News Duqu - Sohn des Stuxnet

Der Computerwurm Stuxnet sorgte im vergangenen Jahr für viel Aufsehen. Er infizierte Computer über den gesamten Erdball, hatte aber anscheinend nur das Ziel das Atomkraftwerk <a href="http://de.wikipedia.org/wiki/Kernkraftwerk_Buschehr" target="b">Buschehr</a> im Iran anzugreifen. Beachtenswert war dabei der komplexe Code des Wurms. Ein solch ausgereifter Schädling, so waren sich führende Sicherheitsfirmen einig, konnte nur durch die Unterstützung durch ein oder mehrere Staaten entstanden sein. So vermutete man ein Gemeinschaftsprojekt zwischen USA und Israel. Erstere hatten kürzlich China beschuldigt, Cyberangriffe auf Industrie und Wirtschaft zu führen und so ein neues Feld der Industriespionage zu eröffnen. Nun erscheint offenbar sein Nachfolger auf der Bildfläche des Internets.

Die Firma McAfee vermutet hinter dem Neuling die gleichen Autoren oder zumindest ein Team, das sich deren Wissen zu Eigen gemacht hat. So gleiche das Verhalten Duqus stark dem Vorgänger, der sich ebenfalls in signierten Treibern und DLLs versteckte. McAfee fand auf infizierten Rechnern zwei sys-Dateien namens cmi4432.sys und jminet7.sys und eine dritte, die als Keylogger fungiert. Eine der beiden sys-Dateien sei zudem mit einem digitalem Zertifikat von C-Media versehen, einem taiwanesischen Hersteller, der für Audio-Chips bekannt ist. Beide Dateien enthalten annähernd den gleichen Code, der die benötigten DLLs entschlüsselt und ausführt.

<center><a href="http://www.planet3dnow.de/photoplog/index.php?n=17173"><img src="http://www.planet3dnow.de/photoplog/file.php?n=17173&w=l" border="0" alt="Duquhspace="5" vspace="5"></"></a><a href="http://www.planet3dnow.de/photoplog/index.php?n=17172"><img src="http://www.planet3dnow.de/photoplog/file.php?n=17172&w=l" border="0" alt="Duqu" hspace="5" vspace="5"></a></center>

Symantec gibt an, dass der Code vermutlich bereits seit Dezember letzten Jahres unterwegs ist und mittels HTTP und HTTPS mit einem C&C-Server (Command and Control) Kontakt hält. Dabei werden neben Netzwerkinformationen auch Tastatureingaben und Systemdaten komprimiert und verschlüsselt als JPG-Datei übertragen. Nach 36 Tagen entfernt sich der Virus selbstständig vom System, ohne ein Spur zu hinterlassen. So sind zwar weite Teile das Codes mit Stuxnet verwand, doch die Arbeitsweise unterscheidet sich maßgeblich. War der Vorgänger noch zur Sabotage ausgelegt, hat Duqu einzig die Aufgabe, Informationen zu sammeln und einen Remote-Zugriff zu ermöglichen. Auch Symantec ist sich sicher, dass die Erschaffer zumindest Zugriff auf den Source-Code von Stuxnet hatten und nicht nur auf die Binaries. Man geht weiter davon aus, dass Duqu ein Wegbereiter für weitere stuxnetartige Angriffe sein könnte.


<b>Quellen:</b><ul><li><a href="http://blogs.mcafee.com/mcafee-labs/the-day-of-the-golden-jackal-%E2%80%93-further-tales-of-the-stuxnet-files" traget="b">McAfee</a></li><li><a href="http://www.symantec.com/connect/w32_duqu_precursor_next_stuxnet" target="b">Symantec</a></li></ul>

<b>Links zum Thema</b><ul><li><a href="http://www.planet3dnow.de/vbulletin/showthread.php?t=388468">Das Leiben und Leben des Computerwurms Stuxnet </a></li><li><a href="http://www.planet3dnow.de/cgi-bin/newspub/viewnews.cgi?id=1317729127">UEFI 2.3.1 - Sicherheit vor Linux</li></ul>

TPM soll helfen...

Tja die deutsche Regierung kanns ja fast nciht gewesen sein, so wie sie sich mit ihren Virus selbst diskreditiert haben.

(Oder es war alles ein Ablenkungsmanöver)

Wir haben doch ein 10 Mann starkes Cyberabwehrzentrum