Дуку е злонамерна матриошка

Вовед

На 1 септември 2011 година, датотеката со име ~DN1.tmp беше испратена на веб-страницата VirusTotal од Унгарија. Во тоа време, датотеката беше откриена како злонамерна од само два антивирусни мотори - BitDefender и AVIRA. Вака започна приказната за Дуку. Гледајќи напред, мора да се каже дека семејството на малициозен софтвер Duqu го доби името по оваа датотека. Сепак, оваа датотека е целосно независен шпионски модул со функции на keylogger, веројатно инсталиран со помош на злонамерен симнувач на dropper, и може да се смета само како „payload“ преземен од Duqu малициозен софтвер во текот на неговото работење, но не и интегрален дел (модул) од Duqu . Една од компонентите на Duqu беше испратена до услугата Virustotal дури на 9 септември. Неговата карактеристика е возачот потпишан со дигитален потпис од C-Media. Некои експерти веднаш почнаа да прават аналогии со друг добро познат пример на малициозен софтвер - Stuxnet, кој исто така користеше потпишани драјвери. Вкупниот број на компјутери заразени од Duqu, откриени од различни антивирусни компании ширум светот, изнесува десетици. Многу компании тврдат дека Иран повторно е главната цел, но судејќи според географијата на дистрибуција на инфекции, тоа не може да се каже со сигурност.

Во овој случај, треба самоуверено да се зборува само за друга компанија со нов збор АПТ (напредна постојана закана).

Постапка за имплементација на системот

Истрагата спроведена од специјалисти од унгарската организација CrySyS (унгарска лабораторија за криптографија и системска безбедност на Универзитетот за технологија и економија во Будимпешта) доведе до откривање на инсталатер (dropper) преку кој системот бил заразен. Тоа беше датотека на Microsoft Word со експлоатација за ранливоста на двигателот на win32k.sys (MS11-087, опишан од Microsoft на 13 ноември 2011 година), кој е одговорен за прикажување на фонтови TTF. Шел-кодот на експлоатот користи фонт вграден во документот наречен „Dexter Regular“, а Showtime Inc. е заслужен како креатор на фонтот. Како што можете да видите, на креаторите на Дуку не им е туѓо смислата за хумор: Декстер е сериски убиец, херој на истоимената телевизиска серија, снимена од Showtime. Декстер само убива (ако е можно) криминалци, т.е го крши законот во име на законот. Веројатно, на овој начин, програмерите на Duqu се иронични што се занимаваат со нелегални активности за добри цели. Испраќањето писма по е-пошта беше спроведено намерно. За испраќање, најверојатно, се користеле компромитирани (хакирани) компјутери како посредник за да се отежне следењето.
Така, документот Word ги содржеше следните компоненти:

• текстуална содржина;
• вграден фонт;
• експлоатира свилен код;
• возач;
• инсталатер (DLL).

Во случај на успешно извршување, шел-кодот на експлоатот ги изврши следните операции (во режим на јадро):

• беше извршена проверка за повторна инфекција, за ова, постоењето на клучот „CF4D“ беше проверено во регистарот на „HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones1“, ако беше точно, кодот на школка го заврши неговото извршување;
• беа дешифрирани две датотеки - драјвер (sys) и инсталатер (dll);
• возачот беше инјектиран во процесот services.exe и го стартуваше инсталаторот;
• на крајот, shellcode се избриша со нули во меморијата.

Со извршувањето на win32k.sys како root корисник „Систем“, програмерите на Duqu елегантно го решија проблемот со неовластено стартување и подигање (работи под корисничка сметка со ограничени привилегии).
Инсталаторот, откако ја примил контролата, дешифрирал три блокови на податоци во меморијата кои содржат:

• потпишан возач (sys);
• главен модул (dll);
• податоци за конфигурација на инсталерот (pnf).

Во податоците за конфигурацијата на инсталерот, беше наведен опсег на датуми (во форма на два временски ознаки - почеток и крај). Инсталаторот провери дали тековниот датум спаѓа во него, ако не, го заврши неговото извршување. Исто така, во податоците за конфигурацијата на инсталерот, беа наведени имињата под кои беа зачувани драјверот и главниот модул. Во овој случај, главниот модул беше зачуван на дискот во шифрирана форма.

За автоматско стартување на Duqu, создадена е услуга која користи датотека со драјвери која го дешифрира главниот модул во лет, користејќи клучеви зачувани во регистарот. Главниот модул содржи свој блок за податоци за конфигурација. На првиот почеток, тој беше дешифриран, во него беше внесен датумот на инсталација, по што повторно беше шифриран и зачуван од главниот модул. Така, во засегнатиот систем, при успешна инсталација, беа зачувани три датотеки - драјверот, главниот модул и датотеката со податоци за неговата конфигурација, додека последните две датотеки беа зачувани на дискот во шифрирана форма. Сите процедури за дешифрирање беа извршени само во меморија. Оваа сложена процедура за инсталација беше искористена за да се минимизира можноста за откривање од антивирусен софтвер.

Главниот модул

Главен модул (ресурс 302), од информации од Kaspersky Lab, напишана со помош на MSVC 2008 во чиста C, но со користење на објектно-ориентиран пристап. Овој пристап е некарактеристичен кога се развива злонамерен код. Како по правило, таков код е напишан во C со цел да се намали големината и да се ослободи од имплицитните повици својствени на C ++. Тука има и симбиоза. Плус, се користеше архитектура ориентирана кон настани. Вработените во Kaspersky Lab се склони кон теоријата дека главниот модул е ​​напишан со помош на додаток за пред-процесор кој ви овозможува да пишувате код во C во стил на објект.
Главниот модул е ​​одговорен за постапката за примање наредби од операторите. Duqu обезбедува неколку начини за интеракција: користење на протоколите HTTP и HTTPS, како и користење на именувани цевки (цевка). За HTTP(S) се наведени имињата на домени на командните центри, додека беше можно да се работи преку прокси-сервер - им беа дадени корисничко име и лозинка. На каналот му е дадена IP адреса и име на канал. Наведените податоци се зачувуваат во блокот за конфигурациски податоци на главниот модул (шифриран).
За да се користат именувани цевки, беше лансирана прилагодена имплементација на серверот RPC. Ги поддржуваше следните седум функции:

• вратете ја инсталираната верзија;
• извршете инјекција dll во наведениот процес и повикајте ја наведената функција;
• вчитај dll;
• стартувајте процес со повикување на CreateProcess();
• прочитајте ја содржината на наведената датотека;
• запишете податоци во наведената датотека;
• избришете ја дадената датотека.

Именуваните цевки може да се користат во локалната мрежа за дистрибуција на ажурирани модули и податоци за конфигурација помеѓу компјутери инфицирани со Duqu. Дополнително, Duqu може да дејствува како прокси-сервер за други заразени компјутери (кои немаа пристап до Интернет поради поставките за заштитен ѕид на портата). Некои верзии на Duqu немаа функционалност за RPC.

Познати „оптоварувања“

Symantec идентификуваше најмалку четири „корисни товари“ натоварени по команда од контролниот центар Duqu.
Сепак, само еден од нив беше резидент и компајлиран како извршна датотека (exe), која беше зачувана на диск. Останатите три беа имплементирани како dll библиотеки. Тие беа вчитани динамички и извршени во меморија без да бидат зачувани на дискот.

Резидентниот „товар“ беше шпионски модул (инфокрадец) со функции на keylogger. Токму со испраќањето до VirusTotal започна работата на истражувањето на Duqu. Главната шпионска функционалност беше во ресурсот, од кои првите 8 килобајти содржеа дел од фотографијата на галаксијата NGC 6745 (за маскирање). Овде треба да се потсети дека во април 2012 година, некои медиуми објавија информација (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) дека Иран е изложен на некој вид малициозен софтвер Stars, додека деталите за инцидентот не беа обелоденети. Можно е токму таков примерок од „товарот“ на Дуку да бил откриен тогаш во Иран, па оттука и името „Ѕвезди“ (ѕвезди).
Шпионскиот модул ги собра следниве информации:

• листа на процеси кои се извршуваат, информации за тековниот корисник и домен;
• листа на логички погони, вклучително и мрежни;
• слики од екранот;
• адреси на мрежни интерфејси, рутирачки табели;
• лог датотека со притискање на тастатурата;
• имиња на отворени прозорци на апликации;
• листа на достапни мрежни ресурси (ресурси за споделување);
• комплетна листа на датотеки на сите дискови, вклучително и отстранливи;
• листа на компјутери во „мрежно опкружување“.

Друг шпионски модул (инфокрадец) беше варијација на веќе опишаната, но составена како библиотека dll, функциите на keylogger, составување листа на датотеки и набројување на компјутери вклучени во доменот беа отстранети од него.
Следен модул (извидување) собрани информации за системот:

• дали компјутерот е дел од домен;
• патеки до системските директориуми на Windows;
• верзија на оперативниот систем;
• име на тековниот корисник;
• листа на мрежни адаптери;
• систем и локално време, како и временската зона.

Последен модул (продолжувач на животниот век) имплементираше функција за зголемување на вредноста (зачувана во датотеката за конфигурациски податоци на главниот модул) на бројот на преостанати денови до крајот на работата. Стандардно, оваа вредност беше поставена на 30 или 36 дена во зависност од модификацијата на Duqu и се намалуваше за еден секој ден.

командни центри

На 20 октомври 2011 година (три дена по објавувањето на откритието), операторите на Duqu спроведоа постапка за уништување на трагите од работењето на командните центри. Командните центри беа хостирани на хакирани сервери ширум светот - во Виетнам, Индија, Германија, Сингапур, Швајцарија, Велика Британија, Холандија, Јужна Кореја. Интересно е што сите идентификувани сервери работеа на CentOS верзии 5.2, 5.4 или 5.5. ОС беа и 32-битни и 64-битни. И покрај фактот дека сите датотеки поврзани со работата на командните центри беа избришани, специјалистите на Kaspersky Lab успеаја да повратат дел од информациите во датотеките LOG од слаб простор. Најинтересен факт е дека напаѓачите на серверите отсекогаш го заменувале стандардниот пакет OpenSSH 4.3 со верзијата 5.8. Ова може да укаже дека непозната ранливост во OpenSSH 4.3 била користена за хакирање на сервери. Не сите системи се користеа како командни центри. Некои, судејќи според грешките во дневниците на sshd при обидот за пренасочување на сообраќајот за портите 80 и 443, беа користени како прокси-сервер за поврзување со конечните командни центри.

Датуми и модули

Документот Word дистрибуиран во април 2011 година, кој беше испитан од Kaspersky Lab, содржеше двигател за преземање на инсталерот со датум на компилација од 31 август 2007 година. Сличен драјвер (големина - 20608 бајти, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) во документот што влезе во лабораторијата CrySys имаше датум на составување на 21 февруари 2008 година. Покрај тоа, експертите на Kaspersky Lab го пронајдоа двигателот за автоматско активирање rndismpc.sys (големина - 19968 бајти, MD5 - 9AEC6E10C5EE9C05BED93221544C783E) од 20 јануари 2008 година. Не беа пронајдени компоненти со ознака 2009 година. Врз основа на временските ознаки на компилацијата на поединечните делови на Duqu, неговиот развој би можел да датира од почетокот на 2007 година. Неговата најрана манифестација е поврзана со откривање на привремени датотеки од формата ~DO (веројатно создадена од еден од шпионскиот софтвер), чиј датум на создавање е 28 ноември 2008 година (Член „Duqu & Stuxnet: Timeline на интересни настани“). Најновиот датум поврзан со Duqu е 23 февруари 2012 година, содржан во двигателот за преземање инсталатер откриен од Symantec во март 2012 година.

Користени извори на информации:

серија на статии за Duqu од Kaspersky Lab;
Извештај на аналитичарот на Symantec „W32.Duqu Претходник на следниот Stuxnet“, верзија 1.4, ноември 2011 година (pdf).

Извор: www.habr.com