Dochodzenie Kaspersky Lab dotyczące Duqu trwa: Od Jasona Bourne'a do Dextera

Badanie Duqu prowadzone przez Kaspersky Lab ujawniło nowe fakty o działaniu trojana, metody i taktyki stosowane przez jego twórców. Na jaw wyszły również ich próby wykazania się wątpliwym poczuciem humoru, mimo że cała sprawa jest całkiem poważna.

Jednym z faktów, które udało się ustalić, jest to, że w celu przeniknięcia do systemów trojan wykorzystywał spersonalizowane, oparte na socjotechnice wiadomości e-mail wysyłane przez niejakiego Jasona B. Wiadomości te zawierały plik programu Microsoft Word (.doc), w którym znajdował się szkodliwy kod wykorzystujący lukę w zabezpieczeniach systemu Windows. Załączony dokument ukrywał w sobie również moduł instalujący trojana oraz "sprytny" szkodliwy program, który aktywował się z opóźnieniem, aby zwiększyć szansę infekcji. Co ciekawe, jeden z takich e-maili został wysłany do potencjalnej ofiary już w kwietniu 2011 r.

Szkodliwy kod wykorzystujący lukę w systemie Windows był osadzony w czcionce o nazwie Dexter Regular. Autorzy trojana sugerowali niezgodnie z prawdą, że została ona zarejestrowana przez Showtime Inc. – stację telewizyjną, która produkuje i emituje popularny serial telewizyjny Dexter o laborancie analizy krwi z posterunku Policji w Miami, który jednocześnie jest seryjnym mordercą samowolnie wymierzającym sprawiedliwość na przestępcach.

Najnowsze ustalenia pokazują również, że każdy incydent związany z Duqu jest unikatowy i przygotowywany specjalnie pod konkretny cel tuż przed atakiem, jak również wykorzystuje inny serwer obsługiwany przez cyberprzestępców.   

Obecnie istnieje co najmniej 12 unikatowych plików Duqu znanych do tej pory ekspertom z Kaspersky Lab. Ponieważ dochodzenie nadal jest w toku, nie wszystkie szczegóły mogą zostać ujawnione. Więcej informacji można spodziewać się w najbliższym czasie.    

Pełna analiza, autorstwa Aleksandra Gostiewa, głównego eksperta ds. bezpieczeństwa, Kaspersky Lab, jest dostępna w Encyklopedii Wirusów VirusList.pl prowadzonej przez Kaspersky Lab: http://www.viruslist.pl/weblog.html?weblogid=761.

Informację oraz analizę można wykorzystać dowolnie z zastrzeżeniem podania firmy Kaspersky Lab jako źródła.