بنابه گفته‌ی محققان امنیتی Kaspersky Lab، هکرهایی که از طریق Duqu به سیستمها نفوذ می‌کردند، تمامی ۱۲ سرور آلوده شده را که از تاریخ ۲۰ اکتبر شناسایی شده بودند، تنها دو روز بعد از اعلام عمومی تحلیل‌های Duqu توسط شرکت Symantec به کلی پاک سازی کردند.
همچنین آنها دریافتند که حمله کنندگان پس از تسخیر سرورها، نرم‌افزار OpenSSH (نرم‌افزار Open BSD Secure Shell یک ابزار متن باز برای رمزنگاری ترافیک اینترنت) نصب شده روی سرور را به نسخه جدیدتر یعنی از ۴.۳ به ۵.۸ ارتقاء داده‌اند. گزارشاتی مبنی بر وجود آسیب‌پذیری از نوع "zero-day" در نسخه قبلی OpenSSH به گوش می‌رسید درحالی که در نهایت Kaspersky این نظریه را رد کرده و به سادگی گفت که این کار یا به دلیل اضافه شدن امکانات جدید به این برنامه در نسخه به روز شده بوده و یا برای اطمینان از اینکه دیگر هکرها نتوانند سرورها را از چنگ آنان در بیاورند.
منبع :
تا کنون چندین حمله توسط Duqu به شرکت‌ها و اهداف از پیش تعین شده از طریق نامه الکترونیکی صورت گرفته است. در این نوشتار یکی از حملاتی که به شرکتی در سودان صورت گرفته است، شرح داده خواهد شد:
مرحله اول: نفوذ با استفاده از نامه الکترونیکی
بر اساس گزارش‌های منتشر شده، حمله فوق با ارسال نامه از طریق پست الکترونیک آغاز شده است. این حمله علیه هدف مشخص و از پیش انتخاب شده صورت گرفته ولی نام شرکت هدف افشاء نشده است. این شرکت دوبار در تاریخ های۱۷ و ۲۱ آوریل ۲۰۱۱ مورد حمله قرار گرفته است. اولین حمله ناموفق بوده زیرا e-Mail ارسالی یک هرزنامه محسوب شده و به پوشه‌ی Spam منتقل شده است. حمله دوم، چهار روز بعد تکرار شده و برای جلوگیری از حذف شدن مجدد، موضوع نامه اصلاح شده است.
متن ایمیل فرستاده شده از طرف حمله کنندگان
نامه‌ها از طرف شخصی که خود را Mr B.Jason معرفی کرده بود، فرستاده شده و در هر دو نامه از نام شرکت یکسانی استفاده شده است. در ضمن هر دو بار ایمیل از جانب یک شخص با آدرس IP یکسان و از شهر سئول پایتخت کره جنوبی فرستاده شده که به احتمال زیاد این کامپیوتر از قبل به نوعی بدافزار آلوده شده و مخفیانه از سیستم وی سوءاستفاده شده است.
شواهد نشان می‌دهد که حمله دوم به نتیجه رسیده است و مخاطب فایل Doc که حاوی کد سوءاستفاده از آسیب‌پذیری بوده را باز کرده و بدافزار بر روی سیستم وی نصب شده است.
متن فایل DOC فرستاده شده همراه ایمیل
در این حمله، حمله‌کننده با احتیاط رفتار کرده است. پس از باز شدن نامه توسط مخاطب، بدافزار فعال شده و در حافظه می‌نشیند اما هیچ کاری انجام نمی‌دهد و منتظر بیکار شدن سیستم می‌ماند. در این مرحله فایل و نرم‌افزار Word هر دو می‌توانند بسته شوند.
در مورد این سیستم، حدود ۱۰ دقیقه طول کشیده است تا سیستم به حالت بیکار (عدم استفاده از موس و صفحه کلید) برود و سپس حامل بدافزار وارد عمل شده است.
نحوه فعال شدن بدافزار تا این مرحله در شکل زیر به تصویر کشیده شده است:
کد پوسته بدافزار حاوی یک قلم ویندوز به نام ""Dexter Regular بوده که نام آن از نام سریال تلویزیونی Dexter گرفته شده است. این سریال از سال ۲۰۰۶ با موضوع یک قاتل سریالی که خود در نیروی پلیس کار می‌کرده، ساخته و پخش شده است. حتی نام شرکت سازنده سریال نیز در متن قلم آمده است:
پوستر سریال Dexter محصول کمپانی Showtime
Copyright© 2003 Showtime Inc
پس از خوانده شدن قلم مجعول توسط win32k.sys، این بدافزار از آسیب‌پذیری موجود در ویندوز سوء استفاده کرده و درایور خود را در کرنل سیستم عامل قرار می‌دهد. تاریخ درایور فوق‌الذکر در دو نسخه مختلف بدافزار با یکدیگر ۴ ماه تفاوت دارند.
درایور فوق در services.exe بارگذاری شده و کد اصلی را اجرا می‌کند. در این مرحله، کلید زیر به رجیستری ویندوز افزوده می‌شود:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\"CF1D"
در مرحله بعد، درایورها و فایل تنظیمات و ... بدافزار از درون بدنه بدافزار استخراج شده و اگر تاریخ سیستم در بازه خاصی قرار داشت، بر روی سیستم نصب می‌شود. این بازه در دو نسخه بدافزار با یکدیگر کاملاً متفاوت می‌باشند. سپس بخش PNF (DLL) بارگذاری شده و کنترل در اختیار بدافزار قرار می‌گیرد. همچنین بدافزار فایل تنظیماتی دارد که حاوی تاریخ آلوده‌سازی و مدت زمان عملیات بدافزار در سیستم است. این مدت زمان به‌طور پیش فرض ۳۰ روز بوده ولی مرکز کنترل‌کننده بدافزار قادر به تغییر آن است.
همانطور که قبلاً اشاره شده است، این بدافزار از مجموعه فایل‌های منحصربه‌فردی در هر حمله استفاده کرده است. مهم‌ترین تفاوت در نسخه‌های مختلف بدافزار، ماژول اصلی بدافزار است که تاریخ ساخت ۱۷ آوریل دارد (یعنی همان روزی که اولین حمله صورت گرفته بود). این بدان معناست که حمله‌کنندگان برای هر قربانی خاص یک مجموعه فایل متفاوت می‌سازند و این کار دقیقاً قبل از هر حمله صورت می‌گیرد.
در زیر جدولی از فایل های شناسایی شده بدافزار آورده شده است :
سرورهای فرماندهی استفاده شده در این حمله نیز با حمله‌های قبلی در کشورهای هند و بلژیک متفاوت بوده و در کشور دیگری قرار داشتند.
مرحله ۲ : جمع آوری اطلاعات :
در جریان تحقیقات مشخص شد که در حمله صورت گرفته به شرکت فوق‌الذکر، دو کامپیوتر توسط Duqu آلوده شده‌اند. یکی از آنها منبع آلودگی بوده و در تاریخ ۲۱ آوریل و دومی در اواخر ماه مِی از طرق شبکه محلی آلوده شده است. بعد از آلوده شدن سیستمها و برقراری ارتباط با مرکز فرماندهی، یک ماژول دیگر از نوع Keylogger بارگذاری و نصب شده که می‌توانست عملیات جاسوسی مانند جمع‌آوری اطلاعات سیستم، عکس گرفتن از صفحه ویندوز، جستجوی فایل‌ها، دزدیدن کلمه‌های عبور و ... را انجام دهد.
در هر دو کامپیوتر ردپایی از عملیات ماژول جاسوس در فایل‌هایی با نام ~DFxxxxx.tmp ( به‌طور مثال ~DF1EF83.tmp) و ~DQx.tmp (به‌طور مثال ~DQ2C6.tmp) یافت شده است که قالب نام آنها تقریباً شبیه به فایل‌های موقت ساخته شده توسط Microsoft Word است با این تفاوت که در آخر یک حرف بیشتر دارند.
فایل‌های ~DF حاوی شناسه‌ی فشرده شده‌ی سیستم آلوده بوده که با خط ABh91AY&SY آغاز می‌شوند.
فایل‌های ~DQ حاوی اطلاعات جمع آوری شده (فهرست پروسه‌ها، تصاویر گرفته شده و اطلاعات برنامه‌ها) به‌صورت فشرده شده بوده و دارای همان علامت آغاز (تنها با یک حرف متفاوت: AEh91AY&SY) می‌باشند.
تا این زمان مشخص نیست که فایل‌های ~DF توسط کدام ماژول ساخته می‌شوند و هدف دقیق آنها چیست (فایل‌های ~DQ توسط ماژول شناخته شده‌ی جاسوس ساخته شده بود). در کامپیوتر اول، تاریخ ایجاد این فایل‌ها ۲۷ آوریل یعنی سه روز بعد از آغاز آلودگی بوده است. در تاریخ ۲۵ ماه مِی، ماژول جاسوس فایل ~DQ181.tmp را ایجاد کرده است.
در نهایت سه فایل ~DQ با تاریخ‌های ایجاد ۲۵ مِی، ۲۹ ژوئن و ۲۴ آگوست پیدا شده است که هر سه تاریخ روز چهارشنبه است. اگر این موضوع اتفاقی نباشد، نام گروهی که پشت Duqu است را می‌توان "دار و دسته‌ی چهارشنبه" گذاشت.
این بدافزار از تاریخ ۲۱ آوریل تا دقیقاً آخر اکتبر سال ۲۰۱۱ بر روی سیستم آلوده وجود داشته و فایل‌های تنظیماتی آن بیش از ۱۲۱ روز نصب بوده‌اند. نصب دوباره ماژول اصلی در پایان ژوئن اتفاق افتاده است.
در طول این زمان حمله کنندگان به‌طور متناوب ماژول‌های جدیدی نصب کرده و با آلوده کردن دیگر کامپیوترهای شبکه، به جمع‌آوری اطلاعات می‌پرداختند.
خلاصه مشاهدات:
• برای هر قربانی، مجموعه فایل‌های حمله جداگانه ایجاد شده است.
• هر مجموعه فایل، توسط سرور فرماندهی جداگانه‌ای هدایت می‌شود.
• آغاز حمله از طریق ایمیل و به‌واسطه فایل پیوست DOC آلوده بوده است.
• نامه‌ها از طرف صندوق‌های ناشناس و سیستم‌های تسخیر شده فرستاده شده‌اند.
• حداقل یک آدرس ایمیل شناخته شده با عنوان bjason1xxxx@xxxx.com
وجود دارد.
• برای هر قربانی یک فایل Doc جداگانه فراهم شده است.
• وجود آسیب‌پذیری در سیستم عامل ویندوز در هنگام پردازش قلم‌ها مورد سوءاستفاده قرار گرفته است.
• پس از نفوذ به سیستم، حمله‌کننده ماژول‌های بیشتری را نصب کرده و سیستم‌های مجاور را نیز آلوده می‌سازد.
• وجود فایل‌های ~DF.tmp و ~DQ.tmp بر روی یک سیستم به وضوح یک آلوده‌گی به Duqu را مشخص می‌کند.
منبع :
براساس نتایج تحقیقی که اخیراً منتشر شده است، Duqu در هر بار حمله، از فایل‌ها، سرورهای فرماندهی و بدافزارهای جاسازی شده درون اسناد Microsoft Word متفاوتی که مختص هر قربانی تهیه شده‌اند، استفاده می‌کند.
شرکت Symantec مدعی است که این بدافزار می‌تواند از طریق پروتکل SMB با استفاده از فایل‌های به اشتراک گذاشته شده در شبکه از ماشینی به ماشین دیگر سرایت کند.
منبع :
به گفته‌ی متخصصان امنیت، بدافزار Duqu دارای قابلیت‌های فراوان و پیشرفته‌ای است و تنها می‌تواند توسط یک تیم متخصص که تمام وقت در حال کار هستند ساخته شده باشد.
همچنین بدافزار Duqu اولین rootkit شناخته شده‌ی دنیاست که به صورت مادولار با قابلیت اضافه کردن افزونه (plugin) به آن نوشته شده و این امکان را به حمله‌کنندگان می‌دهد که با کمترین تلاش، کارهایی‌هایی را به آن اضافه و یا کم کنند. در نتیجه شناسایی آن بسیار دشوار شده است. نتیجه‌ای که از تحقیقات و تحلیل‌ها به‌دست می‌آید این است که Duqu توسط یک تیم سازمان یافته و خبره طراحی شده است.
منبع :
اساس کار این ابزار، پیدا کردن هرگونه ناهنجاری در سیستم است (مانند اضافه شدن فایل‌های مشکوک به سیستم یا وجود علایمی مانند آنچه که در سیستم‌های آلوده به بدافزار Duqu مشاهده شده است). البته واضح است که نتایج ارائه شده توسط این ابزار نیز مانند سایر ابزار کاملاً دقیق نبوده و ممکن است به اشتباه یک سیستم سالم را آلوده معرفی کند. از این‌رو بایستی این ابزار توسط افراد متخصص به‌کار گرفته شود.
این ابزار به صورت متن باز تهیه شده است و مراکز می‌توانند برای اطمینان از عملکرد آن، ابتدا کدهای آن را تحلیل نموده و سپس به کار گیرند.
منبع :
آزمایشگاه‌های NSS ابزاری متن‌باز ارائه کرده‌اند که می‌تواند کلیه درایورهای بدافزار Duqu را با استفاده از تکنیک‌های پیشرفته تشخیص الگو شناسایی کند.
بر اساس گفته سازندگان، این ابزار کلیه درایورهای بدافزار را در صورت پیروی از الگوی موجود شناسایی می‌کند ولی در صورتی که انتشار دهندگان ویروس الگو را تغییر دهند، دیگر این ابزار قادر به شناسایی بدافزار نخواهد بود.
شرکت مایکروسافت موقتاً یک بسته اصلاح کننده برای آسیب‌پذیری هسته ویندوز صادر کرده است. این آسیب‌پذیری توسط بدافزار Duqu مورد سوءاستفاده قرار می‌گیرد. سخنگوی این شرکت اذعان داشته که بسته به روز رسانی ماهانه‌ای که سه‌شنبه ۸ نوامبر (۱۷ آبان ۱۳۹۰) انتشار می‌یابد، حاوی اصلاحیه برای رفع کامل این آسیب‌پذیری نخواهد بود.
آقای جری برایانت مدیر گروه امنیتی مایکروسافت در یک راه حل امنیتی اعلام کرده است که می‌توان این اصلاحیه را تنها با یک کلیک در تمامی نسخه‌های ویندوز اعمال نمود.
وی افزود که برای امنیت بیشتر کاربران، اطلاعات دقیقی راجع به نحوه سوءاستفاده از این آسیب‌پذیری به همکارانمان در قسمت Microsoft Active Protections Program ارائه کرده‌ایم تا نرم‌افزار‌های امنیتی بتوانند آن را شناسایی کنند.
این بدان معناست که در طی چندین ساعت آینده نرم‌افزار‌های آنتی‌ویروس بسته‌های به‌روز رسانی جدیدی منتشر کرده که سوء استفاده از این آسیب‌پذیری را شناسایی و محدود می‌کنند. در نتیجه به کاربران پیشنهاد می‌شود که آنتی‌ویروس‌های خود را به روز کنند.
آسیب‌پذیری Win32k در موتور تحلیل‌گر قلم‌های TrueType در Windows در صورت سوء استفاده می‌تواند به حمله‌کنندگان اجازه دهد کدهای مخرب را در هسته ویندوز اجرا کرده و پس از نصب برنامه‌های مورد نظر، اطلاعات را مشاهده کرده، تغییر داده و حتی پاک کنند. همچنین می‌توانند یک کاربر جدید با کلیه‌ی مجوزها در سیستم ایجاد کنند.
نقشه وضعیت فعلی انتشار بدافزار Duqu در دنیا :
بدافزار Duqu که شبیه به Stuxnet عمل می‌کند، با استفاده از یک آسیب‌پذیری zero-day در هسته ویندوز و از طریق پنهان شدن در فایل‌های .doc نرم افزار Microsoft Word، به یک کامپیوتر در یک سازمان حمله کرده و پس از مستقر شدن، می‌تواند توسط حمله کنندگان کنترل شده و به سرعت دیگر کامپیوترها را هم آلوده کند.
مجدداً شواهدی دال بر فعال شدن مجدد کرم Stuxnet مشاهده شده است. بر اساس گفته‌ی محققان، خطر جدید که Duqu نام دارد، پیش درآمدی برای انجام حمله‌ای شبیه به Stuxnet است. انتخاب نام این بدافزار بر مبنای آن صورت گرفته است که فایل‌هایی با پسوند .DQ ایجاد می‌کند.