В процессе проведения подробного анализа кода троянского приложения Duqu специалисты «Лаборатории Касперского» сделали вывод, что часть вируса создана на неизвестном ранее языке программирования.
Duqu представляет собой многофункциональное троянское приложение, созданное авторами нашумевшего червя Stuxnet. Основное назначение Duqu – обеспечение преступникам доступ в операционную систему с целью хищения личной информации. Были зафиксированы десятки инцидентов с участием данного троянского приложения, при этом большинство пострадавших проживают на территории Ирана. Анализ атакованных организаций и характера похищенных данных позволил предположить, что вирус предназначен для атаки на автоматизированные системы предприятий.
Одним из нерешенных вопросов, связанных с кодом Duqu – как данное троянское приложение осуществляет обмен данными с командным сервером. Модуль вируса, который отвечает за связь с внешним сервером, входит в состав библиотеки с главным кодом (Payload DLL). Детальное изучение данной библиотеки выявило, что часть кода, отвечающего за поддержку связи с командным сервером, основана на неизвестном языке программирования (данный участок назвали «Фреймворк Duqu»).
В отличие от остальных модулей, Фреймворк Duqu написан не на C++ и компиляция осуществлялась не при помощи пакета Microsoft’s Visual C++ 2008. Вполне вероятно, что разработчики использовали собственные решения для создания промежуточного кода на языке C, либо применили совершенно новый язык программирования, который может помочь в хорошей печати этикеток, потому www.labelprinter.ru принтеры этикеток довольно востребованы. В настоящее время известно только, что язык относится к объектно-ориентированным и хорошо подходит для создания сетевых приложений.
Язык, используемый при создании Фреймворка Duqu, является весьма высокоспециализированным. Он дает возможность Payload DLL работать независимо от других модулей Duqu и способен обеспечивать соединение с командным сервером несколькими способами, включая Windows HTTP, прокси-серверы и сокеты. Также он позволяет библиотеке работать с прямыми HTTP-запросами от внешнего сервера, тайно отправлять информацию с инфицированной машины и даже способен загружать вредоносные модули на компьютеры в составе той же локальной сети.
Использование нового специализированного языка программирования указывает на высокий уровень квалификации авторов приложения и позволяет предложить, что для реализации проекта были мобилизованы значительные людские и финансовые ресурсы.
12 марта 2012
