Показано с 1 по 1 из 1.

NSS Labs публикует исходники сканера, обнаруживающего драйверы червя Duqu

  1. #1
    NewsMaker Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация
    Регистрация
    22.03.2011
    Сообщений
    7,783
    Вес репутации
    140

    NSS Labs публикует исходники сканера, обнаруживающего драйверы червя Duqu

    Специалисты по ИТ-безопасности из компании NSS Labs открыли исходные коды программного сканера, способного детектировать все известные версии драйверов, используемые новым опасным вредоносным кодом Duqu. Однако другие антивирусные вендоры сомневаются в эффективности данного шага, заявляя, что его можно обойти в любое время без значительных усилий. Согласно данным NSS Labs, ее сканер использует продвинутую систему распознавания и может стать базой для дальнейших инструментов, борющихся с Duqu.

    Многие эксперты полагают, что вредоносный код Duqu близко связан с промышленным червем Stuxnet для саботажа промышленных объектов. Червь Stuxnet был изначально создан для атаки на иранские ядерные объекты, но в прошлом и первой половине текущего года активно распространился и на другие промышленные объекты по всему миру, передает cybersecurity.

    На сегодня антивирусные компании установили, что существующие версии Duqu распространяются, используя уязвимость в ОС Windows, а само распространение червя производится через специально сконструированный файл в формате Word. На сегодня известно о двух модификациях Duqu. Костин Раию, директор по глобальным исследованиям "Лаборатории Касперского" говорит, что выпуск исходников инструмента обнаружения Duqu - это полезный шаг, но в виду новизны кода, эвристические правила сейчас слишком узки и эффективность инструмента может быть очень низкой. Также он отметил, что эвристические механизмы, обнаруживающие Duqu, также должны обнаруживать и Stuxnet из-за похожести двух кодов.

    ""Лаборатория Касперского" пока не предлагает утилиту для удаления Duqu ввиду сложности кода. Простого удаления здесь недостаточно. Каждый случай заражения может быть очень серьезным и мы рекомендуем обращаться пострадавшим напрямую к нам для проведения полного расследования", - говорит он.

    Подобное мнение разделяет и Микко Хиппонен, директор по исследованиям антивирусной компании F-Secure. "Создатели Duqu - это профессионалы мирового класса. У них не будет проблем с уходом от обнаружения любого сканера, если это им потребуется", - уверен он.

    Напомним, что ранее компания Symantec провела первый широкий анализ кода Duqu, заметив, что данный вредоносный код предназначен для атаки промышленных объектов, причем за написанием Duqu и нашумевшего червя Stuxnet, скорее всего, стоят одни и те же люди. В то же время, в подразделении Dell SecureWorks говорят, что также провели анализ работы Duqu и полагают, что коды Stuxnet и Duqu имеют мало что общего, более того, за реальным написанием последнего могут стоять совершенно другие люди, которые, впрочем, также ориентированы на получение промышленных данных. В компании Dell говорят, что Duqu представляет собой вредонос, состоящий из двух частей, созданных по аналогии с тем, как работают многие руткиты. При попадании в систему он пытается подгрузить набор зашифрованных DLL-файлов, которые работают как драйвер уровня ядра. Для установки в систему драйверы используют краденные сертификаты тайваньской компании JMicron.

    После полного развертывания в системе, Duqu уже не использует каких-либо уязвимостей и просто работает как системный компонент. Опасность заключается в том, что антивирусные компании пока не могут вычислить основную цель Duqu и типы атакуемого оборудования. В случае со Stuxnet было понятно, что червь атакует оборудование Siemens на атомных станциях в Иране, США, России и Израиле.

    "Базовые цели Duqu и его происхождение пока остаются загадкой, странно также и то, что он зачастую используется в массовых рассылках, хотя предназначен для таргетированных атак", - говорят в Dell SecureWorks.

    Ранее "Лаборатория Касперского" опубликовала данные, согласно которым первые следы Duqu были обнаружены в Венгрии в начале октября. Позже появились данные, что Duqu в первую очередь начал атаковать промышленные объекты в Судане и Иране, хотя антивирусная компания заявляет, что это еще не говорит об ориентированности Duqu именно на эти страны.

    anti-malware.ru

  2. Реклама
     

Похожие темы

  1. Stuxnet, Flame и Duqu использовали GPL-код
    От CyberWriter в разделе Другие новости
    Ответов: 0
    Последнее сообщение: 11.06.2012, 00:30
  2. Компания Symantec публикует отчет об угрозах интернет-безопасности
    От Aeroware в разделе Новости компьютерной безопасности
    Ответов: 1
    Последнее сообщение: 26.04.2010, 16:56
  3. BitTorrent закрывает исходники
    От ALEX(XX) в разделе Другие новости
    Ответов: 0
    Последнее сообщение: 10.08.2007, 14:32
  4. FaceTime публикует отчет об атаках на IM и P2P сети
    От HATTIFNATTOR в разделе Новости компьютерной безопасности
    Ответов: 0
    Последнее сообщение: 03.07.2007, 14:05

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.00705 seconds with 18 queries