Onbekende programmeertaal in Duqu-virus ontdekt
Onderzoekers van Kaspersky Lab hebben in het zeer geavanceerde Duqu-virus een nieuwe programmeertaal ontdekt. Duqu is gemaakt door dezelfde mensen die de beruchte Stuxnet-worm hebben ontwikkeld, dat werd gebruikt om het Iraanse nucleaire programma te saboteren. Het belangrijkste doel van Duqu is het stelen van zeer vertrouwelijke informatie. Het Trojaanse paard zou vooral in Iran veel slachtoffers hebben gemaakt, met als doel het stelen van informatie over industriële aansturingssystemen en inlichtingen te verzamelen over commerciële relaties van Iraanse organisaties, aldus Kaspersky.
Een groot onopgelost raadsel was tot nu toe hoe Duqu na een infectie communiceerde met de zogeheten Command & Control servers om gestolen informatie door te geven. Uitgebreide analyse heeft aan het licht gebracht dat een specifieke sectie binnen de Duqu-software daarvoor verantwoordelijk is. Deze sectie, het ‘Duqu Framework’, blijkt geschreven te zijn in een tot nu toe onbekende en zeer gespecialiseerde programmeertaal.
Taal
Deze taal stopt alles in objecten, maakt geen onderscheid tussen utility classes en door de gebruiker geschreven code en laat objecten via method calls en event-driven callbacks communiceren. Daarnaast is er geen referentie naar run-time library functies, maar wordt de 'native' Windows API gebruikt.
Daarbij speelt vooral het event-driven model een belangrijke rol. Dit model lijkt op Objective C, maar de code heeft geen directe referenties naar de programmeertaal. Daarnaast lijkt het niet met Objective C compilers gecompileerd te zijn. De mysterieuze programmeertaal is volgens analist Igor Soumenkov absoluut geen C++, Objective C, Java, Python, Ada, Lua of andere bekende programmeertaal.
Het anti-virusbedrijf doet dan ook een oproep aan programmeurs om mee te helpen met het ontcijferen van de programmeertaal of via welk framework of toolkit de code gemaakt is.
Toen waren ze toch helemaal nog niet bezig met objecten en utility classes. Ze zouden hun tijd wel erg vooruit zijn als dit zo zijn geweest.
Als je kijkt naar hoe variabelen worden gemaakt/behandeld, dan is het snel duidelijk in welke hoek je het niet moet zoeken. Als men over Objective C spreekt is Pascal/Delphi niet aan de orde.
Als ze niet zo slim zijn gebruiken ze de programmeertalen die hun drones e.d. gebruiken. Makkelijk, maar ik denk dat ze daar in Amerika te slim voor zijn om dit te doen. Hoewel ze zelf natuurlijk ook hun land vol SCADA apparaten hebben staan en met Stuxnet hebben laten zien hoe die gehackt kunnen worden (voor het eerst in de menselijke geschiedenis).
Als je kijkt naar hoe variabelen worden gemaakt/behandeld, dan is het snel duidelijk in welke hoek je het niet moet zoeken. Als men over Objective C spreekt is Pascal/Delphi niet aan de orde.
Zo gek is dat nog niet hoor. Maar er komt dan wel e.e.a. meer bij kijken. Bijvoorbeeld dit al eerder mij bekende scenario:
- RTL is KOL (zie mijn website kolmck.net)
- Er wordt gebruik gemaakt van Collapse (een soort pcode die je code eruit doet zien zoals in de screenshots, inderdaad een beetje als Objectice C, Collapse is een "forth like" dus ook lisp like language (op asm niveau) en zeer onbekend, zelfs onder KOL gebruikers.
- Niet de Borland/Delphi linker wordt gebruikt, maar een microsoft linker
- Het OMF formaat moet dan ook omgezet zijn naar COFF
- Er wordt gebruik gemaakt van een minimale, vervangen, system unit.
Nu heb ik het even bekeken omdat ik anders weer false positives op kol om mijn oren krijg en ik Kaspersky weer moet bellen: Nee, het is ditmaal geen virus dat KOL met Delphi heeft gebruikt.
Al zou het Collapse scenario ook gebrukt kunnen zijn met BCPP en een MS linker als beschreven.
Das in ieder geval geen scriptkiddie werk en de meest waarschijnlijke bron zou dan Rusland of Ukraine moeten zijn. En men vermoedt juist dat het uit het westen komt.
Mijn 2 centen
Toen waren ze toch helemaal nog niet bezig met objecten en utility classes. Ze zouden hun tijd wel erg vooruit zijn als dit zo zijn geweest.
tis ook niet te zeggen dat ze daar toen al mee bezig waren, maar er zal vast een taal uit ontstaan zijn. maar goed het is in iedergeval leuk inelkaar gezet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
