Robak Stuxnet powraca

Przeczytaj także: Nowy szkodliwy program Gauss

Nowe ustalenia

Najwcześniejsza znana wersja Stuxneta, stworzona prawdopodobnie w czerwcu 2009 r., zawiera specjalny moduł o nazwie „Resource 207”. W kolejnej wersji Stuxneta z 2010 r. moduł ten został całkowicie usunięty. Moduł „Resource 207” to zaszyfrowany plik DLL, który zawiera plik wykonalny o rozmiarze 351 768 bajtów o nazwie „atmpsvcn.ocx”. Plik ten, jak wykazało badanie Kaspersky Lab, ma wiele wspólnego z kodem wykorzystanym we Flamie. Lista uderzających podobieństw obejmuje nazwy wzajemnie wykluczających się obiektów, algorytm służący do deszyfracji oraz podobne podejścia do nazewnictwa plików.

Ponadto, większość sekcji kodu w odpowiednich modułach Stuxneta i Flame’a wydaje się być identyczna lub podobna, na podstawie czego można wnioskować, że współpraca między zespołami odpowiedzialnymi za Flame’a i Duqu/Stuxneta miała formę wymiany kodu źródłowego (nie binarnego). Główna funkcjonalność modułu „Resource 207” Stuxneta obejmowała przenoszenie infekcji z jednej maszyny na drugą przy użyciu wymiennych urządzeń USB oraz z wykorzystaniem luki w zabezpieczeniu jądra Windowsa umożliwiającej zwiększenie przywilejów w systemie. Kod odpowiedzialny za dystrybucję szkodliwego oprogramowania za pośrednictwem urządzeń USB jest identyczny jak ten wykorzystany w robaku Flame.

Aleksander Gostiew, główny ekspert ds. bezpieczeństwa w Kaspersky Lab, powiedział: „Niezależnie od nowych faktów jesteśmy przekonani, że Flame i Tilded to całkowicie różne platformy, wykorzystywane do rozwoju wielu cyberbroni. Każda z nich ma inną architekturę i wykorzystuje unikatowe sztuczki do infekowania systemów i realizowania podstawowych zadań. Były to bez wątpienia oddzielne i niezależne od siebie projekty. Jednak nowe ustalenia, zgodnie z którymi oba zespoły współdzieliły kod źródłowy co najmniej jednego modułu na wczesnych etapach rozwoju szkodników, potwierdzają, że obie grupy współpracowały ze sobą przynajmniej jeden raz. Odkryliśmy bardzo mocny dowód istnienia związków między cyberbronią Stuxnet/Duqu a Flame”.