Duqu
From Wikipedia, the free encyclopedia
Duqu est un ver informatique découvert le et que l'on présume lié à Stuxnet. Il est découvert par le Laboratoire de Cryptographie et de Sécurité Système (CrySyS Lab) de l'université polytechnique et économique de Budapest. Son nom provient du préfixe "~DQ" qu'il donne aux noms des fichiers qu'il crée.
Il aurait été créé par les services de renseignement israéliens[1].
Le terme Duqu recouvre plusieurs sens différents :
Le logiciel malveillant Duqu est un ensemble de composantes logicielles offrant une gamme de services à ses commanditaires. Actuellement, cela inclut des capacités de vol d'informations et, en arrière-plan, des pilotes noyau et des outils d'injections. Une partie de ce logiciel malveillant est codée dans un langage de programmation haut niveau baptisé « Duqu Framework ». Ce n'est pas du C++, du Python, de l'Ada, du Lua ni aucun autre des langages testés. Néanmoins, des recherches datant de suggèrent que Duqu pourrait avoir été codé en Object Oriented C (OOC) et compilé avec Microsoft Visual Studio 2008.
Comme Stuxnet, Duqu attaque Windows grâce à une vulnérabilité de type Zero-day.
Le premier installateur récupéré et révélé par CrySyS Lab, utilise un fichier Microsoft Word (.doc) qui exploite le moteur de traitement des polices TrueType de Win32k, permettant l'exécution arbitraire de code. L'installateur de Duqu se base sur l'intégration de police en utilisant une faiblesse de "T2EMBED.DLL" (qui est un moteur de traitement des polices intégrées). L'identificateur de la faille par Microsoft est MS11-087(première consultation datant du ).
Relation avec Stuxnet
Symantec, en se basant sur le rapport de CrySyS, a poursuivi l'analyse de la menace, qu'elle a décrit comme « presque identique à Stuxnet, mais à visée complètement différente » et a publié un papier technique détaillé à ce propos, doté d'une version raccourcie du rapport original de CrySyS en tant qu'appendice. Symantec estime que Duqu a été créé par les mêmes auteurs que Stuxnet ou en tous cas que ceux-ci avaient accès au code source de celui-ci. Le ver, tout comme Stuxnet, a une signature numérique valide, bien qu'abusive, et collecte des informations pour des attaques futures. Mikko Hyppönen, chef des recherches pour F-Secure, a dit que le pilote du noyau de Duqu, JMINET7.SYS était tellement proche de celui de Stuxnet, MRXCLS.SYS, que le système d'analyse de F-Secure a cru qu'il s'agissait de Stuxnet. Hyppönen a ajouté que la clé utilisée par Duqu pour générer sa propre signature (observée dans seulement un cas) a été volée à C-Media, située à Taipei. Les certificats de validité devaient expirer le mais ont été révoqués le , d'après Symantec.
Une autre source, Dell SecureWorks, rapporte que Duqu pourrait ne pas avoir de lien avec Stuxnet. Néanmoins, des indices importants rapprochent ces deux logiciels malveillants.
Les experts ont comparé les points communs de deux logiciels malveillants et en ont trouvé trois principaux :
- L'installateur exploite des failles de type Zero day du noyau Windows.
- Les composantes sont signées avec des clés numériques volées.
- Les deux sont hautement ciblés contre le programme nucléaire iranien.
