ืืงืืื
ืืืืฃ ืกืขืคืืขืืืขืจ 1, 2011, ืึท ืืขืงืข ืืืื ื ืึธืืขื ~DN1.tmp ืืื ืืขืฉืืงื ืฆื ืื VirusTotal ืืืขืืืืืื ืคึฟืื ืืื ืืืจื. ืืื ืืขืจ ืฆืืื, ืื ืืขืงืข ืืื ืืขืืืขื ืืืืขืงืืึทื ืืื ืืืืืข ืืืจื ืืืืื ืฆืืืื ืึทื ืืืืืืจืืก ืขื ืืืฉืึทื ื - BitDefender ืืื AVIRA. ืืืื ืืื ืืื ืื ืืขืืืืื ืื ืืขืฉื ืคืื ืืืงื. ืืืจ ืืืื ืคืึธืจืืืก, ืขืก ืืืื ืืืื ืืขืืึธืื ืึทื ืื Duqu ืืึทืืืืึทืจืข ืืฉืคึผืื ืืื ืืขืืืขื ืืขืืืืกื ื ืึธื ืืขื ื ืึธืืขื ืคืื ืืขื ืืขืงืข. ืึธืืขืจ, ืื ืืขืงืข ืืื ืึท ืืึธืจ ืคืจืืึท ืกืคึผืืืืึทืจืข ืืึธืืืืข ืืื ืงืืืืึธืืืขืจ ืคืึทื ืืงืฉืึทื ื, ืืื ืกืืึทืืืจื, ืืืกืืึธืืข, ืืื ืึท ืืืืืข ืืึธืืื ืืึธืึทืืขืจ-ืืจืึทืคึผืขืจ, ืืื ืงืขื ืขื ืืืืื ืืืื ืืขืจืขืื ื ืืื ืึท "ืคึผืืืืึธืื" ืืึธืืืื ืืืจื ืื Duqu ืืึทืืืืึทืจืข ืืขืฉืึทืก ืืืึทื ืึธืคึผืขืจืึทืฆืืข, ืืื ื ืืฉื ืืื ืึท ืงืึธืืคึผืึธื ืขื ื ( ืืึธืืืืข) ืคืื Duqu. ืืืื ืขืจ ืคืื ืื Duqu ืงืึทืืคึผืึธืื ืึทื ืฅ ืืื ืืขืฉืืงื ืฆื ืื Virustotal ืืื ืกื ืืืืื ืืืืฃ 9 ืกืขืคืืขืืืขืจ. ืืืื ืึธืคึผืฉืืืื ืืืง ืฉืืจืื ืืื ืึท ืฉืึธืคืขืจ ืืืืืฉืึทืืึทืื ืืขืืชืืขื ืืืจื C-Media. ืขืืืขืืข ืขืงืกืคึผืขืจืฅ ืืื ืื ืืขืืืืื ืฆื ืฆืืขื ืึทื ืึทืืึธืืืขืก ืืื ืื ืื ืืขืจ ืืึทืจืืื ืืืืฉืคึผืื ืคืื ืืึทืืืืึทืจืข - Stuxnet, ืืืึธืก ืืืื ืืขืืืืื ื ืืขืืชืืขื ืืจืืืืขืจืก. ืื ืืึทื ืฅ ื ืืืขืจ ืคืื Duqu-ืื ืคืขืงืืึทื ืงืึธืืคึผืืืืขืจืก ืืืืขืงืืึทื ืืืจื ืคืึทืจืฉืืื ืึทื ืืืืืืจืืก ืงืึธืืคึผืึทื ืืขืก ืึทืจืื ืื ืืืขืื ืืื ืืื ืื ืืึทืืึทื ื. ืคืืืข ืงืึธืืคึผืึทื ืืขืก ืคืึธืืขืจื ืึทื ืืจืึทื ืืื ืืืืืขืจ ืืขืจ ืืืืคึผื ืฆืื, ืึธืืขืจ ืืืื ืืฉืคืื ืืืื ืื ืืขืึธืืจืึทืคึฟืืฉ ืคืึทืจืฉืคึผืจืืืืื ื ืคืื ืื ืคืขืงืฉืึทื ื, ืืึธืก ืงืขื ื ืืฉื ืืึธืื ืคึฟืึทืจ ืืืืขืจ.
ืืื ืืขื ืคืึทื, ืืืจ ืืึธื ืงืึทื ืคืึทืืึทื ืืื ืจืขืื ืืืืื ืืืขืื ืื ืื ืืขืจ ืคืืจืืข ืืื ืึท ื ืืึท-ืคืึทื ืืืึทืื ืืืึธืจื (ืึทืืืึทื ืกืืจืืข ืคึผืขืจืกืืกืืขื ื ืกืึทืงืึธื ืข).
ืกืืกืืขื ืืืคึผืืึทืืขื ืืืืฉืึทื ืคึผืจืึธืฆืขืืืจ
ื ืืืกืคืึธืจืฉืื ื ืืขืคืืจื ืืืจื ืกืคึผืขืฉืึทืืึทืกืฅ ืคืื ืื ืืื ืืขืจืืฉ ืึธืจืืึทื ืืืึทืฆืืข CrySyS (ืืื ืืขืจืืฉ ืืึทืืึธืจืึทืืึธืจืืข ืคืื โโืงืจืืคึผืืึธืืจืึทืคื ืืื ืกืืกืืขื ืืืืขืจืืืื ืืื ืื ืืืืึทืคึผืขืฉื ืืื ืืืืขืจืกืืืขื ืคืื ืืขืื ืึธืืึธืืืข ืืื ืขืงืึธื ืึธืืืง) ืืขืคืืจื ืฆื ืื ืืคืืขืงืื ื ืคืื ืื ืื ืกืืึทืืืขืจ (ืืจืึทืคึผืขืจ) ืืืจื ืืืึธืก ืื ืกืืกืืขื ืืื ืื ืคืขืงืืึทื. ืืึธืก ืืื ืืขืืืขื ืึท ืืืงืจืึธืกืึธืคื ืืืึธืจื ืืขืงืข ืืื ืึท ืขืงืกืคึผืืืืืืืฉืึทื ืคึฟืึทืจ ืื ืืืึทืื ืขืจืึทืืืืืื ืคืื ืื ืืจืืืืืขืจ win32k.sys (MS11-087, ืืืกืงืจืืืื ืืืจื ืืืืงืจืึธืกืึธืคึฟื ืืืืฃ ื ืืืืขืืืขืจ 13, 2011), ืืืึธืก ืืื ืคืึทืจืึทื ืืืืึธืจืืืขื ืคึฟืึทืจ ืื TTF ืฉืจืืคึฟื ืจืขื ืืขืจืื ื ืืขืงืึทื ืืืึทื. ืื ืฉืึธืืงืึธืืข ืคืื โโืื ืขืงืกืคึผืืืื ื ืืฆื ืึท ืฉืจืืคึฟื ืืขืจืืคึฟื 'ืืขืงืกืืขืจ ืจืขืืืืึทืจ' ืขืืืขืืื ืืื ืืขื ืืึธืงืืืขื ื, ืืื Showtime ืื ืง. ืืืกืืขื ืืื ืืขืจ ืืืฉืขืคืขืจ ืคืื ืื ืฉืจืืคึฟื. ืืื ืืืจ ืงืขื ืขื ืืขื, ืื ืงืจืืืืืขืจื ืคืื Duqu ืืขื ืขื ืงืืื ืคืจืขืืืข ืฆื ืึท ืืขืคืื ืคืื ืืืืึธืจ: ืืขืงืกืืขืจ ืืื ืึท ืกืืจืืึทื ืจืขืฆืืืขื, ืืขืจ ืืขืื ืคืื ืืขืจ ืืขืืขืืืืืืข ืกืขืจืืข ืืื ืื ืืขืืืข ื ืึธืืขื, ืืขืฉืืคื ืืืจื Showtime. ืืขืงืกืืขืจ ืืจืืขื ืืืืื (ืืืื ืืขืืืขื) ืงืจืืืึทื ืึทืื, ืืึธืก ืืื, ืขืจ ืืจืืืงืก ืื ืืขืืขืฅ ืืื ืื ื ืึธืืขื ืคืื ืืืืึทืืึทืื. ืืืกืืึธืืข, ืืื ืืขื ืืืขื, ืื Duqu ืืขืืืขืืึธืคึผืขืจืก ืืขื ืขื ืืืจืึทื ืืง ืึทื ืืื ืืขื ืขื ืคืึทืจืงื ืึทืกื ืืื ืืืืขืืึทื ืึทืงืืืืืืืขืื ืคึฟืึทืจ ืืื ืฆืืืขืงื. ืฉืืงื ืืืืืื ืืื ืืืจืืืขืงืึธืื ืคึผืขืจืคึผืึทืกืคืึทืื. ืื ืืจืึทื ืกืคึผืึธืจื ืจืืึฟ ืืกืชึผืื ืืขื ืืฆื ืงืึทืืคึผืจืึทืืืืื (ืืึทืงื) ืงืึธืืคึผืืืืขืจืก ืืื ืึท ืื ืืขืจืืืืืขืจื ืฆื ืืึทืื ืืจืึทืงืื ื ืฉืืืขืจ.
ืืขืจ ืืืึธืจื ืืึธืงืืืขื ื ืึผืืื ืื ืคืืืืขื ืืข ืงืึทืืคึผืึธืื ืึทื ืฅ:
- ืืขืงืกื ืืื ืืึทืื;
- ืืขืืืื-ืืื ืฉืจืืคึฟื;
- ื ืืฆื ืฉืขืืงืึธืืข;
- ืฉืึธืคืขืจ;
- ืื ืกืืึทืืืขืจ (ืืื ืืืืืืึธืืขืง).
ืืืื ืืขืจืึธืื, ืื ืขืงืกืคึผืืืื ืฉืขืืงืึธืืข ืืืจืืืขืงืึธืื ืื ืคืืืืขื ืืข ืึทืคึผืขืจืืืฉืึทื ื (ืืื ืงืขืจื ืืึธืืข):
- ืึท ืืฉืขืง ืคึฟืึทืจ ืฉืืึทืขื-ืื ืคืขืงืฆืืข ืืื ืืืจืืืขืงืึธืื; ืคึฟืึทืจ ืืขื, ืื ืืืึทืืืึทื ืคืื ืื ืฉืืืกื 'CF4D' ืืื ืึธืคึผืืขืฉืืขืื ืืื ืื ืจืขืืืกืืจื ืืืืฃ ืื ืึทืืจืขืก 'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionInternet SettingsZones1'; ืืืื ืืึธืก ืืื ืจืืืืืง, ืื ืฉืขืืงืึธืืข ืืขืขื ืืืงื ืืืื ืืืจืืคืืจืื ื;
- ืฆืืืื ืืขืงืขืก ืืขื ืขื ืืขืงืจืืคึผืืขื - ืืขืจ ืฉืึธืคืขืจ (ืกืืก) ืืื ืื ืื ืกืืึทืืืขืจ (ืืื);
- ืืขืจ ืฉืึธืคืขืจ ืืื ืื ืืืฉืขืงืืื ืืื ืื services.exe ืคึผืจืึธืฆืขืก ืืื ืืึธื ืืฉื ืื ืื ืกืืึทืืืขืจ;
- ืฆืื ืกืืฃ, ืื ืฉืขืืงืึธืืข ืืจืืืกื ืืื ืืื ืืขืจืึธืก ืืื ืืึผืจืื.
ืจืขืื ืฆื ืืขื ืคืึทืงื ืึทื win32k.sys ืืื ืขืงืกืึทืงืืืืึทื ืืืืฃ ืืืืึทืฃ ืคืื ืื ืคึผืจืืืืืืืืฉื ืืึทื ืืฆืขืจ 'ืกืืกืืขื', ืื Duqu ืืขืืืขืืึธืคึผืขืจืก ืืึธืื ืขืืขืืึทื ืืื ืกืึทืืืื ืื ืคึผืจืึธืืืขื ืคืื ืืืืืข ืึทื ืึธืืขืจืืืื ืงืึทืืขืจ ืืื ืขืกืงืึทืืืจืื ื ืคืื ืจืขืื (ืคืืืกื ืืืง ืืื ืืขืจ ืึท ืืึทื ืืฆืขืจ ืืฉืืื ืืื ืืืืืืขื ืจืขืื).
ื ืึธื ืืืงืืืขื ืงืึธื ืืจืึธื, ืื ืื ืกืืึทืืืขืจ ืืขืงืจืืคึผืืื ืืจืื ืืืึทืงืก ืคืื ืืึทืื ืงืึทื ืืืื ื ืืื ืขืก ืืื ืืึผืจืื, ืืื:
- ืืขืืชืืขื ืืจืืืืืขืจ (ืกืืก);
- ืืืืคึผื ืืึธืืืืข (ืืื);
- ืื ืกืืึทืืืขืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื (ืคึผื ืฃ).
ื ืืึทืืข ืงืืื ืืื ืืขืืืขื ืกืคึผืขืกืืคืืขื ืืื ืื ืื ืกืืึทืืืขืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื (ืืื ืื ืคืึธืจืขื ืคืื ืฆืืืื ืืืืขืกืืึทืืคึผืก - ืึธื ืืืื ืืื ืกืืฃ). ืืขืจ ืื ืกืืึทืืืขืจ ืืึธื ืึธืคึผืืขืฉืืขืื ืฆื ืืขืจ ืืืฆืืืงืขืจ ืืึทืืข ืืื ืึทืจืืึทื ืืขืจืขืื ื ืืื ืขืก, ืืื ืืืื ื ืื, ืขืก ืืขืขื ืืืงื ืืืื ืืืจืืคืืจืื ื. ืืืื ืืื ืื ืื ืกืืึทืืืขืจ ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื ืืขื ืขื ืืขืืืขื ืื ื ืขืืขื ืืื ืืขืจ ืืืึธืก ืื ืฉืึธืคืขืจ ืืื ืืืืคึผื ืืึธืืืืข ืืขื ืขื ืืขืจืืืขืืืขื. ืืื ืืขื ืคืึทื, ืื ืืืืคึผื ืืึธืืืืข ืืื ืืขืจืืืขืืืขื ืืืืฃ ืืืกืง ืืื ืื ืงืจืืคึผืืื ืคืึธืจืขื.
ืฆื ืึทืืืึธืกืืึทืจื Duqu, ืึท ืืื ืกื ืืื ืืืฉืืคื ืืื ืึท ืฉืึธืคืขืจ ืืขืงืข ืืืึธืก ืืขืงืจืืคึผืืื ืื ืืืืคึผื ืืึธืืืืข ืืืืฃ ืื ืคืืืขื ืืื ืฉืืืกืืขื ืกืืึธืจื ืืื ืื ืจืขืืืกืืจื. ืืขืจ ืืืืคึผื ืืึธืืืืข ืึผืืื ืืืื ืืืืืขื ืข ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื ืืืึธืง. ืืืขื ืขืจืฉืืขืจ ืืึธื ืืฉื, ืขืก ืืื ืืขืืืขื ืืขืงืจืืคึผืืื, ืื ืื ืกืืึทืืืจืื ื ืืึทืืข ืืื ืืจืืื ืืื ืขืก, ื ืึธื ืืืึธืก ืขืก ืืื ืื ืงืจืืคึผืืื ืืืืืขืจ ืืื ืืขืจืืืขืืืขื ืืืจื ืื ืืืืคึผื ืืึธืืืืข. ืืืื, ืืื ืื ืึทืคืขืงืืื ืกืืกืืขื, ื ืึธื ืึท ืืขืจืึธืื ืืึทื ืืึธื ืืืจืื ื, ืืจืื ืืขืงืขืก ืืขื ืขื ืืขืจืืืขืืืขื - ืืขืจ ืฉืึธืคืขืจ, ืื ืืืืคึผื ืืึธืืืืข ืืื ืืืึทื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื ืืขืงืข, ืืฉืขืช ืื ืืขืฆืืข ืฆืืืื ืืขืงืขืก ืืขื ืขื ืกืืึธืจื ืืืืฃ ืืืกืง ืืื ืื ืงืจืืคึผืืื ืคืึธืจืขื. ืึทืืข ืืืงืึธืืืื ื ืคึผืจืึธืืกืืืืฉืขืจื ืืขื ืขื ืืืจืืืขืงืึธืื ืืืืื ืืื ืืึผืจืื. ืืขื ืงืึธืืคึผืืขืงืก ืื ืกืืึทืืืจืื ื ืคึผืจืึธืฆืขืืืจ ืืื ืืขื ืืฆื ืฆื ืืื ืึทืืืื ืื ืืขืืืขืืงืืื ืคืื ืืืืขืงืฉืึทื ืืืจื ืึทื ืืืืืืจืืก ืืืืืืืืืจื.
ืื ืืืืคึผื ืืึธืืืืข
ืืืืคึผื ืืึธืืืืข (ืืืื 302), ืืืื ืฆื ืคืืจืืข ืงืึทืกืคึผืขืจืกืงื ืืึทื, ืืขืฉืจืืื ื ืืฆื MSVC 2008 ืืื ืจืืื C, ืึธืืขืจ ื ืืฆื ืึท ืืืืคืขืฅ-ืึธืจืืขื ืืื ืฆืืืึทื ื. ืืขื ืฆืืืึทื ื ืืื ืึทื ืงืขืจืึทืงืืขืจืืกืืืง ืืืขื ืืขืืืขืืึธืคึผืื ื ืืืืืข ืงืึธื. ืืื ืึท ืืขืจืฉื, ืึทืืึท ืงืึธื ืืื ืืขืฉืจืืื ืืื C ืฆื ืจืขืืืฆืืจื ืื ืืจืืืก ืืื ืืึทืงืืืขื ืืึทืคืจืืึทืขื ืคืื ืื ืืืคึผืืืกืึทื ืงืึทืืืก ืืึธืืืง ืืื C ++. ืขืก ืืื ืืึธ ืึท ืืืืขืจ ืกืืืืืืึธืืกืึทืก. ืคึผืืืก, ืึท ืืขืฉืขืขื ืืฉ-ืืขืืจืืื ืึทืจืงืึทืืขืงืืฉืขืจ ืืื ืืขื ืืฆื. ืขืืคึผืืืืื ืคืื ืงืึทืกืคึผืขืจืกืงื ืืึทื ืืขื ืขื ืืขื ืืืื ืฆื ืืขืจ ืืขืึธืจืืข ืึทื ืื ืืืืคึผื ืืึธืืืืข ืืื ืืขืืืขื ืืขืฉืจืืื ืืื ืึท ืคืึทืจ-ืคึผืจืึทืกืขืกืขืจ ืึทืืืฉืึทื ืืืึธืก ืึทืืึทืื ืืืจ ืฆื ืฉืจืืึทืื C ืงืึธื ืืื ืึท ืืืืคืขืฅ ื ืืกื.
ืืขืจ ืืืืคึผื ืืึธืืืืข ืืื ืคืึทืจืึทื ืืืืึธืจืืืขื ืคึฟืึทืจ ืื ืคึผืจืึธืฆืขืืืจ ืคึฟืึทืจ ืจืืกืืืืื ื ืงืึทืืึทื ืื ืคืื ืึธืคึผืขืจืืืืขืจื. Duqu ืืื ืขืืืขืืข ืืขืืืึธืืก ืคืื ืื ืืขืจืึทืงืฉืึทื: ื ืืฆื ืื ืืืืคึผ ืืื ืืืืคึผืก ืคึผืจืึธืืึธืงืึธืืก, ืืื ืืขืืื ื ืืื ื ืืฆื ืืขืืืืกื ืคึผืืืคึผืก. ืคึฟืึทืจ ืืืืคึผ (S), ืคืขืื ื ืขืืขื ืคืื ืืึทืคึฟืขืื ืกืขื ืืขืจืก ืืขื ืขื ืกืคึผืขืกืืคืืขื, ืืื ืื ืคืืืืงืืื ืฆื ืึทืจืืขืื ืืืจื ืึท ืคึผืจืึทืงืกื ืกืขืจืืืขืจ ืืื ืฆืืืขืฉืืขืื - ืึท ืืึทื ืืฆืขืจ ื ืึธืืขื ืืื ืคึผืึทืจืึธื ืืขื ืขื ืกืคึผืขืกืืคืืขื ืคึฟืึทืจ ืืื. ืื IP ืึทืืจืขืก ืืื ืืืื ื ืึธืืขื ืืขื ืขื ืกืคึผืขืกืืคืืขื ืคึฟืึทืจ ืืขื ืงืึทื ืึทื. ืื ืกืคึผืขืกืืคืืขื ืืึทืื ืืขื ืขื ืกืืึธืจื ืืื ืื ืืืืคึผื ืืึธืืืืข ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื ืืืึธืง (ืืื ืื ืงืจืืคึผืืื ืคืึธืจืขื).
ืฆื ื ืืฆื ืืขืจืืคึฟื ืคึผืืืคึผืก, ืืืจ ืืึธื ืืฉื ืืื ืืืขืจ ืืืืืขื ืข ืจืคึผืง ืกืขืจืืืขืจ ืืืคึผืืึทืืขื ืืืืฉืึทื. ืขืก ืฉืืืฆื ืื ืคืืืืขื ืืข ืืืื ืคืึทื ืืงืฉืึทื ื:
- ืฆืืจืืงืงืืืขื ืื ืืื ืกืืึทืืืจื ืืืขืจืกืืข;
- ืึทืจืืึทื ืฉืคึผืจืืฆื ืึท dll ืืื ืื ืกืคึผืขืกืึทืคืืื ืคึผืจืึธืฆืขืก ืืื ืจืืคื ืื ืกืคึผืขืกืึทืคืืื ืคึฟืื ืงืฆืืข;
- ืืึทืกืข ืืื;
- ืึธื ืืืื ืึท ืคึผืจืึธืฆืขืก ืืืจื ืจืืคื CreateProcess ();
- ืืืืขื ืขื ืื ืืื ืืึทืื ืคืื ืึท ืืขืืขืื ืืขืงืข;
- ืฉืจืืึทืื ืืึทืื ืฆื ืื ืกืคึผืขืกืึทืคืืื ืืขืงืข;
- ืืืกืืขืงื ืื ืกืคึผืขืกืึทืคืืื ืืขืงืข.
ืืขืืืืกื ืคึผืืืคึผืก ืงืขื ืืืื ืืขืืืืื ื ืืื ืึท ืืืืข ื ืขืฅ ืฆื ืคืึทืจืฉืคึผืจืืืื ืืขืจืืืึทื ืืืงื ืืึทืืืฉืืื ืืื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื ืฆืืืืฉื ืืืงืื-ืื ืคืขืงืืึทื ืงืึธืืคึผืืืืขืจืก. ืืื ืึทืืืฉืึทื, Duqu ืงืขื ืฉืคึผืืื ืืื ืึท ืคืจืืงืกื ืกืขืจืืืขืจ ืคึฟืึทืจ ืื ืืขืจืข ืื ืคืขืงืืึทื ืงืึธืืคึผืืืืขืจืก (ืืืึธืก ืืื ื ืืฉื ืืึธืื ืึทืงืกืขืก ืฆื ืื ืืื ืืขืจื ืขื ืจืขืื ืฆื ืื ืคืืจืขืืืึทืื ืกืขืืืื ืืก ืืืืฃ ืื ืืืืืืืื). ืขืืืขืืข ืืืขืจืกืืขืก ืคืื Duqu ืืึธืื ื ืืฉื ืจืคึผืง ืคืึทื ืืงืฉืึทื ืึทืืืื.
ืืึทืืืืกื "ืคึผืืืืึธืึทืืก"
Symantec ืืืกืงืึทืืืขืจื ืืืึท ืืื ืืกืืขืจ ืคืืจ ืืืืคึผืก ืคืื ืคึผืืืืึธืืื ืืึทืื ืืึธืืืื ืืื ืืขืจ ืืึทืคึฟืขื ืคืื ืื Duqu ืงืึธื ืืจืึธื ืฆืขื ืืขืจ.
ืืขืจืฆื, ืืืืื ืืืื ืขืจ ืคืื ืืื ืืื ืืขืืืขื ืจืขืืืืึทื ืฅ ืืื ืงืึทืืคึผืืืื ืืื ืึท ืขืงืกืขืงืืืึทืืืข ืืขืงืข (ืขืงืกืข), ืืืึธืก ืืื ืืขืจืืืขืืืขื ืฆื ืืืกืง. ืื ืจืืขื ืืจืื ืืขื ืขื ืืืคึผืืึทืืขื ืึทื ืืื dll ืืืืืจืขืจืื. ืืื ืืขื ืขื ืืึธืืืื ืืื ืึทืืืงืึทืืื ืืื ืขืงืกืึทืงืืืืึทื ืืื ืืึผืจืื ืึธื ืืขืจืืืขืืืขื ืฆื ืืืกืง.
ืืขืจ ืืืื ืืืืืื ืขืจ "ืคึผืืืืึธืึทื" ืืื ืืขืืืขื ืึท ืฉืคึผืืึธื ืืึธืืืืข (infostealer) ืืื ืงืืืืึธืืืขืจ ืคืึทื ืืงืฉืึทื ื. ืขืก ืืื ืืขืืืขื ืืืจื ืฉืืงื ืขืก ืฆื VirusTotal ืึทื ืื ืึทืจืืขื ืืืืฃ Duqu ืคืึธืจืฉืื ื ืื ืืขืืืืื. ืื ืืืืคึผื ืฉืคึผืืึธื ืคืึทื ืืงืฉืึทื ืึทืืืื ืืื ืืขืืืขื ืืื ืื ืืืื, ืืขืจ ืขืจืฉืืขืจ 8 ืงืืืืืืื ืคืื ืืืึธืก ืงืึทื ืืืื ื ืืืื ืคืื ืึท ืคืึธืืึธ ืคืื ืื ืืึทืืึทืงืกื NGC 6745 (ืคึฟืึทืจ ืงืึทืืึทืคืืึทืืฉ). ืขืก ืืึธื ืืืื ืืขืจืืื ื ืืึธ ืึทื ืืื ืืคืจืื 2012, ืขืืืขืืข ืืืืืึท ืคืืจืขืคื ืืืขืื ืืื ืคึฟืึธืจืืึทืฆืืข (http://www.mehrnews.com/en/newsdetail.aspx?NewsID=1297506) ืึทื ืืจืึทื ืืื ืืขืืืขื ืืงืกืคึผืึธืืื ืฆื ืขืืืขืืข ืืืืืข ืืืืืืืืืจื "ืฉืืขืจื", ืืฉืขืช ืืขืืึทืืืก ืคืื ืื ืืื ืฆืืืขื ื ืืขื ืขื ื ืืฉื ืืืกืงืืึธืืื. ืืึธืืขืจ ืขืก ืืื ืืขืืืขื ืคึผืื ืงื ืึทืืึท ืึท ืืืกืืขืจ ืคืื ืื ืืืงืื "ืคึผืืืืึธืึทื" ืืืึธืก ืืื ืืขืืืขื ืืืกืงืึทืืืขืจื ืืขืืึธืื ืืื ืืจืึทื, ืืขืจืคืืจ ืืขืจ ื ืึธืืขื "ืฉืืขืจื".
ืื ืฉืคึผืืึธื ืืึธืืืืข ืืขืืืืื ืื ืคืืืืขื ืืข ืืื ืคึฟืึธืจืืึทืฆืืข:
- ืจืฉืืื ืคืื ืคืืืกื ืืืง ืคึผืจืึทืกืขืกืึทื, ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืขื ืงืจืึทื ื ืืึทื ืืฆืขืจ ืืื ืคืขืื;
- ืจืฉืืื ืคืื ืืึทืืืฉืืงืึทื ืืจืืืืื, ืึทืจืืึทื ืืขืจืขืื ื ื ืขืฅ ืืจืืืืื;
- ืกืงืจืขืขื ืฉืึธืฅ;
- ื ืขืฅ ืฆืืืื ื ืืืขื ืื, ืจืืืื ื ืืืฉื;
- ืงืืึธืฅ ืืขืงืข ืคืื โโืงืืึทืืืืึทืืืจ ืงืืกืืจืึธืืงืก;
- ื ืขืืขื ืคืื ืขืคืขื ืขื ืึทืคึผืืึทืงืืืฉืึทื ืคึฟืขื ืฆืืขืจ;
- ืจืฉืืื ืคืื ืื ืืืฆื ื ืขืฅ ืจืขืกืืจืกื (ืืึทื ืืืืืื ื ืจืขืกืืจืกื);
- ืึท ืืึทื ืฅ ืจืฉืืื ืคืื ืืขืงืขืก ืืืืฃ ืึทืืข ืืืกืงืก, ืึทืจืืึทื ืืขืจืขืื ื ืจืืืืืืึทืืึทื ืึธื ืขืก;
- ืึท ืจืฉืืื ืคืื ืงืึธืืคึผืืืืขืจืก ืืื ืื "ื ืขืฅ ืกืืืืืืข".
ืื ืื ืืขืจ ืฉืคึผืืึธื ืืึธืืืืข (infostealer) ืืื ืืขืืืขื ืึท ืืืขืจืืืืฉืึทื ืคืื ืืืึธืก ืืื ืฉืืื ืืืกืงืจืืืื, ืึธืืขืจ ืงืึทืืคึผืืืื ืืื ืึท dll ืืืืืืึธืืขืง; ืื ืคืึทื ืืงืฉืึทื ื ืคืื ืึท ืงืืืืึธืืืขืจ, ืงืึทืืคึผืืืืื ื ืึท ืจืฉืืื ืคืื ืืขืงืขืก ืืื ืืืกืืื ื ืงืึธืืคึผืืืืขืจืก ืึทืจืืึทื ืืขืจืขืื ื ืืื ืื ืคืขืื ืืขื ืขื ืึทืืืขืงืืขื ืืืขื ืคืื ืขืก.
ืืืืึทืืขืจ ืืึธืืืืข (ืจืืงืึทื ืึทืกืึทื ืก) ืืขืืืืื ืกืืกืืขื ืืื ืคึฟืึธืจืืึทืฆืืข:
- ืฆื ืืขืจ ืงืึธืืคึผืืืืขืจ ืืื ืืืื ืคืื ืึท ืคืขืื;
- ืคึผืึทืืก ืฆื Windows ืกืืกืืขื ืืืจืขืงืืขืจืื;
- ืึทืคึผืขืจืืืืื ื ืกืืกืืขื ืืืขืจืกืืข;
- ืงืจืึทื ื ืืึทื ืืฆืขืจ ื ืึธืืขื;
- ืจืฉืืื ืคืื ื ืขืฅ ืึทืืึทืคึผืืขืจื;
- ืกืืกืืขื ืืื ืืืืข ืฆืืื, ืืื ืืขืืื ื ืืื ืฆืืื ืืึธื ืข.
ืืขืฆืืข ืืึธืืืืข (ืืืืคืกืคึผืึทื ืขืงืกืืขื ืืขืจ) ืืืคึผืืึทืืขื ืึทื ืึท ืคึฟืื ืงืฆืืข ืฆื ืคืึทืจืืจืขืกืขืจื ืื ืืืขืจื (ืกืืึธืจื ืืื ืื ืืืืคึผื ืืึธืืืืข ืงืึทื ืคืืืืขืจืืืฉืึทื ืืึทืื ืืขืงืข) ืคืื ืื ื ืืืขืจ ืคืื ืืขื ืืืึธืก ืืขื ืขื ืจืืขื ืืื ืื ืึทืจืืขื ืืื ืืขืขื ืืืงื. ืืืจื ืคืขืืืงืืึทื, ืื ืืืขืจื ืืื ืืขืืืขื ืืึทืฉืืืื ืฆื 30 ืึธืืขืจ 36 ืืขื ืืืคึผืขื ืืื ื ืืืืฃ ืื Duqu ืืึธืืืคืืงืึทืืืึธื, ืืื ืืืงืจืืกื ืืื ืืืื ืืขืืขืจ ืืึธื.
ืงืึทืืึทื ื ืกืขื ืืขืจืก
ืืขื 20ืกืื ืึธืงืืึธืืขืจ 2011 (ืืจืื ืืขื ื ืึธื ืืขื ืืื ืืขืจ ืึทื ืืืขืงืื ื ืืื ืคืืจืฉืคืจืืื ืืขืืืึธืจื), ืืึธืื ืื ืึธืคึผืขืจืืืืขืจื ืคืื Duqu ืืืจืืืขืคืืจื ื ืคืจืืฆืขืืืจ ืฆื ืคืืจื ืืืื ืื ืฉืคึผืืจื ืคืื ืืขืจ ืคึฟืื ืงืฆืืข ืคืื โโืื ืงืืืื ืืกืฆืขื ืืขืจืก. ืงืึทืืึทื ื ืกืขื ืืขืจืก ืืขื ืขื ืืืื ืืืืฃ ืืึทืงื ืกืขืจืืืขืจืก ืึทืจืื ืื ืืืขืื - ืืื ืืืืขืื ืึทื, ืื ืืืึท, ืืืึทืืฉืืึทื ื, ืกืื ืืึทืคึผืึธืจ, ืฉืืืืืฅ, ืืจืืืก ืืจืืืึทื, ืืึธืืึทื ื ืืื ืืจืื ืงืืจืขืข. ืื ืืขืจืขืกืืื ืืื, ืึทืืข ืืืืขื ืึทืคืืื ืกืขืจืืืขืจืก ืืืืคื CentOS ืืืขืจืกืืขืก 5.2, 5.4 ืึธืืขืจ 5.5. ืื ืึทืก ืืื ืืขืืืขื ืืืืืข 32-ืืืกื ืืื 64-ืืืกื. ืืจืึธืฅ ืืขื ืคืึทืงื ืึทื ืึทืืข ืืขืงืขืก ืฉืืึทืืืช ืฆื ืืขืจ ืึธืคึผืขืจืึทืฆืืข ืคืื โโืืึทืคึฟืขืื ืกืขื ืืขืจืก ืืขื ืขื ืืืืกืืขืืขืงื, ืงืึทืกืคึผืขืจืกืงื ืืึทื ืกืคึผืขืฉืึทืืึทืกืฅ ืืขื ืขื ืืืืืืช ืฆื ืฆืืจืืงืงืจืืื ืขืืืขืืข ืคืื โโืื ืืื ืคึฟืึธืจืืึทืฆืืข ืคึฟืื ืืึธื ืืขืงืขืก ืคึฟืื ืึท ืจืืืง ืคึผืืึทืฅ. ืื ืืขืจืกื ืืฉืืงืึทืืืข ืคืึทืงื ืืื ืึทื ืึทืืึทืงืขืจื ืืืืฃ ืกืขืจืืืขืจืก ืฉืืขื ืืืง ืจืืคึผืืืืกื ืื ืคืขืืืงืืึทื OpenSSH 4.3 ืคึผืขืงื ืืื ืืืขืจืกืืข 5.8. ืืึธืก ืงืขื ืึธื ืืืืึทืื ืึทื ืึทื ืืืืืึทืงืึทื ื ืืืึทืื ืขืจืึทืืืืืื ืืื OpenSSH 4.3 ืืื ืืขื ืืฆื ืฆื ืืึทืง ืกืขืจืืืขืจืก. ื ืื ืึทืืข ืกืืกืืขืืขื ืืขื ืขื ืืขื ืืฆื ืืื ืืึทืคึฟืขื ืกืขื ืืขืจืก. ืขืืืขืืข, ืืืื ืืฉืคืื ืืืจื ืื ืขืจืจืึธืจืก ืืื ืื sshd ืืึธืืก ืืืขื ืืจืืื ื ืฆื ืจืืืขืจืขืงื ืคืึทืจืงืขืจ ืคึฟืึทืจ ืคึผืึธืจืฅ 80 ืืื 443, ืืขื ืขื ืืขื ืืฆื ืืื ืึท ืคึผืจืึทืงืกื ืกืขืจืืืขืจ ืฆื ืคืึทืจืืื ืื ืฆื ืื ืกืืฃ ืืึทืคึฟืขืื ืกืขื ืืขืจืก.
ืืึทืืขืก ืืื ืืึทืืืฉืืื
ื ืืืึธืจื ืืึธืงืืืขื ื ืคืื ืื ืืขืจืืขืืืืื ืืื ืืคืจืื 2011, ืืืึธืก ืืื ืืขืืืขื ืืืืึทืืึทื ื ืืืจื ืงืึทืกืคึผืขืจืกืงื ืืึทื, ืงืึทื ืืืื ื ืึท ืื ืกืืึทืืืขืจ ืืจืืคืงืืคืืข ืืจืืืืืขืจ ืืื ืึท ืืึทืืืื ื ืืึธื ืคืื 31 ืืืืืืกื 2007. ื ืขื ืืขื ืฉืึธืคืขืจ (ืืจืืืก - 20608 ืืืืขืก, MD5 - EEDCA45BD613E0D9A9E5C69122007F17) ืืื ืึท ืืึธืงืืืขื ื ืืขืคึฟืื ืขื ืืื CrySys ืืึทืืึธืจืึทืืึธืจืืขืก ืืื ืึท ืืึทืืืื ื ืืึธื ืคืื 21 ืคืขืืจืืืจ 2008. ืืื ืึทืืืฉืึทื, ืงืึทืกืคึผืขืจืกืงื ืืึทื ืขืงืกืคึผืขืจืฅ ืืขืคึฟืื ืขื ืื ืึทืืืึธืจืื ืืจืืืืืขืจ rndismpc.sys (ืืจืืืก - 19968 ืืืืขืก, MD5 - 9AEC6E10C5EE9C05BED93221544C783E) ืืื ืื ืืึทืืข 20 ืืื ืืืจ 2008. ืงืืื ืงืึทืืคึผืึธืื ืึทื ืฅ ืื ืืขืฆืืืื ื 2009 ืืขื ืขื ืืขืคึฟืื ืขื. ืืึทืืืจื ืืืืฃ ืื ืฆืืื ืกืืึทืืคึผืก ืคืื ืื ืืึทืืืื ื ืคืื ืืืื ืคึผืึทืจืฅ ืคืื Duqu, ืื ืึทื ืืืืืงืืื ื ืงืขื ืืืื ืฆืืจืืง ืฆื ืคืจื 2007. ืืืื ืขืจืืืึทืกื ืืึทื ืึทืคืขืกืืืืฉืึทื ืืื ืคึฟืึทืจืืื ืื ืืื ืื ืืืืขืงืฉืึทื ืคืื ืฆืืึทืืืืืึทืืืง ืืขืงืขืก ืคืื ืืขื ืืืคึผ ~ DO (ืืืกืืึธืืข ืืืฉืืคื ืืืจื ืืืื ืขืจ ืคืื ืื ืกืคึผืืืืึทืจืข ืืึทืืืฉืืื), ืื ืฉืึทืคืื ื ืืึธื ืคืื ืืืึธืก ืืื 28 ื ืืืืขืืืขืจ 2008 ( "Duqu & Stuxnet: ื ืืืืืืืื ืคืื ืืฉืืงืึทืืืข ืืขืฉืขืขื ืืฉื"). ืื ืืขืฆืืข ืืึทืืข ืคึฟืึทืจืืื ืื ืืื Duqu ืืื ืืขืืืขื 23 ืคืขืืจืืืจ 2012, ืงืึทื ืืืื ื ืืื ืึท ืื ืกืืึทืืืขืจ ืืจืืคืงืืคืืข ืืจืืืืืขืจ ืืืกืงืึทืืืขืจื ืืืจื Symantec ืืขืจืฅ 2012.
ืืงืืจืื ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืขื ืืฆื:
ืืืขืื Duqu ืคึฟืื Kaspersky Lab;
Symantec ืึทื ืึทืืืกืืก ืืึทืจืืื , ืืืขืจืกืืข 1.4, ื ืืืืขืืืขืจ 2011 (pdf).
ืืงืืจ: www.habr.com