Disassemblierter Duqu-Code
Disassemblierter Duqu-Code (Bild: Kaspersky)

Trojaner Duqu-Code erweist sich als "Oldschool"

Eine erste Analyse des Trojaners Duqu ergab, dass die Schadsoftware weitgehend mit C++ programmiert wurde - bis auf das C-&-C-Modul. Zunächst vermuteten Sicherheitsexperten eine bislang unbekannte Programmiersprache, bis die Community bei der Entschlüsselung mithalf.

Anzeige

Die Sicherheitsunternehmen Kaspersky und Symantec hatten monatelang versucht, dem auf Stuxnet basierenden Trojaner Duqu sein Geheimnis zu entlocken. Denn große Teile des etwa 500 KByte großen Trojaners waren zwar in der Programmiersprache C++ geschrieben. Ein kleiner Teil aber, der für die Verbindung zum Command-&-Control-Server zuständig ist, ließ sich partout nicht entschlüsseln.

  • Disassemblierter Duqu-Code
  • Disassemblierter OO-C-Beispielcode
Disassemblierter Duqu-Code

Nicht identifizierbare Programmiersprache

"Die Sprache ist definitiv nicht C++, Objective C, Java, Python, Ada, Lua oder eine der anderen vielen Sprachen, auf denen wir den Trojaner untersucht haben", hatte Kasperskys Sicherheitsexperte Igor Soumenkov noch am 7. März 2012 geschrieben. Es handele sich womöglich um eine bislang unbekannte Programmiersprache.

Jetzt hat Soumenkov mit Hilfe der Community die unbekannte Programmiersprache identifiziert, die allerdings gar nicht so unbekannt ist - sie wird nur fast nicht mehr verwendet. Daraus schließen die Sicherheitsexperten, dass der Programmierer nicht nur ein Experte, sondern auch ein erfahrener Entwickler ist. Denn das Modul für die Kommunikation wurde in Object Oriented C (OO C) - C mit einem eigenen Dialekt erstellt. OO C sei populär gewesen, als viele Entwickler von Assembler zu C wechselten, aber um C++ noch einen großen Bogen machten, sagte Vitaly Kamluk von Kaspersky.

Läuft zuverlässig und überall

Solcher Code findet sich in modernen Trojanern und Viren nicht. "Die Entwickler wollten sicherstellen, dass der Trojaner zuverlässig und überall läuft", resümiert Kamluk. Die Kaspersky-Mitarbeiter gehen davon aus, dass mehr als eine Person an der Entwicklung von Duqu beteiligt war.

Compiler unterstützen OO C mit entsprechenden Schaltern weiterhin, etwa Microsofts Visual Studio Compiler 2008, mit dem mutmaßlich auch der gesamte Duqu-Trojaner kompiliert wurde. Mit den Schaltern 01 und Ob1 konnten die Entwickler bei Kaspersky einen annähernd ähnlichen Code generieren wie die im Duqu-Trojaner verpackten Payload.

Duqu soll Daten stehlen

Duqu ist für das Stehlen von Daten konzipiert worden. Einer Analyse von Symantec zufolge basiert Duqu auf Stuxnet und das Sicherheitsunternehmen ist sich sicher, dass die Entwickler von Duqu Zugriff auf den Quelltext von Stuxnet hatten, nicht nur auf dessen ausführbare Dateien. Der Windows-Trojaner verhält sich wie ein klassischer Botnet-Trojaner: Dateien werden vom kompromittierten PC verschlüsselt an einen Command-&-Control-Server verschickt, zusätzlich wird andere Malware installiert, die Tastatureingaben abfangen kann.

Als Botnet-Trojaner war Duqu jedoch wohl nicht gedacht, denn das Programm verbreitet sich nicht selbst weiter und deinstalliert sich nach 36 Tagen selbst. Die von Duqu erbeuteten Daten werden unter anderem in Dateien verpackt, die wie JPEG-Bilder aussehen, eine Verschleierungstechnik, die in herkömmlichen Trojanern nicht vorkommt. Duqu installiert mit einem von Symantec gestohlenen und inzwischen widerrufenen Zertifikat einen Treiber, über den weitere Systemkomponenten nachinstalliert werden können.

Verwandtschaft zu Stuxnet

Symantec zufolge soll die Malware unter anderem bei Organisationen gefunden worden sein, die "in Verbindung mit der Herstellung von industriellen Anlagensteuerungen stehen", und damit mit Stuxnet, das gezielt nach Software zur Steuerung von Scada-Industrieanlagen suchte. Stuxnet nutzte zur Verbreitung vier bis dahin unbekannte Windows-Lücken aus.


petra-verheugen 24. Mär 2012

"....Die Programmierung sei ausgeklügelt und in komplexer Malware zu finden, die...

wth 22. Mär 2012

Er meint vermutlich: http://ooc-coding.sourceforge.net/

fool 22. Mär 2012

Och, irgendjemand wird sicher mal eine Sprache namens OOC gebastelt haben. Gibt ja...

fool 22. Mär 2012

Naja, dem "Rest der Welt" würde es vielleicht gar nicht schaden, auch mal mit Assembler...

wth 21. Mär 2012

Nicht unbedingt. Ich kenne solche Überlegungen aus anderen Motiven und tatsächlich macht...

Kommentieren



Anzeige

  1. C++/Qt Frontend Developer (m/w)
    über Dr. Pendl & Dr. Piswanger, Vomp (Österreich)
  2. Senior Project Manager Solutions & Databases, Google EMEA (m/w)
    Schober Information Group Deutschland GmbH, Stuttgart / London (Großbritannien)
  3. System- und Basisadministrator (m/w)
    RheinEnergie AG, Köln
  4. Projekt- / Service-Ingenieur HMI / SCADA / Prozessleittechnik (m/w)
    SCHOTT AG, Mainz

 

Detailsuche


Top-Angebote
  1. 5 TAGE FILM-SCHNÄPPCHEN (bis 27.04.): 3 Blu-rays für 18 EUR - nur 6 EUR pro Film
    (u. a. Edge of Tomorrow, Gravity, Inception, Godzilla, Hobbit Smaugs Einöde, Der große Gatsby)
  2. TV-Superboxen reduziert
    (u. a. Fringe komplette Serie 56,97€, Friends komplette Serie 73,97€, The Clone Wars 1-5 für...
  3. Der Hobbit: Die Schlacht der fünf Heere [Blu-ray]
    12,90€

 

Weitere Angebote


Folgen Sie uns
       


  1. Amtsgericht Hamburg

    Online-Partnervermittlungen dürfen kein Geld nehmen

  2. Elite Dangerous

    Powerplay im All

  3. Martin Gräßlin

    KDE Plasma läuft erstmals unter Wayland

  4. Canonical

    Ubuntus Desktop-Next soll auf DEB-Pakete verzichten

  5. Glasschair

    Mit der Google Glass den Rollstuhl steuern

  6. Günther Oettinger

    EU und Telekom wollen Regulierung zu Whatsapp und Google

  7. Ebay

    Magento-Shops stehen Angreifern offen

  8. Acer Iconia One 8

    Kleines Android-Tablet mit Intels Quadcore-Atom

  9. Markenrecht

    Band Kraftwerk unterliegt Brennstoffzellenkraftwerk

  10. Teut Weidemann

    Die Tricks der Free-to-Play-Betreiber



Haben wir etwas übersehen?

E-Mail an news@golem.de



Storytelling-Werkzeug: Linius und die Tücken von Open-Source
Storytelling-Werkzeug
Linius und die Tücken von Open-Source
  1. ARM-SoC Allwinner soll LGPL-Verletzungen verschleiern
  2. Linux Siri bekommt Open-Source-Konkurrenz
  3. Microsoft Windows Driver Frameworks werden Open Source

Die Woche im Video: Ein Zombie, Insekten und Lollipop
Die Woche im Video
Ein Zombie, Insekten und Lollipop
  1. Die Woche im Video Apple Watch, GTA 5 für PC und Akku mit Aluminium-Anode
  2. Die Woche im Video Win 10 für Smartphones, Facebook Tracking und Aprilscherze
  3. Die Woche im Video Galaxy S6 gegen One (M9), selbstbremsende Autos und Bastelei

GTA 5: Es ist doch nicht 2004!
GTA 5
Es ist doch nicht 2004!
  1. Rockstar Games PC-Version von GTA 5 im 60-fps-Trailer
  2. Rockstar Games GTA 5 hat Grafikprobleme
  3. Make it Digital GTA im Mittelpunkt von TV-Sendung

  1. Re: Hoffentlich setzt sich dieses Urteil bei...

    Madricks | 05:42

  2. Re: Fehlererklärung

    Moe479 | 04:51

  3. Re: Antwort: Alles ausser neuere Spiele, die...

    Tzven | 04:40

  4. Re: 1915 & 2015

    Tzven | 04:22

  5. Re: Hört hört....

    Aslo | 04:17


  1. 18:41

  2. 16:27

  3. 16:04

  4. 15:06

  5. 14:42

  6. 14:09

  7. 13:27

  8. 13:02


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel