ಡುಕು ದುರುದ್ದೇಶಪೂರಿತ ಮ್ಯಾಟ್ರಿಯೋಷ್ಕಾ

ಪರಿಚಯ

ಸೆಪ್ಟೆಂಬರ್ 1, 2011 ರಂದು, ~DN1.tmp ಹೆಸರಿನ ಫೈಲ್ ಅನ್ನು ಹಂಗೇರಿಯಿಂದ VirusTotal ವೆಬ್‌ಸೈಟ್‌ಗೆ ಕಳುಹಿಸಲಾಗಿದೆ. ಆ ಸಮಯದಲ್ಲಿ, ಫೈಲ್ ಅನ್ನು ಕೇವಲ ಎರಡು ಆಂಟಿವೈರಸ್ ಎಂಜಿನ್‌ಗಳು ದುರುದ್ದೇಶಪೂರಿತವೆಂದು ಪತ್ತೆಮಾಡಿದವು - BitDefender ಮತ್ತು AVIRA. ಡುಕು ಕಥೆಯು ಹೀಗೆ ಪ್ರಾರಂಭವಾಯಿತು. ಮುಂದೆ ನೋಡುವಾಗ, ಈ ಫೈಲ್‌ನ ಹೆಸರಿನಿಂದ ಡುಕ್ ಮಾಲ್‌ವೇರ್ ಕುಟುಂಬವನ್ನು ಹೆಸರಿಸಲಾಗಿದೆ ಎಂದು ಹೇಳಬೇಕು. ಆದಾಗ್ಯೂ, ಈ ಫೈಲ್ ಕೀಲಿ ಭೇದಕ ಕಾರ್ಯಗಳನ್ನು ಹೊಂದಿರುವ ಸಂಪೂರ್ಣ ಸ್ವತಂತ್ರ ಸ್ಪೈವೇರ್ ಮಾಡ್ಯೂಲ್ ಆಗಿದೆ, ಸ್ಥಾಪಿಸಲಾಗಿದೆ, ಬಹುಶಃ, ದುರುದ್ದೇಶಪೂರಿತ ಡೌನ್‌ಲೋಡರ್-ಡ್ರಾಪರ್ ಅನ್ನು ಬಳಸಿ, ಮತ್ತು ಅದರ ಕಾರ್ಯಾಚರಣೆಯ ಸಮಯದಲ್ಲಿ ಡುಕ್ ಮಾಲ್‌ವೇರ್‌ನಿಂದ ಲೋಡ್ ಮಾಡಲಾದ “ಪೇಲೋಡ್” ಎಂದು ಮಾತ್ರ ಪರಿಗಣಿಸಬಹುದು ಮತ್ತು ಒಂದು ಘಟಕವಾಗಿ ಅಲ್ಲ ( ಮಾಡ್ಯೂಲ್) ಡುಕು . Duqu ಘಟಕಗಳಲ್ಲಿ ಒಂದನ್ನು ಸೆಪ್ಟೆಂಬರ್ 9 ರಂದು ಮಾತ್ರ Virustotal ಸೇವೆಗೆ ಕಳುಹಿಸಲಾಗಿದೆ. ಇದರ ವಿಶಿಷ್ಟ ವೈಶಿಷ್ಟ್ಯವೆಂದರೆ ಸಿ-ಮೀಡಿಯಾದಿಂದ ಡಿಜಿಟಲ್ ಸಹಿ ಮಾಡಿದ ಚಾಲಕ. ಕೆಲವು ತಜ್ಞರು ತಕ್ಷಣವೇ ಮಾಲ್ವೇರ್ನ ಮತ್ತೊಂದು ಪ್ರಸಿದ್ಧ ಉದಾಹರಣೆಯೊಂದಿಗೆ ಸಾದೃಶ್ಯಗಳನ್ನು ಸೆಳೆಯಲು ಪ್ರಾರಂಭಿಸಿದರು - ಸ್ಟಕ್ಸ್ನೆಟ್, ಸಹಿ ಮಾಡಿದ ಡ್ರೈವರ್ಗಳನ್ನು ಸಹ ಬಳಸಿದರು. ಪ್ರಪಂಚದಾದ್ಯಂತದ ವಿವಿಧ ಆಂಟಿವೈರಸ್ ಕಂಪನಿಗಳಿಂದ ಪತ್ತೆಯಾದ ಡುಕ್-ಸೋಂಕಿತ ಕಂಪ್ಯೂಟರ್‌ಗಳ ಒಟ್ಟು ಸಂಖ್ಯೆ ಡಜನ್‌ಗಳಲ್ಲಿದೆ. ಇರಾನ್ ಮತ್ತೆ ಮುಖ್ಯ ಗುರಿಯಾಗಿದೆ ಎಂದು ಅನೇಕ ಕಂಪನಿಗಳು ಹೇಳಿಕೊಳ್ಳುತ್ತವೆ, ಆದರೆ ಸೋಂಕುಗಳ ಭೌಗೋಳಿಕ ವಿತರಣೆಯಿಂದ ನಿರ್ಣಯಿಸುವುದು, ಇದನ್ನು ಖಚಿತವಾಗಿ ಹೇಳಲಾಗುವುದಿಲ್ಲ.

ಈ ಸಂದರ್ಭದಲ್ಲಿ, ನೀವು ಹೊಸ ವಿಲಕ್ಷಣ ಪದದೊಂದಿಗೆ ಮತ್ತೊಂದು ಕಂಪನಿಯ ಬಗ್ಗೆ ಮಾತ್ರ ವಿಶ್ವಾಸದಿಂದ ಮಾತನಾಡಬೇಕು APT (ಸುಧಾರಿತ ನಿರಂತರ ಬೆದರಿಕೆ).

ಸಿಸ್ಟಮ್ ಅನುಷ್ಠಾನ ಕಾರ್ಯವಿಧಾನ

ಹಂಗೇರಿಯನ್ ಸಂಸ್ಥೆ CrySyS (ಬುಡಾಪೆಸ್ಟ್ ಯೂನಿವರ್ಸಿಟಿ ಆಫ್ ಟೆಕ್ನಾಲಜಿ ಅಂಡ್ ಎಕನಾಮಿಕ್ಸ್‌ನಲ್ಲಿ ಹಂಗೇರಿಯನ್ ಲ್ಯಾಬೊರೇಟರಿ ಆಫ್ ಕ್ರಿಪ್ಟೋಗ್ರಫಿ ಮತ್ತು ಸಿಸ್ಟಮ್ ಸೆಕ್ಯುರಿಟಿ) ತಜ್ಞರು ನಡೆಸಿದ ತನಿಖೆಯು ಸಿಸ್ಟಮ್ ಸೋಂಕಿಗೆ ಒಳಗಾದ ಇನ್‌ಸ್ಟಾಲರ್ (ಡ್ರಾಪರ್) ಆವಿಷ್ಕಾರಕ್ಕೆ ಕಾರಣವಾಯಿತು. ಇದು TTF ಫಾಂಟ್ ರೆಂಡರಿಂಗ್ ಕಾರ್ಯವಿಧಾನಕ್ಕೆ ಜವಾಬ್ದಾರರಾಗಿರುವ win32k.sys ಚಾಲಕ ದುರ್ಬಲತೆ (MS11-087, ನವೆಂಬರ್ 13, 2011 ರಂದು ಮೈಕ್ರೋಸಾಫ್ಟ್ ವಿವರಿಸಿದೆ) ಗಾಗಿ ಶೋಷಣೆಯೊಂದಿಗೆ ಮೈಕ್ರೋಸಾಫ್ಟ್ ವರ್ಡ್ ಫೈಲ್ ಆಗಿದೆ. ಎಕ್ಸ್‌ಪ್ಲೋಯಿಟ್‌ನ ಶೆಲ್‌ಕೋಡ್ ಡಾಕ್ಯುಮೆಂಟ್‌ನಲ್ಲಿ ಎಂಬೆಡ್ ಮಾಡಲಾದ 'ಡೆಕ್ಸ್ಟರ್ ರೆಗ್ಯುಲರ್' ಎಂಬ ಫಾಂಟ್ ಅನ್ನು ಬಳಸುತ್ತದೆ, ಜೊತೆಗೆ ಶೋಟೈಮ್ Inc. ಅನ್ನು ಫಾಂಟ್‌ನ ಸೃಷ್ಟಿಕರ್ತ ಎಂದು ಪಟ್ಟಿ ಮಾಡಲಾಗಿದೆ. ನೀವು ನೋಡುವಂತೆ, ಡುಕ್‌ನ ಸೃಷ್ಟಿಕರ್ತರು ಹಾಸ್ಯ ಪ್ರಜ್ಞೆಗೆ ಹೊಸದೇನಲ್ಲ: ಡೆಕ್ಸ್ಟರ್ ಸರಣಿ ಕೊಲೆಗಾರ, ಶೋಟೈಮ್ ನಿರ್ಮಿಸಿದ ಅದೇ ಹೆಸರಿನ ದೂರದರ್ಶನ ಸರಣಿಯ ನಾಯಕ. ಡೆಕ್ಸ್ಟರ್ ಅಪರಾಧಿಗಳನ್ನು ಮಾತ್ರ (ಸಾಧ್ಯವಾದರೆ) ಕೊಲ್ಲುತ್ತಾನೆ, ಅಂದರೆ, ಅವನು ಕಾನೂನುಬದ್ಧತೆಯ ಹೆಸರಿನಲ್ಲಿ ಕಾನೂನನ್ನು ಮುರಿಯುತ್ತಾನೆ. ಬಹುಶಃ, ಈ ರೀತಿಯಾಗಿ, ಡುಕ್ ಡೆವಲಪರ್‌ಗಳು ಉತ್ತಮ ಉದ್ದೇಶಗಳಿಗಾಗಿ ಕಾನೂನುಬಾಹಿರ ಚಟುವಟಿಕೆಗಳಲ್ಲಿ ತೊಡಗಿಸಿಕೊಂಡಿದ್ದಾರೆ ಎಂದು ವ್ಯಂಗ್ಯವಾಡಿದ್ದಾರೆ. ಇಮೇಲ್‌ಗಳನ್ನು ಕಳುಹಿಸುವುದನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಮಾಡಲಾಗಿದೆ. ಸಾಗಣೆಯು ಟ್ರ್ಯಾಕಿಂಗ್ ಅನ್ನು ಕಷ್ಟಕರವಾಗಿಸಲು ಮಧ್ಯವರ್ತಿಯಾಗಿ ರಾಜಿ ಮಾಡಿಕೊಂಡ (ಹ್ಯಾಕ್) ಕಂಪ್ಯೂಟರ್‌ಗಳನ್ನು ಬಳಸುತ್ತದೆ.
ವರ್ಡ್ ಡಾಕ್ಯುಮೆಂಟ್ ಈ ಕೆಳಗಿನ ಅಂಶಗಳನ್ನು ಒಳಗೊಂಡಿದೆ:

• ಪಠ್ಯ ವಿಷಯ;
• ಅಂತರ್ನಿರ್ಮಿತ ಫಾಂಟ್;
• ಶೆಲ್ಕೋಡ್ ಅನ್ನು ಬಳಸಿಕೊಳ್ಳಿ;
• ಚಾಲಕ;
• ಅನುಸ್ಥಾಪಕ (DLL ಲೈಬ್ರರಿ).

ಯಶಸ್ವಿಯಾದರೆ, ಶೋಷಣೆ ಶೆಲ್‌ಕೋಡ್ ಈ ಕೆಳಗಿನ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ನಿರ್ವಹಿಸುತ್ತದೆ (ಕರ್ನಲ್ ಮೋಡ್‌ನಲ್ಲಿ):

• ಮರು-ಸೋಂಕಿಗಾಗಿ ಒಂದು ಪರಿಶೀಲನೆಯನ್ನು ಮಾಡಲಾಯಿತು, 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones4' ಎಂಬ ವಿಳಾಸದಲ್ಲಿ 'CF1D' ಕೀ ಇರುವಿಕೆಯನ್ನು ಪರಿಶೀಲಿಸಲಾಗಿದೆ, ಇದು ಸರಿಯಾಗಿದ್ದರೆ, ಅದರ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆ;
• ಎರಡು ಫೈಲ್ಗಳನ್ನು ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಲಾಗಿದೆ - ಚಾಲಕ (sys) ಮತ್ತು ಅನುಸ್ಥಾಪಕ (dll);
• ಚಾಲಕವನ್ನು services.exe ಪ್ರಕ್ರಿಯೆಗೆ ಚುಚ್ಚಲಾಯಿತು ಮತ್ತು ಅನುಸ್ಥಾಪಕವನ್ನು ಪ್ರಾರಂಭಿಸಲಾಯಿತು;
• ಅಂತಿಮವಾಗಿ, ಶೆಲ್‌ಕೋಡ್ ಮೆಮೊರಿಯಲ್ಲಿ ಸೊನ್ನೆಗಳೊಂದಿಗೆ ಅಳಿಸಿಹಾಕಿತು.

win32k.sys ಅನ್ನು ಸವಲತ್ತು ಪಡೆದ ಬಳಕೆದಾರ 'ಸಿಸ್ಟಮ್' ಅಡಿಯಲ್ಲಿ ಕಾರ್ಯಗತಗೊಳಿಸಲಾಗಿದೆ ಎಂಬ ಕಾರಣದಿಂದಾಗಿ, Duqu ಡೆವಲಪರ್‌ಗಳು ಅನಧಿಕೃತ ಉಡಾವಣೆ ಮತ್ತು ಹಕ್ಕುಗಳ ಹೆಚ್ಚಳ ಎರಡರ ಸಮಸ್ಯೆಯನ್ನು ನಾಜೂಕಾಗಿ ಪರಿಹರಿಸಿದ್ದಾರೆ (ಸೀಮಿತ ಹಕ್ಕುಗಳೊಂದಿಗೆ ಬಳಕೆದಾರ ಖಾತೆಯ ಅಡಿಯಲ್ಲಿ ಚಾಲನೆಯಲ್ಲಿದೆ).
ನಿಯಂತ್ರಣವನ್ನು ಸ್ವೀಕರಿಸಿದ ನಂತರ, ಅನುಸ್ಥಾಪಕವು ಮೆಮೊರಿಯಲ್ಲಿ ಒಳಗೊಂಡಿರುವ ಮೂರು ಬ್ಲಾಕ್ ಡೇಟಾವನ್ನು ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಿದೆ, ಇವುಗಳನ್ನು ಒಳಗೊಂಡಿರುತ್ತದೆ:

• ಸಹಿ ಮಾಡಿದ ಚಾಲಕ (sys);
• ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ (dll);
• ಅನುಸ್ಥಾಪಕ ಕಾನ್ಫಿಗರೇಶನ್ ಡೇಟಾ (pnf).

ಸ್ಥಾಪಕ ಕಾನ್ಫಿಗರೇಶನ್ ಡೇಟಾದಲ್ಲಿ ದಿನಾಂಕ ಶ್ರೇಣಿಯನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸಲಾಗಿದೆ (ಎರಡು ಸಮಯಸ್ಟ್ಯಾಂಪ್‌ಗಳ ರೂಪದಲ್ಲಿ - ಪ್ರಾರಂಭ ಮತ್ತು ಅಂತ್ಯ). ಸ್ಥಾಪಕವು ಪ್ರಸ್ತುತ ದಿನಾಂಕವನ್ನು ಅದರಲ್ಲಿ ಸೇರಿಸಲಾಗಿದೆಯೇ ಎಂದು ಪರಿಶೀಲಿಸಿದೆ ಮತ್ತು ಇಲ್ಲದಿದ್ದರೆ, ಅದು ಅದರ ಕಾರ್ಯಗತಗೊಳಿಸುವಿಕೆಯನ್ನು ಪೂರ್ಣಗೊಳಿಸಿದೆ. ಸ್ಥಾಪಕ ಕಾನ್ಫಿಗರೇಶನ್ ಡೇಟಾದಲ್ಲಿ ಚಾಲಕ ಮತ್ತು ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ಅನ್ನು ಉಳಿಸಿದ ಹೆಸರುಗಳು. ಈ ಸಂದರ್ಭದಲ್ಲಿ, ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ಅನ್ನು ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ರೂಪದಲ್ಲಿ ಡಿಸ್ಕ್‌ನಲ್ಲಿ ಉಳಿಸಲಾಗಿದೆ.

ಡುಕುವನ್ನು ಸ್ವಯಂಪ್ರಾರಂಭಿಸಲು, ರಿಜಿಸ್ಟ್ರಿಯಲ್ಲಿ ಸಂಗ್ರಹವಾಗಿರುವ ಕೀಗಳನ್ನು ಬಳಸಿಕೊಂಡು ಫ್ಲೈನಲ್ಲಿ ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ಅನ್ನು ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡುವ ಚಾಲಕ ಫೈಲ್ ಅನ್ನು ಬಳಸಿಕೊಂಡು ಸೇವೆಯನ್ನು ರಚಿಸಲಾಗಿದೆ. ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ತನ್ನದೇ ಆದ ಕಾನ್ಫಿಗರೇಶನ್ ಡೇಟಾ ಬ್ಲಾಕ್ ಅನ್ನು ಹೊಂದಿದೆ. ಮೊದಲು ಪ್ರಾರಂಭಿಸಿದಾಗ, ಅದನ್ನು ಡೀಕ್ರಿಪ್ಟ್ ಮಾಡಲಾಗಿದೆ, ಅನುಸ್ಥಾಪನೆಯ ದಿನಾಂಕವನ್ನು ಅದರಲ್ಲಿ ನಮೂದಿಸಲಾಗಿದೆ, ನಂತರ ಅದನ್ನು ಮತ್ತೆ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಲಾಗಿದೆ ಮತ್ತು ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್‌ನಿಂದ ಉಳಿಸಲಾಗಿದೆ. ಹೀಗಾಗಿ, ಪೀಡಿತ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ, ಯಶಸ್ವಿ ಅನುಸ್ಥಾಪನೆಯ ನಂತರ, ಮೂರು ಫೈಲ್‌ಗಳನ್ನು ಉಳಿಸಲಾಗಿದೆ - ಚಾಲಕ, ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ಮತ್ತು ಅದರ ಕಾನ್ಫಿಗರೇಶನ್ ಡೇಟಾ ಫೈಲ್, ಕೊನೆಯ ಎರಡು ಫೈಲ್‌ಗಳನ್ನು ಡಿಸ್ಕ್‌ನಲ್ಲಿ ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ರೂಪದಲ್ಲಿ ಸಂಗ್ರಹಿಸಲಾಗಿದೆ. ಎಲ್ಲಾ ಡಿಕೋಡಿಂಗ್ ಕಾರ್ಯವಿಧಾನಗಳನ್ನು ಮೆಮೊರಿಯಲ್ಲಿ ಮಾತ್ರ ನಡೆಸಲಾಯಿತು. ಆಂಟಿವೈರಸ್ ಸಾಫ್ಟ್‌ವೇರ್ ಮೂಲಕ ಪತ್ತೆಹಚ್ಚುವ ಸಾಧ್ಯತೆಯನ್ನು ಕಡಿಮೆ ಮಾಡಲು ಈ ಸಂಕೀರ್ಣ ಅನುಸ್ಥಾಪನಾ ವಿಧಾನವನ್ನು ಬಳಸಲಾಗಿದೆ.

ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್

ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ (ಸಂಪನ್ಮೂಲ 302), ಪ್ರಕಾರ ಮಾಹಿತಿ ಕಂಪನಿ ಕ್ಯಾಸ್ಪರ್ಸ್ಕಿ ಲ್ಯಾಬ್, MSVC 2008 ಅನ್ನು ಶುದ್ಧ C ಯಲ್ಲಿ ಬರೆಯಲಾಗಿದೆ, ಆದರೆ ವಸ್ತು-ಆಧಾರಿತ ವಿಧಾನವನ್ನು ಬಳಸುತ್ತದೆ. ದುರುದ್ದೇಶಪೂರಿತ ಕೋಡ್ ಅನ್ನು ಅಭಿವೃದ್ಧಿಪಡಿಸುವಾಗ ಈ ವಿಧಾನವು ವಿಶಿಷ್ಟವಲ್ಲ. ನಿಯಮದಂತೆ, ಗಾತ್ರವನ್ನು ಕಡಿಮೆ ಮಾಡಲು ಮತ್ತು C ++ ನಲ್ಲಿ ಅಂತರ್ಗತವಾಗಿರುವ ಸೂಚ್ಯ ಕರೆಗಳನ್ನು ತೊಡೆದುಹಾಕಲು ಅಂತಹ ಕೋಡ್ ಅನ್ನು C ನಲ್ಲಿ ಬರೆಯಲಾಗುತ್ತದೆ. ಇಲ್ಲಿ ಒಂದು ನಿರ್ದಿಷ್ಟ ಸಹಜೀವನವಿದೆ. ಜೊತೆಗೆ, ಈವೆಂಟ್-ಚಾಲಿತ ವಾಸ್ತುಶಿಲ್ಪವನ್ನು ಬಳಸಲಾಗಿದೆ. ಕ್ಯಾಸ್ಪರ್ಸ್ಕಿ ಲ್ಯಾಬ್ ಉದ್ಯೋಗಿಗಳು ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ಅನ್ನು ಪ್ರಿ-ಪ್ರೊಸೆಸರ್ ಆಡ್-ಆನ್ ಬಳಸಿ ಬರೆಯಲಾಗಿದೆ ಎಂಬ ಸಿದ್ಧಾಂತಕ್ಕೆ ಒಲವು ತೋರುತ್ತಾರೆ, ಅದು ಆಬ್ಜೆಕ್ಟ್ ಶೈಲಿಯಲ್ಲಿ ಸಿ ಕೋಡ್ ಅನ್ನು ಬರೆಯಲು ನಿಮಗೆ ಅನುಮತಿಸುತ್ತದೆ.
ಆಪರೇಟರ್‌ಗಳಿಂದ ಆಜ್ಞೆಗಳನ್ನು ಸ್ವೀಕರಿಸುವ ಕಾರ್ಯವಿಧಾನಕ್ಕೆ ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ಕಾರಣವಾಗಿದೆ. Duqu ಪರಸ್ಪರ ಕ್ರಿಯೆಯ ಹಲವಾರು ವಿಧಾನಗಳನ್ನು ಒದಗಿಸುತ್ತದೆ: HTTP ಮತ್ತು HTTPS ಪ್ರೋಟೋಕಾಲ್‌ಗಳನ್ನು ಬಳಸುವುದು, ಹಾಗೆಯೇ ಹೆಸರಿಸಲಾದ ಪೈಪ್‌ಗಳನ್ನು ಬಳಸುವುದು. HTTP(S) ಗಾಗಿ, ಕಮಾಂಡ್ ಸೆಂಟರ್‌ಗಳ ಡೊಮೇನ್ ಹೆಸರುಗಳನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸಲಾಗಿದೆ ಮತ್ತು ಪ್ರಾಕ್ಸಿ ಸರ್ವರ್ ಮೂಲಕ ಕೆಲಸ ಮಾಡುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಒದಗಿಸಲಾಗಿದೆ - ಅವರಿಗೆ ಬಳಕೆದಾರ ಹೆಸರು ಮತ್ತು ಪಾಸ್‌ವರ್ಡ್ ಅನ್ನು ನಿರ್ದಿಷ್ಟಪಡಿಸಲಾಗಿದೆ. IP ವಿಳಾಸ ಮತ್ತು ಅದರ ಹೆಸರನ್ನು ಚಾನಲ್‌ಗೆ ನಿರ್ದಿಷ್ಟಪಡಿಸಲಾಗಿದೆ. ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ ಡೇಟಾವನ್ನು ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ಕಾನ್ಫಿಗರೇಶನ್ ಡೇಟಾ ಬ್ಲಾಕ್‌ನಲ್ಲಿ ಸಂಗ್ರಹಿಸಲಾಗಿದೆ (ಎನ್‌ಕ್ರಿಪ್ಟ್ ಮಾಡಿದ ರೂಪದಲ್ಲಿ).
ಹೆಸರಿನ ಪೈಪ್‌ಗಳನ್ನು ಬಳಸಲು, ನಾವು ನಮ್ಮದೇ ಆದ RPC ಸರ್ವರ್ ಅನುಷ್ಠಾನವನ್ನು ಪ್ರಾರಂಭಿಸಿದ್ದೇವೆ. ಇದು ಕೆಳಗಿನ ಏಳು ಕಾರ್ಯಗಳನ್ನು ಬೆಂಬಲಿಸುತ್ತದೆ:

• ಸ್ಥಾಪಿಸಲಾದ ಆವೃತ್ತಿಯನ್ನು ಹಿಂತಿರುಗಿ;
• ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ ಪ್ರಕ್ರಿಯೆಯಲ್ಲಿ dll ಅನ್ನು ಇಂಜೆಕ್ಟ್ ಮಾಡಿ ಮತ್ತು ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ ಕಾರ್ಯವನ್ನು ಕರೆ ಮಾಡಿ;
• ಲೋಡ್ dll;
• CreateProcess() ಅನ್ನು ಕರೆಯುವ ಮೂಲಕ ಪ್ರಕ್ರಿಯೆಯನ್ನು ಪ್ರಾರಂಭಿಸಿ;
• ಕೊಟ್ಟಿರುವ ಫೈಲ್‌ನ ವಿಷಯಗಳನ್ನು ಓದಿ;
• ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ ಫೈಲ್ಗೆ ಡೇಟಾವನ್ನು ಬರೆಯಿರಿ;
• ನಿರ್ದಿಷ್ಟಪಡಿಸಿದ ಫೈಲ್ ಅನ್ನು ಅಳಿಸಿ.

ಡುಕ್-ಸೋಂಕಿತ ಕಂಪ್ಯೂಟರ್‌ಗಳ ನಡುವೆ ನವೀಕರಿಸಿದ ಮಾಡ್ಯೂಲ್‌ಗಳು ಮತ್ತು ಕಾನ್ಫಿಗರೇಶನ್ ಡೇಟಾವನ್ನು ವಿತರಿಸಲು ಸ್ಥಳೀಯ ನೆಟ್‌ವರ್ಕ್‌ನಲ್ಲಿ ಹೆಸರಿಸಲಾದ ಪೈಪ್‌ಗಳನ್ನು ಬಳಸಬಹುದು. ಜೊತೆಗೆ, Duqu ಇತರ ಸೋಂಕಿತ ಕಂಪ್ಯೂಟರ್‌ಗಳಿಗೆ ಪ್ರಾಕ್ಸಿ ಸರ್ವರ್ ಆಗಿ ಕಾರ್ಯನಿರ್ವಹಿಸಬಹುದು (ಗೇಟ್‌ವೇಯಲ್ಲಿನ ಫೈರ್‌ವಾಲ್ ಸೆಟ್ಟಿಂಗ್‌ಗಳಿಂದ ಇಂಟರ್ನೆಟ್‌ಗೆ ಪ್ರವೇಶವನ್ನು ಹೊಂದಿರಲಿಲ್ಲ). Duqu ನ ಕೆಲವು ಆವೃತ್ತಿಗಳು RPC ಕಾರ್ಯವನ್ನು ಹೊಂದಿಲ್ಲ.

ತಿಳಿದಿರುವ "ಪೇಲೋಡ್‌ಗಳು"

ಡುಕ್ ನಿಯಂತ್ರಣ ಕೇಂದ್ರದಿಂದ ಆಜ್ಞೆಯ ಅಡಿಯಲ್ಲಿ ಡೌನ್‌ಲೋಡ್ ಮಾಡಲಾದ ಕನಿಷ್ಠ ನಾಲ್ಕು ವಿಧದ ಪೇಲೋಡ್‌ಗಳನ್ನು ಸಿಮ್ಯಾಂಟೆಕ್ ಕಂಡುಹಿಡಿದಿದೆ.
ಇದಲ್ಲದೆ, ಅವುಗಳಲ್ಲಿ ಒಂದು ಮಾತ್ರ ನಿವಾಸಿಯಾಗಿದ್ದು, ಕಾರ್ಯಗತಗೊಳಿಸಬಹುದಾದ ಫೈಲ್ (exe) ಆಗಿ ಸಂಕಲಿಸಲಾಗಿದೆ, ಅದನ್ನು ಡಿಸ್ಕ್ಗೆ ಉಳಿಸಲಾಗಿದೆ. ಉಳಿದ ಮೂರನ್ನು dll ಲೈಬ್ರರಿಗಳಾಗಿ ಅಳವಡಿಸಲಾಗಿದೆ. ಅವುಗಳನ್ನು ಕ್ರಿಯಾತ್ಮಕವಾಗಿ ಲೋಡ್ ಮಾಡಲಾಗಿದೆ ಮತ್ತು ಡಿಸ್ಕ್‌ಗೆ ಉಳಿಸದೆ ಮೆಮೊರಿಯಲ್ಲಿ ಕಾರ್ಯಗತಗೊಳಿಸಲಾಗಿದೆ.

ನಿವಾಸಿ "ಪೇಲೋಡ್" ಒಂದು ಸ್ಪೈ ಮಾಡ್ಯೂಲ್ (ಇನ್ಫೋಸ್ಟೀಲರ್) ಕೀಲಾಗರ್ ಕಾರ್ಯಗಳೊಂದಿಗೆ. ಅದನ್ನು ವೈರಸ್‌ಟೋಟಲ್‌ಗೆ ಕಳುಹಿಸುವ ಮೂಲಕ ಡುಕ್ ಸಂಶೋಧನೆಯ ಕೆಲಸ ಪ್ರಾರಂಭವಾಯಿತು. ಮುಖ್ಯ ಪತ್ತೇದಾರಿ ಕಾರ್ಯಚಟುವಟಿಕೆಯು ಸಂಪನ್ಮೂಲದಲ್ಲಿದೆ, ಅದರಲ್ಲಿ ಮೊದಲ 8 ಕಿಲೋಬೈಟ್‌ಗಳು ಗ್ಯಾಲಕ್ಸಿ NGC 6745 (ಮರೆಮಾಚುವಿಕೆಗಾಗಿ) ಫೋಟೋದ ಭಾಗವನ್ನು ಒಳಗೊಂಡಿತ್ತು. ಏಪ್ರಿಲ್ 2012 ರಲ್ಲಿ, ಕೆಲವು ಮಾಧ್ಯಮಗಳು (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) ಇರಾನ್ ಕೆಲವು ದುರುದ್ದೇಶಪೂರಿತ ಸಾಫ್ಟ್‌ವೇರ್ “ಸ್ಟಾರ್ಸ್” ಗೆ ಒಡ್ಡಿಕೊಂಡಿದೆ ಎಂದು ಪ್ರಕಟಿಸಿದ ಮಾಹಿತಿಯನ್ನು ಇಲ್ಲಿ ನೆನಪಿಸಿಕೊಳ್ಳಬೇಕು. ಘಟನೆಯನ್ನು ಬಹಿರಂಗಪಡಿಸಲಾಗಿಲ್ಲ. ಬಹುಶಃ ಇದು ಇರಾನ್‌ನಲ್ಲಿ ಪತ್ತೆಯಾದ ಡುಕ್ "ಪೇಲೋಡ್" ನ ಮಾದರಿಯಾಗಿದೆ, ಆದ್ದರಿಂದ "ಸ್ಟಾರ್ಸ್" ಎಂದು ಹೆಸರಿಸಲಾಗಿದೆ.
ಸ್ಪೈ ಮಾಡ್ಯೂಲ್ ಈ ಕೆಳಗಿನ ಮಾಹಿತಿಯನ್ನು ಸಂಗ್ರಹಿಸಿದೆ:

• ಚಾಲನೆಯಲ್ಲಿರುವ ಪ್ರಕ್ರಿಯೆಗಳ ಪಟ್ಟಿ, ಪ್ರಸ್ತುತ ಬಳಕೆದಾರ ಮತ್ತು ಡೊಮೇನ್ ಬಗ್ಗೆ ಮಾಹಿತಿ;
• ನೆಟ್ವರ್ಕ್ ಡ್ರೈವ್ಗಳು ಸೇರಿದಂತೆ ತಾರ್ಕಿಕ ಡ್ರೈವ್ಗಳ ಪಟ್ಟಿ;
• ಸ್ಕ್ರೀನ್ಶಾಟ್ಗಳು;
• ನೆಟ್ವರ್ಕ್ ಇಂಟರ್ಫೇಸ್ ವಿಳಾಸಗಳು, ರೂಟಿಂಗ್ ಕೋಷ್ಟಕಗಳು;
• ಕೀಬೋರ್ಡ್ ಕೀಸ್ಟ್ರೋಕ್ಗಳ ಲಾಗ್ ಫೈಲ್;
• ತೆರೆದ ಅಪ್ಲಿಕೇಶನ್ ವಿಂಡೋಗಳ ಹೆಸರುಗಳು;
• ಲಭ್ಯವಿರುವ ನೆಟ್ವರ್ಕ್ ಸಂಪನ್ಮೂಲಗಳ ಪಟ್ಟಿ (ಹಂಚಿಕೆ ಸಂಪನ್ಮೂಲಗಳು);
• ತೆಗೆಯಬಹುದಾದವುಗಳನ್ನು ಒಳಗೊಂಡಂತೆ ಎಲ್ಲಾ ಡಿಸ್ಕ್ಗಳಲ್ಲಿನ ಫೈಲ್ಗಳ ಸಂಪೂರ್ಣ ಪಟ್ಟಿ;
• "ನೆಟ್‌ವರ್ಕ್ ಪರಿಸರ"ದಲ್ಲಿರುವ ಕಂಪ್ಯೂಟರ್‌ಗಳ ಪಟ್ಟಿ.

ಮತ್ತೊಂದು ಸ್ಪೈ ಮಾಡ್ಯೂಲ್ (ಇನ್ಫೋಸ್ಟೀಲರ್) ಈಗಾಗಲೇ ವಿವರಿಸಿರುವ ಒಂದು ಬದಲಾವಣೆಯಾಗಿದೆ, ಆದರೆ dll ಲೈಬ್ರರಿಯಾಗಿ ಕಂಪೈಲ್ ಮಾಡಲಾಗಿದೆ, ಫೈಲ್‌ಗಳ ಪಟ್ಟಿಯನ್ನು ಕಂಪೈಲ್ ಮಾಡುವುದು ಮತ್ತು ಡೊಮೇನ್‌ನಲ್ಲಿ ಸೇರಿಸಲಾದ ಕಂಪ್ಯೂಟರ್‌ಗಳನ್ನು ಪಟ್ಟಿ ಮಾಡುವುದು;
ಮುಂದಿನ ಮಾಡ್ಯೂಲ್ (ಸ್ಥಳಾನ್ವೇಷಣೆ) ಸಂಗ್ರಹಿಸಿದ ಸಿಸ್ಟಮ್ ಮಾಹಿತಿ:

• ಕಂಪ್ಯೂಟರ್ ಡೊಮೇನ್‌ನ ಭಾಗವಾಗಿದೆಯೇ;
• ವಿಂಡೋಸ್ ಸಿಸ್ಟಮ್ ಡೈರೆಕ್ಟರಿಗಳಿಗೆ ಮಾರ್ಗಗಳು;
• ಆಪರೇಟಿಂಗ್ ಸಿಸ್ಟಮ್ ಆವೃತ್ತಿ;
• ಪ್ರಸ್ತುತ ಬಳಕೆದಾರ ಹೆಸರು;
• ನೆಟ್ವರ್ಕ್ ಅಡಾಪ್ಟರುಗಳ ಪಟ್ಟಿ;
• ವ್ಯವಸ್ಥೆ ಮತ್ತು ಸ್ಥಳೀಯ ಸಮಯ, ಹಾಗೆಯೇ ಸಮಯ ವಲಯ.

ಕೊನೆಯ ಮಾಡ್ಯೂಲ್ (ಜೀವಿತಾವಧಿ ವಿಸ್ತರಣೆ) ಕೆಲಸ ಪೂರ್ಣಗೊಳ್ಳುವವರೆಗೆ ಉಳಿದಿರುವ ದಿನಗಳ ಸಂಖ್ಯೆಯ ಮೌಲ್ಯವನ್ನು (ಮುಖ್ಯ ಮಾಡ್ಯೂಲ್ ಕಾನ್ಫಿಗರೇಶನ್ ಡೇಟಾ ಫೈಲ್‌ನಲ್ಲಿ ಸಂಗ್ರಹಿಸಲಾಗಿದೆ) ಹೆಚ್ಚಿಸಲು ಕಾರ್ಯವನ್ನು ಜಾರಿಗೊಳಿಸಲಾಗಿದೆ. ಪೂರ್ವನಿಯೋಜಿತವಾಗಿ, ಡುಕ್ ಮಾರ್ಪಾಡುಗಳನ್ನು ಅವಲಂಬಿಸಿ ಈ ಮೌಲ್ಯವನ್ನು 30 ಅಥವಾ 36 ದಿನಗಳವರೆಗೆ ಹೊಂದಿಸಲಾಗಿದೆ ಮತ್ತು ಪ್ರತಿ ದಿನವೂ ಒಂದರಂತೆ ಕಡಿಮೆಯಾಗುತ್ತದೆ.

ಕಮಾಂಡ್ ಕೇಂದ್ರಗಳು

ಅಕ್ಟೋಬರ್ 20, 2011 ರಂದು (ಆವಿಷ್ಕಾರದ ಬಗ್ಗೆ ಮಾಹಿತಿಯನ್ನು ಪ್ರಸಾರ ಮಾಡಿದ ಮೂರು ದಿನಗಳ ನಂತರ), ಡುಕ್ ಆಪರೇಟರ್‌ಗಳು ಕಮಾಂಡ್ ಸೆಂಟರ್‌ಗಳ ಕಾರ್ಯನಿರ್ವಹಣೆಯ ಕುರುಹುಗಳನ್ನು ನಾಶಮಾಡುವ ವಿಧಾನವನ್ನು ನಡೆಸಿದರು. ವಿಯೆಟ್ನಾಂ, ಭಾರತ, ಜರ್ಮನಿ, ಸಿಂಗಾಪುರ್, ಸ್ವಿಟ್ಜರ್ಲೆಂಡ್, ಗ್ರೇಟ್ ಬ್ರಿಟನ್, ಹಾಲೆಂಡ್ ಮತ್ತು ದಕ್ಷಿಣ ಕೊರಿಯಾದಲ್ಲಿ - ವಿಶ್ವದಾದ್ಯಂತ ಹ್ಯಾಕ್ ಮಾಡಿದ ಸರ್ವರ್‌ಗಳಲ್ಲಿ ಕಮಾಂಡ್ ಸೆಂಟರ್‌ಗಳು ನೆಲೆಗೊಂಡಿವೆ. ಕುತೂಹಲಕಾರಿಯಾಗಿ, ಎಲ್ಲಾ ಗುರುತಿಸಲಾದ ಸರ್ವರ್‌ಗಳು CentOS ಆವೃತ್ತಿಗಳು 5.2, 5.4 ಅಥವಾ 5.5 ಅನ್ನು ಚಾಲನೆ ಮಾಡುತ್ತಿವೆ. OS ಗಳು 32-ಬಿಟ್ ಮತ್ತು 64-ಬಿಟ್ ಎರಡೂ ಆಗಿದ್ದವು. ಕಮಾಂಡ್ ಸೆಂಟರ್‌ಗಳ ಕಾರ್ಯಾಚರಣೆಗೆ ಸಂಬಂಧಿಸಿದ ಎಲ್ಲಾ ಫೈಲ್‌ಗಳನ್ನು ಅಳಿಸಲಾಗಿದೆ ಎಂಬ ವಾಸ್ತವದ ಹೊರತಾಗಿಯೂ, ಕ್ಯಾಸ್ಪರ್ಸ್ಕಿ ಲ್ಯಾಬ್ ತಜ್ಞರು ಸ್ಲಾಕ್ ಸ್ಪೇಸ್‌ನಿಂದ ಲಾಗ್ ಫೈಲ್‌ಗಳಿಂದ ಕೆಲವು ಮಾಹಿತಿಯನ್ನು ಮರುಪಡೆಯಲು ಸಾಧ್ಯವಾಯಿತು. ಅತ್ಯಂತ ಆಸಕ್ತಿದಾಯಕ ಸಂಗತಿಯೆಂದರೆ ಸರ್ವರ್‌ಗಳಲ್ಲಿನ ಆಕ್ರಮಣಕಾರರು ಯಾವಾಗಲೂ ಡೀಫಾಲ್ಟ್ OpenSSH 4.3 ಪ್ಯಾಕೇಜ್ ಅನ್ನು ಆವೃತ್ತಿ 5.8 ನೊಂದಿಗೆ ಬದಲಾಯಿಸುತ್ತಾರೆ. ಸರ್ವರ್‌ಗಳನ್ನು ಹ್ಯಾಕ್ ಮಾಡಲು OpenSSH 4.3 ನಲ್ಲಿನ ಅಜ್ಞಾತ ದುರ್ಬಲತೆಯನ್ನು ಬಳಸಲಾಗಿದೆ ಎಂದು ಇದು ಸೂಚಿಸುತ್ತದೆ. ಎಲ್ಲಾ ವ್ಯವಸ್ಥೆಗಳನ್ನು ಕಮಾಂಡ್ ಸೆಂಟರ್‌ಗಳಾಗಿ ಬಳಸಲಾಗಿಲ್ಲ. ಕೆಲವು, 80 ಮತ್ತು 443 ಪೋರ್ಟ್‌ಗಳಿಗೆ ದಟ್ಟಣೆಯನ್ನು ಮರುನಿರ್ದೇಶಿಸಲು ಪ್ರಯತ್ನಿಸುವಾಗ sshd ಲಾಗ್‌ಗಳಲ್ಲಿನ ದೋಷಗಳ ಮೂಲಕ ನಿರ್ಣಯಿಸುವುದು, ಅಂತಿಮ ಕಮಾಂಡ್ ಸೆಂಟರ್‌ಗಳಿಗೆ ಸಂಪರ್ಕಿಸಲು ಪ್ರಾಕ್ಸಿ ಸರ್ವರ್‌ನಂತೆ ಬಳಸಲಾಗಿದೆ.

ದಿನಾಂಕಗಳು ಮತ್ತು ಮಾಡ್ಯೂಲ್‌ಗಳು

ಏಪ್ರಿಲ್ 2011 ರಲ್ಲಿ ವಿತರಿಸಲಾದ ವರ್ಡ್ ಡಾಕ್ಯುಮೆಂಟ್ ಅನ್ನು ಕ್ಯಾಸ್ಪರ್ಸ್ಕಿ ಲ್ಯಾಬ್ ಪರಿಶೀಲಿಸಿತು, ಆಗಸ್ಟ್ 31, 2007 ರ ಸಂಕಲನ ದಿನಾಂಕದೊಂದಿಗೆ ಸ್ಥಾಪಕ ಡೌನ್‌ಲೋಡ್ ಡ್ರೈವರ್ ಅನ್ನು ಒಳಗೊಂಡಿದೆ. CrySys ಪ್ರಯೋಗಾಲಯಗಳಲ್ಲಿ ಕಂಡುಬರುವ ಡಾಕ್ಯುಮೆಂಟ್‌ನಲ್ಲಿ ಇದೇ ರೀತಿಯ ಚಾಲಕ (ಗಾತ್ರ - 20608 ಬೈಟ್‌ಗಳು, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) ಫೆಬ್ರವರಿ 21, 2008 ರ ಸಂಕಲನ ದಿನಾಂಕವನ್ನು ಹೊಂದಿತ್ತು. ಇದರ ಜೊತೆಗೆ, ಕ್ಯಾಸ್ಪರ್ಸ್ಕಿ ಲ್ಯಾಬ್ ತಜ್ಞರು ಆಟೋರನ್ ಡ್ರೈವರ್ rndismpc.sys (ಗಾತ್ರ - 19968 ಬೈಟ್‌ಗಳು, MD5 - 9AEC6E10C5EE9C05BED93221544C783E) ಅನ್ನು ಜನವರಿ 20, 2008 ರಂದು ಕಂಡುಕೊಂಡರು. 2009 ಎಂದು ಗುರುತಿಸಲಾದ ಯಾವುದೇ ಘಟಕಗಳು ಕಂಡುಬಂದಿಲ್ಲ. ಡುಕುವಿನ ಪ್ರತ್ಯೇಕ ಭಾಗಗಳ ಸಂಕಲನದ ಸಮಯದ ಮುದ್ರೆಗಳ ಆಧಾರದ ಮೇಲೆ, ಅದರ ಅಭಿವೃದ್ಧಿಯು 2007 ರ ಆರಂಭಕ್ಕೆ ಹಿಂದಿನದು. ಇದರ ಆರಂಭಿಕ ಅಭಿವ್ಯಕ್ತಿಯು ~DO ಪ್ರಕಾರದ ತಾತ್ಕಾಲಿಕ ಫೈಲ್‌ಗಳ ಪತ್ತೆಗೆ ಸಂಬಂಧಿಸಿದೆ (ಬಹುಶಃ ಸ್ಪೈವೇರ್ ಮಾಡ್ಯೂಲ್‌ಗಳಲ್ಲಿ ಒಂದರಿಂದ ರಚಿಸಲಾಗಿದೆ), ಅದರ ರಚನೆ ದಿನಾಂಕ ನವೆಂಬರ್ 28, 2008 (ಲೇಖನ "ಡುಕು ಮತ್ತು ಸ್ಟಕ್ಸ್‌ನೆಟ್: ಎ ಟೈಮ್‌ಲೈನ್ ಆಫ್ ಇಂಟರೆಸ್ಟಿಂಗ್ ಈವೆಂಟ್ಸ್"). ಡುಕುಗೆ ಸಂಬಂಧಿಸಿದ ತೀರಾ ಇತ್ತೀಚಿನ ದಿನಾಂಕ ಫೆಬ್ರವರಿ 23, 2012, ಮಾರ್ಚ್ 2012 ರಲ್ಲಿ ಸಿಮ್ಯಾಂಟೆಕ್ ಕಂಡುಹಿಡಿದ ಸ್ಥಾಪಕ ಡೌನ್‌ಲೋಡ್ ಡ್ರೈವರ್‌ನಲ್ಲಿದೆ.

ಬಳಸಿದ ಮಾಹಿತಿಯ ಮೂಲಗಳು:

ಲೇಖನಗಳ ಸರಣಿ ಕ್ಯಾಸ್ಪರ್ಸ್ಕಿ ಲ್ಯಾಬ್ನಿಂದ ಡುಕ್ ಬಗ್ಗೆ;
ಸಿಮ್ಯಾಂಟೆಕ್ ವಿಶ್ಲೇಷಣಾತ್ಮಕ ವರದಿ "W32.Duqu ಮುಂದಿನ ಸ್ಟಕ್ಸ್‌ನೆಟ್‌ಗೆ ಪೂರ್ವಗಾಮಿ", ಆವೃತ್ತಿ 1.4, ನವೆಂಬರ್ 2011 (ಪಿಡಿಎಫ್).

ಮೂಲ: www.habr.com