स्टक्सनेट और ड्यूक - क्या कोई संबंध है?

साइबर हथियारों का विषय अब सभी की सुनवाई पर है। इस विषय पर चर्चा करने के लिए सबसे अधिक, कास्परस्की लैब के विशेषज्ञों को पसंद है। उनके बयानों के अनुसार, पिछले तीन वर्षों में मैलवेयर के सभी महत्वपूर्ण उदाहरण परस्पर जुड़े हुए हैं। उदाहरण के लिए, स्टक्सनेट और ड्यूक्। लेकिन क्या वास्तव में ऐसा है? जाहिर है, स्टक्सनेट सामान पूरी तरह से दूर है। उदाहरण के लिए, स्टक्सनेट को कंप्यूटर पर तैनात करने की प्रक्रिया का कोई विवरण नहीं है। क्या यह, जैसा कि कैस्पर्सकी लैब के कर्मचारियों का दावा है, ड्यूक के समान है? जवाब काफी नहीं है। लेकिन पहले बातें पहले।

Stuxnet (Symantec की विश्लेषणात्मक रिपोर्ट "W32.Stuxnet Dossier" से ली गई जानकारी, संस्करण 1.4, फरवरी 2011, pdf):

• मुख्य मॉड्यूल एक dll है;
• dll में दो हस्ताक्षरित फ़ाइलों सहित कई संसाधन शामिल हैं - एक ऑटोलॉड ड्राइवर और एक यूएसबी ड्राइव ड्राइव के संक्रमण के तथ्य को छिपाने के लिए एक रूटकिट;
• कॉन्फ़िगरेशन डेटा का एक ब्लॉक है (पहले छमाही को XOR 0xFF ऑपरेशन का उपयोग करके एन्क्रिप्ट किया गया है, दूसरे को अलग तरीके से);
• स्थापना के दौरान, मुख्य मॉड्यूल और हस्ताक्षरित फ़ाइलों को कॉन्फ़िगरेशन डेटा ब्लॉक में निर्दिष्ट नामों के तहत डिस्क पर सहेजा गया था;
• ऑटोस्टार्ट के लिए, एक सेवा बनाई गई थी जो एक हस्ताक्षरित ड्राइवर का उपयोग करती थी;
• रजिस्ट्री में 'HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ MrxCls' पते पर 'डेटा' कुंजी में लक्ष्य प्रक्रियाओं (services.exe, S7tgtopx.exe, CCProjectMgr.exe) के नाम सहेजे गए थे जिसमें इंजेक्शन का प्रदर्शन किया गया था।

डुक्कु (सिमेंटेक एनालिटिक रिपोर्ट से ली गई जानकारी "W32 Duqu the अग्रदूत अगले स्टक्सनेट के लिए" , संस्करण 1.4, नवंबर 2011, पीडीएफ):

• इंस्टॉलर एक dll है;
• dll में तीन डेटा ब्लॉक होते हैं जिनमें हस्ताक्षरित ड्राइवर, मुख्य मॉड्यूल और इंस्टॉलर कॉन्फ़िगरेशन डेटा शामिल होते हैं;
• इंस्टॉलर कॉन्फ़िगरेशन डेटा ब्लॉक को 7-बाइट कुंजी (0x2b 0x72 0x73 0x34 0x99 0x71 0x98) का उपयोग करके एन्क्रिप्ट किया गया है;
• स्थापना के दौरान, मुख्य मॉड्यूल और हस्ताक्षरित ड्राइवरों को कॉन्फ़िगरेशन डेटा ब्लॉक में निर्दिष्ट नामों के तहत डिस्क पर सहेजा गया था;
• ऑटोस्टार्ट के लिए, एक सेवा बनाई गई थी जो एक हस्ताक्षरित ड्राइवर का उपयोग करती थी;
• रजिस्ट्री में 'HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ Services \ JmiNET3' पते पर कुंजी 'फिल्टर' में टारगेट प्रक्रिया (services.exe) का नाम जिसमें इंजेक्शन किया गया था, को एन्क्रिप्ट किया गया था।

सामान्य तौर पर, सामान्य एल्गोरिदम को देखा जाता है:

• हस्ताक्षरित ड्राइवर डाउनलोड
• वह रजिस्ट्री में डेटा को मैप करता है (मैपिंग 'लक्ष्य प्रक्रिया - मॉड्यूल' युक्त);
• लक्ष्य प्रक्रिया में मॉड्यूल का इंजेक्शन।

हालांकि, इसका मतलब यह नहीं है कि समान लोगों ने कोड में कोड को लागू किया।

Stuxnet और Duqu एक ही तकनीक का उपयोग dll पुस्तकालयों फ़ंक्शन को कॉल करने के लिए करते हैं, जिसका उद्देश्य LoadLibrary का उपयोग करके एंटी-वायरस सुरक्षा का उपयोग करके निगरानी को दरकिनार करना है। Ntdll.dll के लिए, हुक फ़ंक्शन स्थापित है:

• ZwMapViewOfSection;
• ZwCreateSection;
• ZwOpenFile;
• ZwCloseFile;
• ZwQueryAttributesFile;
• ZwQuerySection।

इसके बाद, एक LoadLibrary को विशेष रूप से चयनित dll लाइब्रेरी नाम का उपयोग करते हुए कहा जाता है जो सिस्टम पर मौजूद नहीं है। सामान्य परिस्थितियों में (बिना अवरोधन के) यह एक त्रुटि का कारण होगा। यह इंटरसेप्टर है जो वास्तविक लाइब्रेरी को एड्रेस स्पेस में लोड करता है।

इसके अलावा, एसेट के अनुसार, स्टक्सनेट और ड्यूक दोनों एक ही इंटरप्रोसेस संचार प्रणाली (आरपीसी) का उपयोग करते हैं, जिसे स्थानीय नेटवर्क पर मैलवेयर घटकों को अपडेट करने के लिए डिज़ाइन किया गया है।

क्या ये तथ्य स्टक्सनेट और ड्यूक के बीच संबंध के स्पष्ट प्रमाण हैं? स्पष्ट रूप से नहीं। उपर्युक्त प्रणाली में कार्यान्वयन विधि या RPC प्रक्रिया कोड उधार लेने का परिणाम हो सकता है।

अब वाहन चालकों के लिए। Stuxnet ने mrxcls.sys ड्राइवर का उपयोग किया, जो एक Realtek प्रमाणपत्र के साथ हस्ताक्षरित है। बाद में, JMicron द्वारा हस्ताक्षरित एक और ड्राइवर, jmidebs.sys की खोज की गई। बाद वाले को अगले स्टक्सनेट ड्राइवर के रूप में हर जगह घोषित किया गया था, लेकिन ऐसे ड्राइवर के साथ मुख्य मॉड्यूल कभी नहीं मिला। अन्य विसंगतियां भी थीं, mrxcls.sys ड्राइवर ने नाम से API फ़ंक्शन के लिए एक प्रत्यक्ष कॉल का उपयोग किया, jmidebs.sys ड्राइवर ने अपने हैश द्वारा कार्यों की खोज की। मुख्य मॉड्यूल को लागू करने के लिए, mrxcls.sys ने 6332 बाइट्स की एक स्टब फ़ाइल (exe) बनाई, आकार में jmidebs.sys - 7061 बाइट्स की। असामान्य रूप से, रजिस्ट्री में स्ट्रिंग्स को डिक्रिप्ट करने के लिए, mrxcls.sys और jmidebs.sys ने एक ही कुंजी का उपयोग किया - 0xAE240682, जो, हालांकि, Duqu के अन्य संस्करणों में अलग था। ड्यूक ड्राइवरों में से एक समान jmidebs.sys विशेषताओं (स्टब फ़ाइल का आकार और डिक्रिप्शन कुंजी) थी। इस प्रकार, यह तर्क दिया जा सकता है कि jmidebs.sys, जो पहले स्टक्सनेट से जुड़ा था, वास्तव में ड्यूक का हिस्सा है। एक और अप्रत्यक्ष संकेत है - ड्यूक शाखा के लिए, रजिस्ट्री में पैरामीटर नाम को कैपिटल में रखा गया है - 'आईडीई' और 'फिल्टर', जबकि स्टक्सनेट शाखा ('डेटा', 'कॉन्फिगर' और 'एक्शन') नहीं है। डेल सिक्योरवर्क्स का मानना ​​है कि दोनों दुर्भावनापूर्ण कार्यक्रमों के कुछ तत्वों की समानता एक दुर्घटना है। उदाहरण के लिए, इसी तरह की तकनीकों का उपयोग मैलवेयर के अन्य नमूनों में किया जाता है। चरित्र '~' से शुरू होने वाले काम फ़ाइल नामों का उपयोग करना भी रिश्तेदारी का सबूत नहीं है। आपको नकल जैसी चीज पर भी छूट नहीं देनी चाहिए। ड्यूक के व्यक्तिगत भागों के संकलन समय टिकटों के आधार पर, इसका विकास 2007 की शुरुआत में वापस हो सकता है। इसका प्रारंभिक प्रकटन प्रपत्र ~ की अस्थायी फाइलों की खोज से जुड़ा है ~ DO (शायद एक स्पाइवेयर मॉड्यूल द्वारा निर्मित), जिसके निर्माण की तिथि 28 नवंबर, 2008 है ( लेख "ड्युक् & स्टक्सनेट: दिलचस्प घटनाओं की एक समयरेखा")। इस प्रकार, स्टक्सनेट को बाद में कई Duqu प्रौद्योगिकियों का उपयोग करके बनाया जा सकता है, या उनके डेवलपर्स ने एक स्रोत से जानकारी (या स्रोत कोड) को स्कूप किया। तो एफ-सिक्योर मिको हिप्पोन्नन का कथन: “डक्यू और स्टक्सनेट कोड के बीच समानता स्पष्ट है। ड्यूक कर्नेल ड्राइवर (jminet7.sys) स्टक्सनेट ड्राइवर (mrxcls.sys) के समान है कि हमारे सिस्टम ने फैसला किया कि यह स्टक्सनेट था "- पूरी तरह से सच नहीं है (jminet7.sys और cmi4432.sys हंगरी में पाए गए ड्यूक ड्राइवर हैं) CrySyS प्रयोगशाला कर्मचारी)।