Duqu: хронология событий и схема работы

«Сопоставляя обнаруженные нами данные с данными, полученными другими исследователями и антивирусными компаниями, мы выявили совпадающие общие черты, которые раскрывают приблизительную хронологию событий и общую схему, по которой действовали создатели Duqu», – говорит Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского».

В ходе проведенного расследования удалось выяснить, что распространение вредоносной программы происходило через электронную почту. К письму, адресованному конкретному получателю, прилагался doc-файл, содержащий эксплойт уязвимости и инсталлятор троянца. Первая подобная рассылка была проведена еще в апреле 2011 года.

Драйвер, загружаемый эксплойтом в ядро системы, имеет дату компиляции 31 августа 2007. Это говорит о том, что авторы Duqu могли работать над этим проектом более четырех лет. Стоит отметить, что каждая атака Duqu была уникальной: троянец имел четко определенную жертву, уникальный набор файлов, а контроль за его деятельностью каждый раз осуществлялся с разных серверов управления.

После заражения системы и установления связи с сервером происходила загрузка и установка дополнительного модуля, предназначенного для сбора информации о системе, снятия скриншотов, поиска файлов, перехвата паролей и рядом других функций.