Læs også:
Stuxnet har startet en tid med cybersabotage
Computerworld News Service: To af de førende sikkerhedsleverandører er tilsyneladende kommet frem til forskellige konklusioner i forbindelse med den specifikke trussel, som er blevet opdaget i form af den nye trojaner Duqu.
Både Symantec og McAfee har lavet detaljerede analyser af trojaneren Duqu efter at være kommet i besiddelse af en prøve på malwaren via en uidentificeret kilde.
Symantec har offentliggjort en 60 sider lang rapport, som kalder Duqu forløberen for den næste Stuxnet-orm, der først og fremmest har været brugt til at stjæle informationer fra industrielle kontrolsystemer.
I mellemtiden siger konkurrenten McAfees analyse, at Duqu primært bliver brugt mod såkaldte certifikat-autoriteter (CA) i dele af Asien, Europa og Afrika.
Sikkerhedsleverandørerne har forskellige tolkninger af et code-signing certifikat associeret med Duqu, som tilsyneladende oprindeligt er blevet udstedt til en Symantec-kunde.
McAfee mener, at Duqus certifikat er blevet forfalsket i et direkte angreb på en CA, mens Symantec siger, at certifikatet tilsyneladende er blevet stjålet.
En talsmand for Symantec siger nu, at virksomheden ikke har set nogen direkte beviser på, at Duqu specifikt går efter certifikat-autoriteter.
"Op indtil nu har truslens primære fokus tilsyneladende været på at indsamle informationer og ressourcer fra meget specifikke mål for nemmere at kunne gennemføre fremtidige angreb mod en anden tredjepart," siger virksomheden.
"På nuværende tidspunkt er det, vi ved som faktum, at mindst et af de mål er et europæisk baseret producent af industrielle kontrolsystemer."
Hvad er det Duqu vil?
I en e-mail til Computerworld fortæller Adam Wosotowsky, der er senior analytiker hos McAfee Labs, at mens Duqu tilsyneladende fungerer som "rekognoscerings-agent", så er der ikke nogen, der kender dens virkelige formål. "Men vi arbejder ud fra den teori, at den leder efter nøgler, der gør den bedre til at infiltrere sikre netværk," fortæller han.
I rapporten konkluderer Symantec, at ormen tilsyneladende er skabt af forfatterne til sidste års Stuxnet-orm og bliver brugt specifikt til at stjæle kritiske informationer fra producenter af industrielle kontrolsystemer.
Symantec siger, at virksomheden modtog en prøve på den nye malware 14. oktober fra det, der beskrives som et "research lab med stærke internationale forbindelser." Symantec har indtil videre analyseret to varianter af Duqu og fundet yderligere versioner fra en uidentificeret europæisk organisation.
Symantec siger, at virksomheden regner med, at Duqu bliver brugt til at stjæle informationer, der kan bruges til udvikle det næste Stuxnet. Symantec bemærker, at den nye trojaner anvender samme kode som Stuxnet og efterligner mange handlinger fra forløberen.
Ikke magen til Stuxnet
I modsætning til Stuxnet er Duqu ikke målrettet industrielle kontrolsystemer, skriver Symantec.
Men i et blog-indlæg med den dramatiske titel "The Day of the Golden Jackal - The Next Tale in the Stuxnet Files: Duqu" fortæller to sikkerhedsresearchere fra McAfee, at trojaneren først og fremmest er målrettet "certifikat-autoriteter i regioner besat af 'Canis Aueus' eller 'Den Gyldne Sjakal.'"
Et tilhørende kort viser, at regionen strækker sig over dele af Asien, Mellemøsten og Afrika.
Ligesom Symantec siger McAfee, at virksomheden er kommet i besiddelse af en prøve på malwaren fra det, Symantec beskriver som "en uafhængig gruppe researchere." Og ligesom Symantec bemærker også McAfee, at Duqu er i nær familie med den originale Stuxnet-orm og fortæller, at "koden, leveret ved hjælp af exploitation, installerer drivere og krypteret DDL, der virker på samme måde som den originale Stuxnet-kode."
"Faktisk er den nye drivers kode, som bliver brugt til injektionsangrebet, i høj grad magen til Stuxnet, ligesom der er adskillige krypteringsnøgler og teknikker, der også blev brugt i forbindelse med Stuxnet," tilføjer Symantec i rapporten.
Læs også:
Stuxnet har startet en tid med cybersabotage
Genbruger Stuxnet-koden
Læs også:
Stuxnet har startet en tid med cybersabotage
McAfees blogindlæg tilbyder en detaljeret beskrivelse af truslen men indeholder ingen henvisninger til industrielle kontrolsystemer. Indlægget afsluttes i stedet med en opfordring til certifikat-autoriteterne om at gennemføre "et grundigt tjek af hvorvidt deres systemer kan være blevet påvirket af truslen eller nogen af dens variationer."
McAfees researchere siger, at det code-signing certifikat, som er associeret med Duqu, tilhørte en virksomhed ved navn C-Media Electronics med base i Taipei. De tilføjer, at det er højst sandsynligt, at nøglen er forfalsket.
Symantec siger, at virksomheden ved, at den del af den malware, der har forbindelse med Duqu, er underskrevet med private nøgler med forbindelse til et code-signing certifikat udstedt til en Symantec-kunde. Certifikatet blev ophævet 14. oktober, fortæller virksomheden.
"Vores undersøgelse af nøglens anvendelse leder os til den konklusion, at den private nøgle, der er blevet brugt til at underskrive Duqu, er stjålet og ikke forfalsket til brug i denne malware," siger Symantec.
Researcheren siger, at Symantecs produkter og certifikat-autoriteter ikke på noget tidspunkt har været i risikozonen. "Vores undersøgelser viser ingen tegn på nogen risiko for vores systemer," siger Symantec.
Anup Ghosh, der er teknologi-direktør og grundlægger af sikkerhedsleverandøren Invincea, siger, at Duqu først og fremmest er bemærkelsesværdig, fordi den tilsyneladende er målrettet ICS-leverandører
"Hvis den bliver fundet i en eller anden virksomheds systemer, så ville den se ret meget ud ligesom enhver anden remote access trojaner," siger han.
Det kendetegner Duqu
Blog-indlægget bemærker, at McAfee Labs har identificeret en "sandsynlig variation" på en side, der ikke identificeres.
Bortset fra det faktum at det genbruger Stuxnet-kode, og det faktum at det selvdestruerer efter 36 dage, så er der ikke mange elementer, der kan skelne Duqu fra andre avancerede trusler, siger Anup Ghosh. Det kan bruges til at stjæle data fra ethvert system og ikke bare fra ICS-leverandører, siger han.
Anup Ghosh tilføjer, at Duqu tilsyneladende er meget velskrevet kode, der højst sandsynligt er udviklet af en nationalstat eller af en gruppe med mange ressourcer.
Det faktum at Duqu er designet til at selvdestruere efter 36 dage er også bemærkelsesværdigt, siger han.
"Sådan gør man, hvis man gerne vil gå under radaren i ekstrem grad. Det er sådan, man gennemfører en 'hit-and-grab'-operation," siger han.
Oversat af Marie Dyekjær Eriksen.
Læs også:
