Robak Stuxnet powraca

Przeczytaj także: Nowy szkodliwy program Gauss

Najważniejsze fakty w skrócie

• Eksperci z Kaspersky Lab odkryli, że moduł wchodzący w skład wczesnej wersji Stuxneta z 2009 r., znany jako „Resource 207”, w rzeczywistości był wtyczką do Flame’a.
• To oznacza, że gdy robak Stuxnet został stworzony na początku 2009 r., platforma Flame już istniała, a w 2009 r. źródło kodu co najmniej jednego modułu Flame’a zostało wykorzystane w Stuxnecie.
• Moduł ten służył do rozprzestrzeniania infekcji za pośrednictwem urządzeń USB. Kod mechanizmu infekcji przy pomocy urządzenia USB jest identyczny z kodem Flame’a i Stuxneta.
• Moduł Flame’a w Stuxnecie wykorzystywał również lukę w zabezpieczeniach, która nie była znana w tym czasie i umożliwiała zwiększenie przywilejów w atakowanym systemie (prawdopodobnie była to luka MS09-025).
• Następnie, w 2010 r. moduł wtyczki do Flame’a został usunięty ze Stuxneta i zastąpiony kilkoma innymi komponentami, które wykorzystywały nowe luki.
• Od 2010 r. te dwa zespoły twórców szkodliwego oprogramowania działały niezależnie, a jedyny obszar współpracy dotyczył wymiany wiedzy na temat nowych luk „zero-day”.

Tło historyczne

Stuxnet był pierwszą cyberbronią atakującą obiekty przemysłowe. W wyniku tego, że Stuxnet infekował również komputery PC zwykłych użytkowników na całym świecie, został wykryty w czerwcu 2010 r., mimo że najwcześniejsza znana wersja tego szkodliwego oprogramowania została stworzona rok wcześniej. Kolejny przykład cyberbroni, znany jako Duqu, został wykryty we wrześniu 2011 r. W przeciwieństwie do Stuxneta, trojan Duqu pełnił głównie funkcję „tylnych drzwi” do zainfekowanego systemu i kradł prywatne informacje (cyberszpiegostwo).

Podczas analizy Duqu odkryto wyraźne podobieństwa między tym szkodnikiem a Stuxnetem, które świadczą o tym, że te dwie cyberbronie zostały stworzone przy użyciu tej samej platformy ataków o nazwie „Tilded”. Flame, który został wykryty w maju 2012 r. przez Kaspersky Lab podczas analizy podejrzanego kodu przeprowadzonej na prośbę Międzynarodowego Związku Telekomunikacyjnego (ITU), na pierwszy rzut oka wydawał się całkowicie odmiennym programem. Niektóre jego cechy, takie jak rozmiar szkodliwego oprogramowania, wykorzystanie języka programowania LUA oraz różnorodna funkcjonalność, sugerowały, że Flame nie miał nic wspólnego z twórcami Duqu czy Stuxneta. Jednak nowe fakty całkowicie zmieniły historię Stuxneta i dowiodły ponad wszelką wątpliwość, że istnieją związki między platformą „Tilded” a platformą Flame’a.