Duqu - doll ຮັງ malicious

ການນໍາສະເຫນີ

ໃນວັນທີ 1 ກັນຍາ 2011, ໄຟລ໌ທີ່ມີຊື່ວ່າ ~DN1.tmp ໄດ້ຖືກສົ່ງໄປຫາເວັບໄຊທ໌ VirusTotal ຈາກຮັງກາຣີ. ໃນເວລານັ້ນ, ໄຟລ໌ໄດ້ຖືກກວດພົບວ່າເປັນອັນຕະລາຍໂດຍພຽງແຕ່ສອງເຄື່ອງຈັກ antivirus - BitDefender ແລະ AVIRA. ນີ້ແມ່ນວິທີທີ່ເລື່ອງຂອງ Duqu ໄດ້ເລີ່ມຕົ້ນ. ຊອກຫາລ່ວງຫນ້າ, ມັນຕ້ອງເວົ້າວ່າຄອບຄົວ malware Duqu ຖືກຕັ້ງຊື່ຕາມຊື່ຂອງໄຟລ໌ນີ້. ຢ່າງໃດກໍ່ຕາມ, ໄຟລ໌ນີ້ແມ່ນໂມດູນ spyware ທີ່ເປັນເອກະລາດຢ່າງສົມບູນແບບທີ່ມີຟັງຊັນ keylogger, ຕິດຕັ້ງ, ອາດຈະ, ການນໍາໃຊ້ malicious downloader-dropper, ແລະພຽງແຕ່ສາມາດໄດ້ຮັບການພິຈາລະນາເປັນ "payload" ໂຫຼດໂດຍ malware Duqu ໃນລະຫວ່າງການປະຕິບັດງານຂອງມັນ, ແລະບໍ່ແມ່ນສ່ວນປະກອບ ( module) ຂອງ Duqu . ຫນຶ່ງໃນອົງປະກອບ Duqu ຖືກສົ່ງໄປຫາບໍລິການ Virustotal ພຽງແຕ່ໃນວັນທີ 9 ກັນຍາ. ລັກສະນະທີ່ໂດດເດັ່ນຂອງມັນແມ່ນຕົວຂັບທີ່ເຊັນໂດຍ C-Media. ຜູ້ຊ່ຽວຊານບາງຄົນກໍ່ເລີ່ມແຕ້ມການປຽບທຽບກັບຕົວຢ່າງທີ່ມີຊື່ສຽງອີກອັນຫນຶ່ງຂອງ malware - Stuxnet, ເຊິ່ງຍັງໃຊ້ໄດເວີທີ່ເຊັນ. ຈໍາ​ນວນ​ທັງ​ຫມົດ​ຂອງ​ຄອມ​ພິວ​ເຕີ​ຕິດ​ເຊື້ອ Duqu ທີ່​ກວດ​ພົບ​ໂດຍ​ບໍ​ລິ​ສັດ​ຕ້ານ​ໄວຣ​ັ​ສ​ຕ່າງໆ​ໃນ​ທົ່ວ​ໂລກ​ແມ່ນ​ຢູ່​ໃນ​ຫຼາຍ​ສິບ​. ຫລາຍບໍລິສັດອ້າງວ່າອີຣ່ານເປັນເປົ້າຫມາຍຕົ້ນຕໍອີກເທື່ອຫນຶ່ງ, ແຕ່ການຕັດສິນໂດຍການແຜ່ກະຈາຍທາງພູມສາດຂອງການຕິດເຊື້ອ, ນີ້ບໍ່ສາມາດເວົ້າໄດ້ແນ່ນອນ.

ໃນກໍລະນີນີ້, ທ່ານຄວນເວົ້າຢ່າງຫມັ້ນໃຈພຽງແຕ່ກ່ຽວກັບບໍລິສັດອື່ນທີ່ມີຄໍາສັບໃຫມ່ APT (ໄພ​ຂົ່ມ​ຂູ່​ຕໍ່​ເນື່ອງ​ແບບ​ພິ​ເສດ​)​.

ຂັ້ນຕອນການປະຕິບັດລະບົບ

ການສືບສວນທີ່ດໍາເນີນໂດຍຜູ້ຊ່ຽວຊານຈາກອົງການຈັດຕັ້ງຮັງກາຣີ CrySyS (ຫ້ອງທົດລອງການເຂົ້າລະຫັດລັບຂອງຮັງກາຣີແລະຄວາມປອດໄພຂອງລະບົບທີ່ມະຫາວິທະຍາໄລເຕັກໂນໂລຢີແລະເສດຖະກິດ Budapest) ນໍາໄປສູ່ການຄົ້ນພົບຕົວຕິດຕັ້ງ (dropper) ໂດຍຜ່ານລະບົບການຕິດເຊື້ອ. ມັນແມ່ນໄຟລ໌ Microsoft Word ທີ່ມີການຂູດຮີດສໍາລັບຊ່ອງໂຫວ່ຂອງໄດເວີ win32k.sys (MS11-087, ອະທິບາຍໂດຍ Microsoft ໃນວັນທີ 13 ພະຈິກ 2011), ເຊິ່ງຮັບຜິດຊອບສໍາລັບກົນໄກການສະແດງຕົວອັກສອນ TTF. shellcode ຂອງ exploit ໃຊ້ຟອນທີ່ເອີ້ນວ່າ 'Dexter Regular' ຝັງຢູ່ໃນເອກະສານ, ໂດຍມີ Showtime Inc. ລະບຸວ່າເປັນຜູ້ສ້າງຟອນ. ດັ່ງທີ່ເຈົ້າສາມາດເຫັນໄດ້, ຜູ້ສ້າງຂອງ Duqu ບໍ່ແມ່ນຄົນແປກຫນ້າກັບຄວາມຮູ້ສຶກຂອງ humor: Dexter ເປັນ killer serial, hero ຂອງຊຸດໂທລະທັດຂອງຊື່ດຽວກັນ, ຜະລິດໂດຍ Showtime. Dexter ຂ້າພຽງແຕ່ (ຖ້າເປັນໄປໄດ້) ຄະດີອາຍາ, ນັ້ນແມ່ນ, ລາວລະເມີດກົດຫມາຍໃນນາມຂອງກົດຫມາຍ. ອາດຈະເປັນ, ໃນວິທີການນີ້, ນັກພັດທະນາ Duqu ແມ່ນທາດເຫຼັກທີ່ເຂົາເຈົ້າມີສ່ວນຮ່ວມໃນກິດຈະກໍາທີ່ຜິດກົດຫມາຍສໍາລັບຈຸດປະສົງທີ່ດີ. ການສົ່ງອີເມວໄດ້ຖືກເຮັດຢ່າງຕັ້ງໃຈ. ການຂົນສົ່ງສ່ວນຫຼາຍແມ່ນໃຊ້ຄອມພິວເຕີທີ່ຖືກເຄາະຮ້າຍ (hacked) ເປັນຕົວກາງເພື່ອເຮັດໃຫ້ການຕິດຕາມມີຄວາມຫຍຸ້ງຍາກ.
ດັ່ງນັ້ນເອກະສານ Word ມີສ່ວນປະກອບດັ່ງຕໍ່ໄປນີ້:

• ເນື້ອໃນຂໍ້ຄວາມ;
• ຟອນໃນຕົວ;
• exploit shellcode;
• ຄົນຂັບ;
• ຕົວຕິດຕັ້ງ (DLL library).

ຖ້າປະສົບຜົນສໍາເລັດ, exploit shellcode ດໍາເນີນການດັ່ງຕໍ່ໄປນີ້ (ໃນໂຫມດ kernel):

• ມີການກວດສອບການຕິດເຊື້ອຄືນໃຫມ່; ສໍາລັບການນີ້, ການປະກົດຕົວຂອງກະແຈ 'CF4D' ໄດ້ຖືກກວດສອບຢູ່ໃນລີຈິດຊີທີ່ຢູ່ 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones1'; ຖ້າອັນນີ້ຖືກຕ້ອງ, shellcode ສໍາເລັດການປະຕິບັດຂອງມັນ;
• ສອງໄຟລ໌ໄດ້ຖືກຖອດລະຫັດ - ໄດເວີ (sys) ແລະຕົວຕິດຕັ້ງ (dll);
• ໄດເວີໄດ້ຖືກສີດເຂົ້າໄປໃນຂະບວນການ services.exe ແລະເປີດຕົວຕິດຕັ້ງ;
• ສຸດທ້າຍ, shellcode ໄດ້ລົບຕົວຂອງມັນເອງດ້ວຍສູນໃນຫນ່ວຍຄວາມຈໍາ.

ເນື່ອງຈາກຄວາມຈິງທີ່ວ່າ win32k.sys ຖືກປະຕິບັດພາຍໃຕ້ຜູ້ໃຊ້ສິດທິພິເສດ 'ລະບົບ', ນັກພັດທະນາ Duqu ໄດ້ແກ້ໄຂບັນຫາຢ່າງສະຫງ່າງາມຂອງທັງການເປີດຕົວທີ່ບໍ່ໄດ້ຮັບອະນຸຍາດແລະການເພີ່ມສິດ (ດໍາເນີນການພາຍໃຕ້ບັນຊີຜູ້ໃຊ້ທີ່ມີສິດທິຈໍາກັດ).
ຫຼັງ​ຈາກ​ໄດ້​ຮັບ​ການ​ຄວບ​ຄຸມ​, ຜູ້​ຕິດ​ຕັ້ງ​ໄດ້​ຖອດ​ລະ​ຫັດ​ສາມ​ຕັນ​ຂອງ​ຂໍ້​ມູນ​ທີ່​ມີ​ຢູ່​ໃນ​ມັນ​ໃນ​ຫນ່ວຍ​ຄວາມ​ຈໍາ​, ປະ​ກອບ​ດ້ວຍ​:

• ເຊັນຊື່ຄົນຂັບ (sys);
• ໂມດູນຕົ້ນຕໍ (dll);
• ຂໍ້ມູນການຕັ້ງຄ່າຕົວຕິດຕັ້ງ (pnf).

ຊ່ວງວັນທີໄດ້ຖືກລະບຸໄວ້ໃນຂໍ້ມູນການຕັ້ງຄ່າຕົວຕິດຕັ້ງ (ໃນຮູບແບບຂອງສອງເວລາ - ການເລີ່ມຕົ້ນ ແລະສິ້ນສຸດ). ຜູ້ຕິດຕັ້ງໄດ້ກວດເບິ່ງວ່າວັນທີປະຈຸບັນໄດ້ຖືກລວມຢູ່ໃນມັນ, ແລະຖ້າບໍ່ແມ່ນ, ມັນສໍາເລັດການປະຕິບັດຂອງມັນ. ນອກຈາກນີ້ໃນຂໍ້ມູນການຕັ້ງຄ່າຕົວຕິດຕັ້ງແມ່ນຊື່ທີ່ໄດເວີແລະໂມດູນຕົ້ນຕໍຖືກບັນທຶກໄວ້. ໃນກໍລະນີນີ້, ໂມດູນຕົ້ນຕໍໄດ້ຖືກບັນທຶກໄວ້ໃນແຜ່ນໃນຮູບແບບທີ່ຖືກເຂົ້າລະຫັດ.

ເພື່ອເລີ່ມຕົ້ນອັດຕະໂນມັດ Duqu, ການບໍລິການຖືກສ້າງຂື້ນໂດຍໃຊ້ໄຟລ໌ໄດເວີທີ່ຖອດລະຫັດໂມດູນຕົ້ນຕໍໃນການບິນໂດຍໃຊ້ກະແຈທີ່ເກັບໄວ້ໃນລີຈິດຊີ. ໂມດູນຕົ້ນຕໍປະກອບດ້ວຍຕັນຂໍ້ມູນການຕັ້ງຄ່າຂອງຕົນເອງ. ເມື່ອເປີດຕົວຄັ້ງທໍາອິດ, ມັນຖືກຖອດລະຫັດ, ວັນທີຕິດຕັ້ງໄດ້ຖືກເຂົ້າໄປໃນມັນ, ຫຼັງຈາກນັ້ນມັນຖືກເຂົ້າລະຫັດອີກເທື່ອຫນຶ່ງແລະຖືກບັນທຶກໄວ້ໂດຍໂມດູນຕົ້ນຕໍ. ດັ່ງນັ້ນ, ໃນລະບົບທີ່ໄດ້ຮັບຜົນກະທົບ, ເມື່ອການຕິດຕັ້ງສໍາເລັດ, ສາມໄຟລ໌ໄດ້ຖືກບັນທຶກໄວ້ - ໄດເວີ, ໂມດູນຕົ້ນຕໍແລະໄຟລ໌ຂໍ້ມູນການຕັ້ງຄ່າຂອງມັນ, ໃນຂະນະທີ່ສອງໄຟລ໌ສຸດທ້າຍຖືກເກັບໄວ້ໃນແຜ່ນໃນຮູບແບບທີ່ຖືກເຂົ້າລະຫັດ. ຂັ້ນຕອນການຖອດລະຫັດທັງໝົດໄດ້ດໍາເນີນຢູ່ໃນຄວາມຊົງຈໍາເທົ່ານັ້ນ. ຂັ້ນຕອນການຕິດຕັ້ງທີ່ສັບສົນນີ້ຖືກນໍາໃຊ້ເພື່ອຫຼຸດຜ່ອນຄວາມເປັນໄປໄດ້ຂອງການກວດສອບໂດຍຊອບແວຕ້ານໄວຣັສ.

ໂມດູນຕົ້ນຕໍ

ໂມດູນຕົ້ນຕໍ (ຊັບພະຍາກອນ 302), ອີງຕາມ ຂໍ້ມູນຂ່າວສານ ບໍລິສັດ Kaspersky Lab, ຂຽນໂດຍໃຊ້ MSVC 2008 ໃນ C ບໍລິສຸດ, ແຕ່ໃຊ້ວິທີການຮັດກຸມວັດຖຸ. ວິທີການນີ້ແມ່ນ uncharacteristic ໃນເວລາທີ່ການພັດທະນາລະຫັດເປັນອັນຕະລາຍ. ຕາມກົດລະບຽບ, ລະຫັດດັ່ງກ່າວຖືກຂຽນໄວ້ໃນ C ເພື່ອຫຼຸດຜ່ອນຂະຫນາດແລະກໍາຈັດການໂທທີ່ບໍ່ຊັດເຈນຢູ່ໃນ C ++. ມີ symbiosis ທີ່ແນ່ນອນຢູ່ທີ່ນີ້. ນອກຈາກນັ້ນ, ມີການໃຊ້ສະຖາປັດຕະຍະກຳທີ່ຂັບເຄື່ອນດ້ວຍເຫດການ. ພະນັກງານຂອງ Kaspersky Lab ມີທ່າອ່ຽງໃນທິດສະດີທີ່ໂມດູນຕົ້ນຕໍຖືກຂຽນໂດຍໃຊ້ໂປເຊດເຊີ pre-processor ທີ່ຊ່ວຍໃຫ້ທ່ານຂຽນລະຫັດ C ໃນຮູບແບບວັດຖຸ.
ໂມດູນຕົ້ນຕໍແມ່ນຮັບຜິດຊອບສໍາລັບຂັ້ນຕອນການຮັບຄໍາສັ່ງຈາກຜູ້ປະຕິບັດງານ. Duqu ສະຫນອງວິທີການປະຕິສໍາພັນຫຼາຍຢ່າງ: ການນໍາໃຊ້ HTTP ແລະ HTTPS protocols, ເຊັ່ນດຽວກັນກັບການນໍາໃຊ້ທໍ່ທີ່ມີຊື່. ສໍາລັບ HTTP(S), ຊື່ໂດເມນຂອງສູນຄໍາສັ່ງໄດ້ຖືກລະບຸໄວ້, ແລະຄວາມສາມາດໃນການເຮັດວຽກຜ່ານເຄື່ອງແມ່ຂ່າຍຂອງຕົວແທນ - ຊື່ຜູ້ໃຊ້ແລະລະຫັດຜ່ານໄດ້ຖືກລະບຸໄວ້ສໍາລັບພວກເຂົາ. ທີ່ຢູ່ IP ແລະຊື່ຂອງມັນໄດ້ຖືກລະບຸໄວ້ສໍາລັບຊ່ອງທາງ. ຂໍ້​ມູນ​ທີ່​ລະ​ບຸ​ໄວ້​ແມ່ນ​ເກັບ​ຮັກ​ສາ​ໄວ້​ໃນ​ການ​ຕັ້ງ​ຄ່າ​ຂອງ​ໂມ​ດູນ​ຂໍ້​ມູນ​ຫຼັກ block (ໃນ​ຮູບ​ແບບ​ການ​ເຂົ້າ​ລະ​ຫັດ​)​.
ເພື່ອນໍາໃຊ້ທໍ່ທີ່ມີຊື່, ພວກເຮົາໄດ້ເປີດຕົວການປະຕິບັດເຄື່ອງແມ່ຂ່າຍ RPC ຂອງພວກເຮົາເອງ. ມັນ​ສະ​ຫນັບ​ສະ​ຫນູນ​ເຈັດ​ຫນ້າ​ທີ່​ດັ່ງ​ຕໍ່​ໄປ​ນີ້​:

• ກັບຄືນສະບັບທີ່ຕິດຕັ້ງ;
• ສັກ dll ເຂົ້າໄປໃນຂະບວນການທີ່ກໍານົດໄວ້ແລະໂທຫາຫນ້າທີ່ກໍານົດ;
• dll ໂຫລດ;
• ເລີ່ມຂະບວນການໂດຍການໂທຫາ CreateProcess();
• ອ່ານເນື້ອໃນຂອງເອກະສານທີ່ໃຫ້;
• ຂຽນຂໍ້ມູນໃສ່ໄຟລ໌ທີ່ກໍານົດ;
• ລຶບໄຟລ໌ທີ່ລະບຸໄວ້.

ທໍ່ທີ່ມີຊື່ສາມາດຖືກນໍາໃຊ້ພາຍໃນເຄືອຂ່າຍທ້ອງຖິ່ນເພື່ອແຈກຢາຍໂມດູນທີ່ມີການປັບປຸງແລະຂໍ້ມູນການຕັ້ງຄ່າລະຫວ່າງຄອມພິວເຕີ້ Duqu-infected. ນອກຈາກນັ້ນ, Duqu ສາມາດເຮັດຫນ້າທີ່ເປັນເຄື່ອງແມ່ຂ່າຍຂອງຕົວແທນສໍາລັບຄອມພິວເຕີທີ່ຕິດເຊື້ອອື່ນໆ (ເຊິ່ງບໍ່ມີການເຂົ້າເຖິງອິນເຕີເນັດເນື່ອງຈາກການຕັ້ງຄ່າໄຟວໍຢູ່ໃນປະຕູ). ບາງຮຸ່ນຂອງ Duqu ບໍ່ມີຟັງຊັນ RPC.

ຮູ້ຈັກ "ການໂຫຼດ"

Symantec ຄົ້ນພົບຢ່າງນ້ອຍສີ່ປະເພດຂອງ payloads ດາວໂຫຼດພາຍໃຕ້ຄໍາສັ່ງຈາກສູນຄວບຄຸມ Duqu.
ຍິ່ງໄປກວ່ານັ້ນ, ມີພຽງແຕ່ຫນຶ່ງຂອງພວກເຂົາທີ່ຢູ່ແລະລວບລວມເປັນໄຟລ໌ທີ່ສາມາດປະຕິບັດໄດ້ (exe), ເຊິ່ງຖືກບັນທຶກໄວ້ໃນແຜ່ນ. ສາມທີ່ຍັງເຫຼືອໄດ້ຖືກປະຕິບັດເປັນຫ້ອງສະຫມຸດ dll. ພວກມັນຖືກໂຫລດແບບໄດນາມິກແລະຖືກປະຕິບັດໃນຫນ່ວຍຄວາມຈໍາໂດຍບໍ່ມີການຖືກບັນທຶກໄວ້ໃນແຜ່ນ.

ທີ່ຢູ່ອາໄສ " payload " ແມ່ນໂມດູນ spy (ຜູ້ລັກຂໍ້ມູນ) ມີຟັງຊັນ keylogger. ມັນແມ່ນໂດຍການສົ່ງມັນໄປຫາ VirusTotal ທີ່ການເຮັດວຽກກ່ຽວກັບການຄົ້ນຄວ້າ Duqu ໄດ້ເລີ່ມຕົ້ນ. ການທໍາງານຂອງ spy ຕົ້ນຕໍແມ່ນຢູ່ໃນຊັບພະຍາກອນ, 8 ກິໂລໄບທໍາອິດທີ່ປະກອບດ້ວຍຮູບພາບຂອງ galaxy NGC 6745 (ສໍາລັບການ camouflage). ມັນຄວນຈະຈື່ຢູ່ທີ່ນີ້ວ່າໃນເດືອນເມສາ 2012, ບາງສື່ມວນຊົນໄດ້ເຜີຍແຜ່ຂໍ້ມູນຂ່າວສານ (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) ວ່າອີຣ່ານໄດ້ເປີດເຜີຍກັບບາງຊອບແວອັນຕະລາຍ "ດາວ", ໃນຂະນະທີ່ລາຍລະອຽດຂອງ ເຫດການດັ່ງກ່າວບໍ່ໄດ້ເປີດເຜີຍ. ບາງທີມັນເປັນພຽງແຕ່ຕົວຢ່າງຂອງ Duqu " payload" ທີ່ໄດ້ຖືກຄົ້ນພົບໃນອີຣ່ານໃນເວລານັ້ນ, ດັ່ງນັ້ນຊື່ "ດາວ".
ໂມດູນ spy ໄດ້ເກັບກໍາຂໍ້ມູນດັ່ງຕໍ່ໄປນີ້:

• ບັນຊີລາຍຊື່ຂອງຂະບວນການແລ່ນ, ຂໍ້ມູນກ່ຽວກັບຜູ້ໃຊ້ແລະໂດເມນໃນປະຈຸບັນ;
• ບັນຊີລາຍຊື່ຂອງໄດທີ່ມີເຫດຜົນ, ລວມທັງໄດເຄືອຂ່າຍ;
• ພາບຫນ້າຈໍ;
• ທີ່ຢູ່ໃນການໂຕ້ຕອບເຄືອຂ່າຍ, ຕາຕະລາງເສັ້ນທາງ;
• ບັນທຶກໄຟລ໌ຂອງການກົດແປ້ນພິມ;
• ຊື່ຂອງປ່ອງຢ້ຽມຄໍາຮ້ອງສະຫມັກທີ່ເປີດ;
• ບັນຊີລາຍຊື່ຂອງຊັບພະຍາກອນເຄືອຂ່າຍທີ່ມີຢູ່ (ແບ່ງປັນຊັບພະຍາກອນ);
• ບັນຊີລາຍຊື່ເຕັມຂອງໄຟລ໌ໃນແຜ່ນທັງຫມົດ, ລວມທັງການເອົາອອກໄດ້;
• ບັນຊີລາຍຊື່ຂອງຄອມພິວເຕີໃນ "ສະພາບແວດລ້ອມເຄືອຂ່າຍ".

ໂມດູນ spy ອື່ນ (ຜູ້ລັກຂໍ້ມູນ) ແມ່ນການປ່ຽນແປງຂອງສິ່ງທີ່ໄດ້ອະທິບາຍແລ້ວ, ແຕ່ຖືກລວບລວມເປັນຫ້ອງສະຫມຸດ dll; ຫນ້າທີ່ຂອງ keylogger, ການລວບລວມບັນຊີລາຍຊື່ຂອງໄຟລ໌ແລະລາຍຊື່ຄອມພິວເຕີທີ່ຢູ່ໃນໂດເມນໄດ້ຖືກໂຍກຍ້າຍອອກຈາກມັນ.
ໂມດູນຕໍ່ໄປ (reconnaissance) ເກັບ​ກໍາ​ຂໍ້​ມູນ​ລະ​ບົບ​:

• ບໍ່ວ່າຄອມພິວເຕີເປັນສ່ວນຫນຶ່ງຂອງໂດເມນ;
• ເສັ້ນທາງໄປສູ່ລະບົບ Windows;
• ຮຸ່ນຂອງລະບົບປະຕິບັດການ;
• ຊື່ຜູ້ໃຊ້ປະຈຸບັນ;
• ບັນຊີລາຍຊື່ຂອງຜູ້ດັດແປງເຄືອຂ່າຍ;
• ລະບົບແລະເວລາທ້ອງຖິ່ນ, ເຊັ່ນດຽວກັນກັບເຂດເວລາ.

ໂມດູນສຸດທ້າຍ (ຕົວຂະຫຍາຍຊີວິດ) ປະຕິບັດຫນ້າທີ່ເພື່ອເພີ່ມມູນຄ່າ (ເກັບໄວ້ໃນໄຟລ໌ຂໍ້ມູນການຕັ້ງຄ່າໂມດູນຕົ້ນຕໍ) ຂອງຈໍານວນມື້ທີ່ຍັງເຫຼືອຈົນກ່ວາວຽກສໍາເລັດ. ໂດຍຄ່າເລີ່ມຕົ້ນ, ຄ່ານີ້ຖືກຕັ້ງເປັນ 30 ຫຼື 36 ມື້ຂຶ້ນກັບການດັດແກ້ Duqu, ແລະຫຼຸດລົງຫນຶ່ງມື້ໃນແຕ່ລະມື້.

ສູນບັນຊາ

ໃນວັນທີ 20 ເດືອນຕຸລາປີ 2011 (ສາມມື້ຫຼັງຈາກຂໍ້ມູນກ່ຽວກັບການຄົ້ນພົບໄດ້ຖືກເຜີຍແຜ່), ຜູ້ປະຕິບັດງານ Duqu ໄດ້ດໍາເນີນຂັ້ນຕອນການທໍາລາຍຮ່ອງຮອຍຂອງການປະຕິບັດຫນ້າທີ່ຂອງສູນບັນຊາການ. ສູນບັນຊາການຕັ້ງຢູ່ໃນເຊີບເວີທີ່ຖືກແຮັກທົ່ວໂລກ - ໃນຫວຽດນາມ, ອິນເດຍ, ເຢຍລະມັນ, ສິງກະໂປ, ສະວິດເຊີແລນ, ອັງກິດ, ໂຮນລັງ, ແລະເກົາຫຼີໃຕ້. ເປັນທີ່ໜ້າສົນໃຈ, ເຊີບເວີທີ່ລະບຸທັງໝົດໄດ້ແລ່ນ CentOS ເວີຊັ່ນ 5.2, 5.4 ຫຼື 5.5. OSs ມີທັງ 32-bit ແລະ 64-bit. ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າໄຟລ໌ທັງຫມົດທີ່ກ່ຽວຂ້ອງກັບການດໍາເນີນງານຂອງສູນຄໍາສັ່ງໄດ້ຖືກລຶບຖິ້ມ, ຜູ້ຊ່ຽວຊານ Kaspersky Lab ສາມາດຟື້ນຕົວບາງຂໍ້ມູນຈາກໄຟລ໌ LOG ຈາກຊ່ອງຫວ່າງ. ຄວາມຈິງທີ່ຫນ້າສົນໃຈທີ່ສຸດແມ່ນວ່າຜູ້ໂຈມຕີຢູ່ໃນເຄື່ອງແມ່ຂ່າຍສະເຫມີປ່ຽນແພັກເກັດ OpenSSH 4.3 ເລີ່ມຕົ້ນດ້ວຍຮຸ່ນ 5.8. ອັນນີ້ອາດຈະຊີ້ບອກວ່າມີຊ່ອງໂຫວ່ທີ່ບໍ່ຮູ້ຈັກໃນ OpenSSH 4.3 ເພື່ອແຮັກເຊີບເວີ. ບໍ່ແມ່ນທຸກລະບົບຖືກໃຊ້ເປັນສູນບັນຊາ. ບາງຄົນ, ການຕັດສິນໂດຍຄວາມຜິດພາດໃນບັນທຶກ sshd ໃນເວລາທີ່ພະຍາຍາມປ່ຽນເສັ້ນທາງການຈະລາຈອນສໍາລັບພອດ 80 ແລະ 443, ຖືກນໍາໃຊ້ເປັນເຄື່ອງແມ່ຂ່າຍຕົວແທນເພື່ອເຊື່ອມຕໍ່ກັບສູນຄໍາສັ່ງສຸດທ້າຍ.

ວັນທີ ແລະໂມດູນ

ເອກະສານ Word ທີ່ແຈກຢາຍໃນເດືອນເມສາ 2011, ເຊິ່ງຖືກກວດສອບໂດຍ Kaspersky Lab, ມີໄດເວີດາວໂຫລດຂອງຕົວຕິດຕັ້ງທີ່ມີວັນທີລວບລວມວັນທີ 31 ສິງຫາ 2007. ໄດເວີທີ່ຄ້າຍຄືກັນ (ຂະຫນາດ - 20608 bytes, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) ໃນເອກະສານທີ່ພົບເຫັນຢູ່ໃນຫ້ອງທົດລອງ CrySys ມີວັນທີລວບລວມວັນທີ 21 ກຸມພາ 2008. ນອກຈາກນັ້ນ, ຜູ້ຊ່ຽວຊານ Kaspersky Lab ພົບເຫັນໄດເວີ autorun rndismpc.sys (ຂະຫນາດ - 19968 bytes, MD5 - 9AEC6E10C5EE9C05BED93221544C783E) ກັບວັນທີ 20 ມັງກອນ 2008. ບໍ່ພົບອົງປະກອບທີ່ໝາຍເຖິງປີ 2009. ອີງ​ຕາມ​ສະ​ແຕມ​ເວ​ລາ​ຂອງ​ການ​ລວບ​ລວມ​ຂອງ​ສ່ວນ​ບຸກ​ຄົນ​ຂອງ Duqu​, ການ​ພັດ​ທະ​ນາ​ຂອງ​ມັນ​ສາ​ມາດ​ເລີ່ມ​ຕົ້ນ​ໃນ​ຕົ້ນ​ປີ 2007​. ການປະກົດຕົວຄັ້ງທຳອິດຂອງມັນກ່ຽວຂ້ອງກັບການກວດຫາໄຟລ໌ຊົ່ວຄາວຂອງປະເພດ ~DO (ອາດຈະສ້າງໂດຍໜຶ່ງໃນໂມດູນສະປາຍແວ), ວັນທີສ້າງແມ່ນວັນທີ 28 ພະຈິກ 2008 (.ບົດຄວາມ "Duqu & Stuxnet: ໄລຍະເວລາຂອງເຫດການທີ່ຫນ້າສົນໃຈ"). ວັນທີຫຼ້າສຸດທີ່ກ່ຽວຂ້ອງກັບ Duqu ແມ່ນວັນທີ 23 ກຸມພາ 2012, ທີ່ມີຢູ່ໃນໄດເວີດາວໂຫຼດຕົວຕິດຕັ້ງທີ່ຄົ້ນພົບໂດຍ Symantec ໃນເດືອນມີນາ 2012.

ແຫຼ່ງຂໍ້ມູນທີ່ໃຊ້:

ຊຸດບົດຄວາມ ກ່ຽວກັບ Duqu ຈາກ Kaspersky Lab;
ບົດລາຍງານການວິເຄາະ Symantec "W32.Duqu ຄາຣະວາຂອງ Stuxnet ຕໍ່ໄປ", ສະບັບ 1.4, ເດືອນພະຈິກ 2011 (pdf).

ແຫຼ່ງຂໍ້ມູນ: www.habr.com