Onderzoekers hebben op Europese industriële systemen nieuwe malware ontdekt die vermoedelijk door de auteurs van de beruchte Stuxnet-worm is geschreven of die toegang tot de broncode hadden. Duqu, zoals de malware wordt genoemd, is volgens Symantec een voorbode voor een Stuxnet-achtige aanval. Duqu heeft als doel het verzamelen van inlichtingen van industriële systemen, waardoor toekomstige aanvallen eenvoudiger zijn uit te voeren.

De aanvallers waren volgens anti-virusbedrijf Symantec op zoek naar ontwerpdocumenten die zouden helpen bij het aanvallen van industriële controlesystemen. Duqu bevat zelf geen code voor het infecteren van industriële controlesystemen en is voornamelijk een Remote Access Trojan (RAT). Ook kan de malware zichzelf niet verspreiden, zoals de Stuxnet-worm dat wel kon.

Uit cijfers zou blijken dat de malware tegen een zeer select aan organisaties is ingezet. De eerste versie werd door een Europese organisatie ontdekt, maar sindsdien zijn er verschillende andere varianten gevonden. Symantec sluit dan ook niet uit dat ook andere organisaties zijn aangevallen door varianten die nog niet bekend zijn.

Toetsaanslagen
Via Duqu installeerden de aanvallers een "infostealer" die toetsaanslagen opslaat en gegevens verzamelt. Deze keylogger beschikt tevens over een functie om bestanden via een rootkit te verbergen. In één geval slaagden de aanvallers niet in het versturen van de gestolen gegevens, maar mogelijk dat bij andere aanvallen dit wel lukte. Symantec spreekt over twee gevonden varianten die van 1 september 2011 dateren, maar aan de hand van de datum wanneer de bestanden gecompileerd zijn, is het goed mogelijk dat aanvallen met andere varianten al sinds december 2010 plaatsvinden.

Sinds Symantec met de ontdekking naar buiten trad, zijn er verschillende andere versies ontdekt, die op 17 oktober 2011 zijn gecompileerd. Duqu stuurt de gestolen informatie naar een Indiase server en verwijdert zichzelf na 36 dagen van het systeem. Net als met Stuxnet gebruikte ook Duqu twee gestolen digitale certificaten. Wederom van een Taiwanees bedrijf, te weten C-Media. De Indiase server is inmiddels uit de lucht gehaald, meldt McAfee.

Certificaat
"Dit is mogelijk geen toeval aangezien Stuxnet de certificaten van RealTek en JMicron gebruikte, twee andere embedded chipfabrikanten in dezelfde buurt. Het blijft echter een mysterie. Zijn deze certificaten gesotlen, of gegenereerd door middel van gestolen certificaten die van deze organisaties waren", vraagt Chester Wisniewski van Sophos zich af.

Symantec heeft inmiddels onderzocht hoe de aanvallers het C-Media certificaat konden genereren en concludeert dat de privésleutel voor het signeren was gestolen, en niet op frauduleuze wijze is gegenereerd.

Volgens de virusbestrijder heeft de malware veel gemeen met Stuxnet, maar is de lading compleet verschillend. De werking van Duqu wordt uitgebreid in deze 60 pagina's tellende analyse beschreven.

Stuxnet
Volgens het Finse F-Secure is er geen enkele twijfel Duqu is gemaakt door de makers van de Stuxnet-worm. "De Stuxnet broncode is niet beschikbaar. Alleen de originele auteurs hebben het. Dus deze nieuwe backdoor is gemaakt door dezelfde groep die Stuxnet maakt", zegt Mikko Hypponen. Verder meldt de virusbestrijder dat de certificaten van C-Media Electronics Incorporation afkomstig zijn, iets wat Symantec in eerste instantie verzweeg. Opmerkelijk genoeg beweert de driver nog steeds van JMicron te zijn. Van dit bedrijf gebruikte Stuxnet een gestolen certificaat. Norman maakt dit diagram van de Dugu driver.

Vanwege de vele reacties op Duqu zal dit bericht later worden aangevuld

Update1: Reactie Sophos
Update2: Reactie F-Secure