્રાપ્ત કરવામાં સક્ષમ હતા. સૌથી રસપ્રદ હકીકત એ છે કે સર્વર્સ પરના હુમલાખોરોએ હંમેશા ડિફોલ્ટ OpenSSH 4.3 પેકેજને સંસ્કરણ 5.8 સાથે બદલ્યું છે. આ સૂચવે છે કે OpenSSH 4.3 માં અજ્ઞાત નબળાઈનો ઉપયોગ સર્વરોને હેક કરવા માટે કરવામાં આવ્યો હતો. તમામ સિસ્ટમોનો ઉપયોગ કમાન્ડ સેન્ટર તરીકે થતો ન હતો. કેટલાક, 80 અને 443 પોર્ટ્સ માટે ટ્રાફિકને રીડાયરેક્ટ કરવાનો પ્રયાસ કરતી વખતે sshd લોગમાંની ભૂલોને ધ્યાનમાં લેતા, અંતિમ આદેશ કેન્દ્રો સાથે જોડાવા માટે પ્રોક્સી સર્વર તરીકે ઉપયોગમાં લેવાય છે.

તારીખો અને મોડ્યુલો

એપ્રિલ 2011માં વિતરિત કરાયેલ વર્ડ ડોક્યુમેન્ટ, જેની કેસ્પરસ્કી લેબ દ્વારા તપાસ કરવામાં આવી હતી, તેમાં 31 ઓગસ્ટ, 2007ની સંકલન તારીખ સાથે ઇન્સ્ટોલર ડાઉનલોડ ડ્રાઇવર છે. CrySys પ્રયોગશાળાઓમાં મળેલા દસ્તાવેજમાં સમાન ડ્રાઇવર (કદ - 20608 બાઇટ્સ, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) 21 ફેબ્રુઆરી, 2008 ની સંકલન તારીખ હતી. વધુમાં, કેસ્પરસ્કી લેબના નિષ્ણાતોએ 19968 જાન્યુઆરી, 5ની તારીખ સાથે ઑટોરન ડ્રાઇવર rndismpc.sys (કદ - 9 બાઇટ્સ, MD6 - 10AEC5E9C05EE93221544C783BED20C2008E) શોધી કાઢ્યો હતો. 2009 ચિહ્નિત થયેલ કોઈ ઘટકો મળ્યાં નથી. ડુકુના વ્યક્તિગત ભાગોના સંકલનના ટાઇમસ્ટેમ્પના આધારે, તેનો વિકાસ 2007 ની શરૂઆતમાં થઈ શકે છે. તેનું સૌથી પહેલું અભિવ્યક્તિ ~DO (કદાચ સ્પાયવેર મોડ્યુલમાંથી એક દ્વારા બનાવવામાં આવેલ) પ્રકારની અસ્થાયી ફાઇલોની શોધ સાથે સંકળાયેલું છે, જેની બનાવટની તારીખ નવેમ્બર 28, 2008 છે (લેખ "ડુકુ અને સ્ટક્સનેટ: રસપ્રદ ઘટનાઓની સમયરેખા"). Duqu સાથે સંકળાયેલ સૌથી તાજેતરની તારીખ ફેબ્રુઆરી 23, 2012 હતી, જે માર્ચ 2012 માં સિમેન્ટેક દ્વારા શોધાયેલ ઇન્સ્ટોલર ડાઉનલોડ ડ્રાઇવરમાં સમાયેલ હતી.

વપરાયેલ માહિતીના સ્ત્રોતો:

લેખોની શ્રેણી કેસ્પરસ્કી લેબમાંથી ડુકુ વિશે;
સિમેન્ટેક વિશ્લેષણાત્મક અહેવાલ "W32.Duqu આગામી Stuxnet માટે પુરોગામી", આવૃત્તિ 1.4, નવેમ્બર 2011 (pdf).

સોર્સ: www.habr.com