книги хакеры / журнал хакер / 156_Optimized

Силен

Дуку

очень

Наверное, все слышали про подвиги Stuxnet в деле тонкой настройки иранской атомной электростанции в Бушере. Практически половина прошлогоднего летнего отпуска была проведена в IDA в сопровождении различных компонентов червя Stuxnet, большая часть была разобрана в статике, а повсеместное использование ООП не добавляло ни грамма веселья. Прошел год…

Рис.1.Встречайте—легальныйсертификат!

WIN32/DUQU: ТЕМНЫЙПРЕЕМНИК ЧЕРВЯSTUXNET

ередина октября, спокойный хмурый осенний вечер за

Cчтением RSS-ленты и бокалом односолодового виски. И вот среди сотен заголовков мои глаза уцепились за слово

Stuxnet… Первая мысль — опять раздувают шумиху по поводу давнего инцидента. Но, пробежавшись глазами по статье в блоге Symantec,

я понял, что речь идет о чем-то другом, и это «что-то» имеет вполне определенное название — Duqu. Собственно, так и начался наш research преемника Stuxnet. После первых сообщений о том, что Duqu и Stuxnet базируются на одном исходном коде, нам захотелось разобраться во всем самим, так как коллектив нашего вирлаба еще не забыл бессонные ночи, проведенные за реверсом Stuxnet. =)

После внимательного изучения доступной информации стало ясно, что ноги растут из венгерской исследовательской лаборатории

Cryptography and System Security (CrySyS). Ее специалисты первыми обнаружили Duqu, заметили сходство этой вредоносной программы со Stuxnet, провели неплохой бинарный анализ и поделились его результатами со специалистам из антивирусных компаний. Видимо, сотрудники CrySyS имели какое-то отношение к расследованию одного из инцидентов с участием Duqu в Венгрии, что и объясняет их раннюю осведомленность.

Рис.2.Сертификатотозван.Тудаемуидорога

ДРОППЕР

В самом начале истории с Duqu не было информации о том, каким образом происходит ее установка в систему. Удалось извлечь лишь вредоносные компоненты, оставшиеся после заражения. Опять же нет никаких гарантий, что специалисты смогли найти все, поскольку Duqu, как и Stuxnet, использует целый комплекс методов для обхода защитного ПО.

ПРОЦЕСС УСТАНОВКИ

Установка Duqu проходит в несколько основных этапов:

0)Запусквредоносноговложенияввидеdoc-файла,которыйсодер- житкод,эксплуатирующийуязвимостьнулевогодняCVE-2011-3402.

1)Загрузкапервогоуровняшелл-кодавадресноепространствомоду- ляwin32k.sys.

2)Загрузкавторогоуровняшелл-кода,предназначенногодлявыпол- нениявядре.

3)Загрузкаполезнойнагрузкиввиденовогодрайвераиегоинициализация.

4)Внедрениевадресноепространствосистемногосервиса services.exeосновногомодуляустановщикаDuquиегоактивация.Послеэтогопроисходитзаражениесистемы.

На уровне шелл-кода Duqu местами очень напоминают Stuxnet. В результате складывается впечатление, что это просто немного видоизменённый шелл-код, заточенный под указанную уязвимость.

ОПЯТЬ ЛЕГАЛЬНЫЕ СЕРТИФИКАТЫ

Еще один небезынтересный момент заключается в том, что для компонентов Duqu используются легальные цифровые подписи. На данный момент выявлено, что в процессе заражения устанавлива-

ется драйвер cmi4432.sys, который отвечает за внедрение кода и содержит легальную цифровую подпись, принадлежащую компании C-Media Electronics Inc. Цифровой сертификат, используемый для генерации подписи, был выдан VeriSign со сроком действия до августа 2012 года (рисунок 1). В настоящее время он уже отозван и не является валидным. При этом имена драйверов Duqu очень похожи на названия вполне легальных драйверов от производителей железа. Злоумышленники рассчитывали, что все это поможет как можно дольше скрывать факт атаки и сбить с толку специалистов во время криминалистической экспертизы файловой системы.

АНАЛИЗ КОМПОНЕНТОВ DUQU

Содержимое первого набора сэмплов, который мы получили для анализа, представлено на рисунке 3.

Оказалось, что часть файлов зашифрована. Это ввело нас в небольшой ступор, так как сэмплы были получены от коллег из другой антивирусной компании, у которых совершенно точно имелся расшифрованный вариант. Однако анализ одного из драйверов, который отвечал за внедрение других компонентов Duqu в системные процессы, позволил обнаружить код алгоритма расшифровки. Программный код нашего расшифровщика приведен на рисунке 4.

При анализе кода этого драйвера выяснилось, что функционально он практически полностью идентичен коду драйвера, используемого в Stuxnet. Все различия, которые мы обнаружили, были введены, скорее, для противодействия сигнатурному и эвристическому методу обнаружения вредоносного ПО. На рисунке 5 представлен граф потока управления Stuxnet, а на рисунке 6 — Duqu. Структура графов

Рис.7.Декомпилированныйкодпроверкидат

Рис.8.Расшифровываемконфигурационныефайлы

Рис.9.Конфигурационныйфайлзаражения

Рис.10.Ещеодинконфигурационныйфайлзаражения

и базовых блоков отчетливо показывает явное сходство этих двух вирусов, что опять же говорит об их преемственности.

КАК УСТАНОВИТЬ ТОЧНУЮ ДАТУ ЗАРАЖЕНИЯ СИСТЕМЫ?

Когда мы начали исследовать Win32/Duqu, нас сразу заинтересовал вопрос, каким образом можно установить точную дату заражения компьютера этой вредоносной программой. Эта информация, прежде всего, полезна для проведения криминалистической экспертизы и восстановления картины произошедших событий. У нас появилась идея о том, что если Duqu хранит информацию о времени своего самоудаления, то должна иметься и информация о том, когда начинается отсчет этого времени (она может быть либо зашита в счетчик, либо указана в виде даты заражения). С помо-

щью нескольких наборов сэмплов с разных зараженных машин нам удалось обнаружить одну интересную вещь. Оказывается, в процессе заражения формируется так называемая main.dll (основной компонент Duqu), в которой сохраняется точная дата заражения в UTC-формате. На рисунке 7 можно видеть декомпилированный код, осуществляющий проверку этой самой даты.

Эти данные позволяют установить в процессе криминалистической экспертизы точную дату и время заражения машины. В отчете «Duqu: the precursor to the next Stuxnet» указано, что время жизни вируса на зараженной машине составляет 36 дней, после чего он автоматически удаляется. Для того чтобы узнать дату заражения, сначала нужно расшифровать конфигурационные файлы при помощи нехитрого самопального криптоалгоритма (рисунок 8).

Изучив несколько наборов сэмплов, мы выяснили, что эта дата может меняться и, скорее всего, выставляется в процессе зара-

Рис.11.RPCвDuqu

жения с учетом конфигурационных данных дроппера. Один набор сэмплов, который имелся в нашем распоряжении, также должен был удалиться через 36 дней, а вот второй — уже через 30. Конфигурационный файл, в котором указаны дата заражения 11.08.2011, его время 7:50:01 и период существования троянца в системе 36 дней, представлен на рисунке 9, а конфигурационный файл с датой 18.08.2011, временем 7:29:07 и периодом 30 дней — на рисунке 10.

RPC-ПРОТОКОЛ DUQU VS STUXNET

Особенности реализации RPC-протокола еще раз подтверждают сходство кода Duqu и Stuxnet. RPC-протокол представляет собой одну из самых интересных частей Stuxnet. В Duqu этот протокол, который подробно описан в нашем исследовании «Stuxnet under the Microscope» (стр. 56–57), реализован не полностью. Проанализировав реализацию локальной части протокола RPC в одном из компонентов Duqu и сравнив две основные процедуры в BinDiff, мы получили интересные результаты (рисунок 11).

Код оказался практически идентичным, за исключением несущественных артефактов, которые появились после его рекомпиляции в составе Duqu. Сам RPC имеет следующий функционал:

•RpcHandler_1—возвращаетустановленнуюверсию;

•RpcHandler_2—выполняетинжектмодулявуказанныйпроцесси вызываетуказаннуюфункциюэкспорта;

•RpcHandler_3—загружаетмодульивыполняетегосточкивхода;

Рис.12.Декомпилированныйкодобработчика,которыйвозвращаетномерверсии

•RpcHandler_4—запускаетпроцесспосредствомвызова CreateProcess();

•RpcHandler_5—читаетсодержимоеуказанногофайла(например, конфига);

•RpcHandler_6—записываетданныевуказанныйфайл;

•RpcHandler_7—удаляетуказанныйфайлизсистемы.

Декомпилированный код обработчика, который возвращает номер версии, представлен на рисунке 12.

Использование RPC-протокола позволяет троянцу оставаться незамеченным и не вызывать подозрений со стороны различного защитного ПО.

ЗАЧЕМ ЭТО ВСЕ?

В рамках одной статьи не представляется возможным рассказать обо всех технических нюансах этой вредоносной программы — один наш аналитический отчет по Stuxnet занял более 80 страниц :), — поэтому в завершение я предлагаю тебе задаться вечным философским вопросом «зачем?».

Уже ни для кого не секрет, что многие государства формируют специальные военные подразделения для создания средств нападения в киберпространстве. Разрабатываются доктрины, регламентирующие последовательность действий во время кибервойны. Возможно, что история со Stuxnet, а теперь и с Duqu представляет собой как раз результат работы одного из таких вот подразделений. Сейчас сложно сказать, какова истинная цель и предназначение Duqu, так как в этой истории еще слишком много белых пятен, тем более что функционал этой вредоносной программы может различаться для разных целей, а дополнительно загружаемые модули расширяют ее возможности. На данный момент также обнаружен модуль-кейлоггер, который устанавливался на некоторые зараженные машины. Но это уже тема для отдельной статьи, а те, кто хотят разобраться во всем самостоятельно, смогут найти некоторые компоненты Duqu в Сети. z