, una nuova minaccia il cui obiettivo è di raccogliere intelligence allo scopo di sferrare un futuro attacco in stile Stuxnet. In almeno una organizzazione colpita, Duqu ha utilizzato un documento di Microsoft Word come file di installazione sfruttando una vulnerabilità del kernel sconosciuta che consente l'esecuzione di codice.
Minaccia Duqu
Il 19 ottobre, Symantec ha pubblicato la propria analisi di una nuova minaccia denominata Duqu, che sembra essere il precursore di un futuro attacco in stile Stuxnet. Parti di Duqu sono quasi identiche a Stuxnet, ma il suo unico scopo è di raccogliere intelligence che potrebbe essere utilizzata per fornire a eventuali aggressori le informazioni necessarie per allestire futuri attacchi. Duqu non è largamente diffuso, ma è estremamente mirato, e gli obiettivi comprendono fornitori di impianti industriali.
In almeno una organizzazione colpita, Symantec ha verificato che il file di installazione era un documento di Microsoft Word (.doc) che ha sfruttato una vulnerabilità del kernel sconosciuta che consente l'esecuzione di codice. All'apertura del file, il codice nocivo è stato eseguito e ha installato i file binari principali di Duqu. Microsoft è al corrente della vulnerabilità e sta lavorando per rilasciare una patch e le relative istruzioni.
Aggiornamenti principali
1 novembre 2011
- Una vulnerabilità zero-day priva di patch viene sfruttata tramite un documento di Microsoft Word e installa Duqu
- Gli aggressori possono diffondere Duqu su computer in zone protette e controllarli tramite un protocollo C&C peer-to-peer
- Almeno sei organizzazioni in otto paesi hanno confermato le infezioni
- È stato scoperto e chiuso un nuovo server C&C in hosting nel Belgio
Ulteriori informazioni su Duqu da parte degli esperti di Symantec Security Response
Uno sguardo retrospettivo al ruolo di Symantec nella vicenda Stuxnet
"La vicenda Stuxnet" Fonte: Symantec
Fai clic sull'immagine per visualizzare l'intera sequenza cronologica.
Il significato di Stuxnet
Ciò che rende Stuxnet particolarmente devastante è che è stato progettato per fare un salto mai visto prima dal mondo digitale al mondo reale. Stuxnet è un worm per computer progettato per colpire sistemi di controllo industriale utilizzati per monitorare e azionare impianti industriali su larga scala.
La maggior parte del malware attualmente in circolazione è progettata per rubare informazioni e sottrarre denaro dai conti correnti bancari ed entrambe queste attività producono effetti indiretti sulle nostre vite reali. Ma Stuxnet è andato molto oltre. Il suo scopo era quello di riprogrammare i sistemi di controllo industriale, ovvero i programmi per computer utilizzati per gestire ambienti industriali come centrali elettriche, raffinerie e oleodotti. Il suo obiettivo finale era manipolare l'apparecchiatura fisica collegata a specifici sistemi di controllo industriale in modo che l'apparecchiatura si comportasse nel modo programmato dall'aggressore, diverso da quello previsto originariamente. Un esito di questo tipo poteva essere motivato da diversi obiettivi, ma sabotaggio, distruzione e guerra informatica erano certamente i più ovvii.
Stuxnet ha aperto la porta al malware con profonde implicazioni politiche e sociali. C'è molto da imparare dalla complessità della minaccia Stuxnet. Di fatto, Stuxnet ha cambiato l'approccio dei ricercatori al malware e il modo in cui essi considerano il panorama delle minacce.
Contributi nel blog di Security Response
Leggi cosa hanno scritto i ricercatori sulla sicurezza di Symantec sul worm Stuxnet dopo la sua apparizione nel luglio 2010.
- Un anniversario malware da ricordare, 11 luglio
- Dossier aggiornato su W32.Stuxnet ora disponibile, 14 febbraio
- Stuxnet: Una svolta, 12 novembre
- Stuxnet: Obiettivo ancora sconosciuto, 3 novembre
- Rilevazione delle infezioni PLC, 8 ottobre
- Infezione Stuxnet dei progetti Step7, 26 settembre
- Stuxnet prima della vulnerabilità dei file .lnk, 24 settembre
- Analisi del processo di infezione dei PLC di Stuxnet, 21 settembre
- Le impersonificazioni di Stux, 21 settembre
- La vulnerabilità zero-day dello spooler di stampa di Stuxnet non è zero-day?, 17 settembre
- Componente P2P di Stuxnet, 17 settembre
- Stuxnet con tre vulnerabilità zero-day aggiuntive, 14 settembre
- Stuxnet introduce il primo rootkit documentato per sistemi di controllo industriale, 6 agosto
- Sneakernet rivisitato, 5 agosto
- W32. Varianti di W32.Stuxnet, 29 luglio
- Estrazione dei componenti di W32.Stuxnet, 22 luglio
- Informazioni di rete su W32.Stuxnet, 22 luglio
- Gli hacker dietro Stuxnet, 21 luglio
- W32.Stuxnet – Domande frequenti, 16 luglio
