Duqu — сводный брат Stuxnet?

«Лаборатория Касперского» подвела первые итоги исследования вредоносной программы Duqu, распространения которой стало одним из главных новостных поводов прошлой недели. Основная причина — сходство нового троянца с печально известным червем Stuxnet.

Впервые Duqu был обнаружен в начале сентября 2011 года. Тогда пользователь из Венгрии обнаружил один из модулей вредоносной программы и загрузил его на сайт Virustotal, позволяющий проанализировать зараженный файл антивирусными программами различных производителей. Найденный сэмпл обладает функционалом троянца-шпиона, который сохраняет собранные данные в файлы с именами вида ~DQx.tmp — отсюда и имя зловреда.

Сходством со Stuxnet обладает основной модуль вируса, обнаруженный немного позднее. По мнению экспертов, именно он использовался для заражения системы и последующей загрузки троянца. При этом основной модуль и троянец могут работать независимо друг от друга, и по функционалу являются совершенно самостоятельными вредоносными программами. Несмотря на схожесть основного модуля Duqu со Stuxnet, «родственные связи» его шпионского компонента и червя несколько условны. Более того, серьезные различия наблюдаются в поведении вредоносных программ.

После того, как были обнаружены несколько вариантов Duqu, эксперты «Лаборатории Касперского» начали в режиме реального времени отслеживать попытки заражения пользователей новой вредоносной программой. За первые сутки после начала детектирования Duqu был зафиксирован единственный реальный случай заражения системы, причем обнаружить удалось только основной модуль, который не имеет вредоносной функциональности. В то же время Stuxnet привел к десяткам тысяч заражений по всему миру, хотя и, предположительно, был направлен на единственную цель в Иране.

«Ни одного случая заражения компьютеров наших клиентов шпионской программой в составе Duqu мы не обнаружили, — комментирует Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского». — Это означает, что Duqu может быть нацелен на небольшое количество специфических объектов, и для поражения каждого из них могут использоваться различные модули».

Одной из пока не раскрытых тайн Duqu является изначальный способ проникновения в систему: инсталлятор или «дроппер», необходимый для этого, пока не обнаружен. Поиски этого элемента Duqu продолжаются, и именно он способен помочь выявить реальную цель данной вредоносной программы.

Все обнаруженные версии червя Duqu в настоящее время детектируются антивирусными продуктами «Лаборатории Касперского».