Duqu: Stuxnet की कहानी जारी है ...

पिछले कुछ दिनों में, Win32 / Duqu मैलवेयर पर बहुत ध्यान केंद्रित किया गया है। तथ्य यह है कि इसके कार्यान्वयन की ख़ासियतें, Win32 / Duqu, जाने-माने Win32 / बॉक्सनेट के समान है। पिछले साल, हमने Win32 / Stuxnet वर्म का काफी विस्तृत विश्लेषण किया, जिसके परिणामस्वरूप Stuxnet Under माइक्रोस्कोप रिसर्च रिपोर्ट आई। और अब हम Win32 / Duqu की खोज कर रहे हैं, मॉड्यूल और उनके संचालन के तंत्र का अध्ययन करने के बाद, यह तर्क दिया जा सकता है कि यह मैलवेयर Win32 / Stuxnet के रूप में समान स्रोत कोड या लाइब्रेरी पर आधारित है। शायद यह सिर्फ स्रोत कोड नहीं है, बल्कि मैलवेयर या साइबर हथियारों के विकास के लिए कुछ रूपरेखा है। पुनर्प्राप्त ड्यूक ड्राइवर कोड ने हमें बहुत याद दिलाया कि हमने पहले से ही स्टक्सनेट पर क्या देखा था। ये ड्राइवर लगभग वही हैं जो हमने आखिरी गिरावट देखी थी।

जिस क्षण से हमने Win32 / Duqu की खोज शुरू की, हम इस सवाल में रुचि रखते थे कि कंप्यूटर को इस मैलवेयर से संक्रमित होने की सही तारीख की पहचान कैसे की जाए। इस तरह की जानकारी मुख्य रूप से फोरेंसिक परीक्षा आयोजित करने और घटनाओं की तस्वीर को पुनर्स्थापित करने के लिए उपयोगी है। हमारे पास यह विचार था कि अगर ड्यूक अपने स्वयं को हटाने के क्षण के बारे में जानकारी संग्रहीत करता है, तो ऐसी जानकारी होनी चाहिए जिससे यह उलटी गिनती शुरू हो। हम एक दिलचस्प चीज खोजने में कामयाब रहे, फिलहाल हमारे पास विभिन्न संक्रमित मशीनों से कई नमूने हैं। और यह पता चला कि संक्रमण की प्रक्रिया में तथाकथित main.dll का गठन होता है (संसाधन घटक जिसमें अन्य घटक संग्रहीत हैं) में मुख्य घटक है, जिसमें संक्रमण की सही तारीख UTC प्रारूप में संग्रहीत की जाती है। नीचे हम एक विघटित कोड प्रदान करते हैं जो तारीख की जाँच करता है:



इन आंकड़ों के आधार पर, किसी संक्रमित मशीन की फोरेंसिक जांच करने की प्रक्रिया में, आप इसके संक्रमण की सही तारीख और समय निर्धारित कर सकते हैं।

ड्यूक: अगली स्टक्सनेट रिपोर्ट के अग्रदूत 36 दिनों में संक्रमित मशीन पर ड्यूक आजीवन दिखाता है, जिसके बाद स्वचालित विलोपन होता है। संक्रमण की तारीख का पता लगाने के लिए, आपको सबसे पहले एक मुश्किल कारीगर क्रिप्टो एल्गोरिथ्म पासवर्ड का उपयोग करके कॉन्फ़िगरेशन फ़ाइलों को डिक्रिप्ट करना होगा।



नमूनों के कई सेटों का अध्ययन करने के बाद, हमें पता चला कि यह तिथि बदल सकती है और, सबसे अधिक संभावना है, जो कि ड्रोपिंग कॉन्फ़िगरेशन डेटा के आधार पर संक्रमण प्रक्रिया के दौरान निर्धारित की गई है। हमारे पास नमूनों का एक सेट 36 दिनों के बाद हटा दिया जाना चाहिए था, लेकिन 30 के बाद दूसरा।

11/08/2011 को 7:50:01 पर संक्रमण और 36 दिनों के बाद हटाने के लिए कॉन्फ़िगरेशन फ़ाइल:



संक्रमण विन्यास फाइल 08/18/2011 को 7:29:07 पर और 30 दिनों के बाद हटाने की प्रक्रिया:



Duqu में कई और दिलचस्प तकनीकी विवरण हैं, और हम अपना शोध जारी रखते हैं।