Trojaner: Duqu-Code erweist sich als "Oldschool"
Disassemblierter Duqu-Code (Bild: Kaspersky)

Trojaner Duqu-Code erweist sich als "Oldschool"

Eine erste Analyse des Trojaners Duqu ergab, dass die Schadsoftware weitgehend mit C++ programmiert wurde - bis auf das C-&-C-Modul. Zunächst vermuteten Sicherheitsexperten eine bislang unbekannte Programmiersprache, bis die Community bei der Entschlüsselung mithalf.

Anzeige

Die Sicherheitsunternehmen Kaspersky und Symantec hatten monatelang versucht, dem auf Stuxnet basierenden Trojaner Duqu sein Geheimnis zu entlocken. Denn große Teile des etwa 500 KByte großen Trojaners waren zwar in der Programmiersprache C++ geschrieben. Ein kleiner Teil aber, der für die Verbindung zum Command-&-Control-Server zuständig ist, ließ sich partout nicht entschlüsseln.

  • Disassemblierter Duqu-Code
  • Disassemblierter OO-C-Beispielcode
Disassemblierter Duqu-Code

Nicht identifizierbare Programmiersprache

"Die Sprache ist definitiv nicht C++, Objective C, Java, Python, Ada, Lua oder eine der anderen vielen Sprachen, auf denen wir den Trojaner untersucht haben", hatte Kasperskys Sicherheitsexperte Igor Soumenkov noch am 7. März 2012 geschrieben. Es handele sich womöglich um eine bislang unbekannte Programmiersprache.

Jetzt hat Soumenkov mit Hilfe der Community die unbekannte Programmiersprache identifiziert, die allerdings gar nicht so unbekannt ist - sie wird nur fast nicht mehr verwendet. Daraus schließen die Sicherheitsexperten, dass der Programmierer nicht nur ein Experte, sondern auch ein erfahrener Entwickler ist. Denn das Modul für die Kommunikation wurde in Object Oriented C (OO C) - C mit einem eigenen Dialekt erstellt. OO C sei populär gewesen, als viele Entwickler von Assembler zu C wechselten, aber um C++ noch einen großen Bogen machten, sagte Vitaly Kamluk von Kaspersky.

Läuft zuverlässig und überall

Solcher Code findet sich in modernen Trojanern und Viren nicht. "Die Entwickler wollten sicherstellen, dass der Trojaner zuverlässig und überall läuft", resümiert Kamluk. Die Kaspersky-Mitarbeiter gehen davon aus, dass mehr als eine Person an der Entwicklung von Duqu beteiligt war.

Compiler unterstützen OO C mit entsprechenden Schaltern weiterhin, etwa Microsofts Visual Studio Compiler 2008, mit dem mutmaßlich auch der gesamte Duqu-Trojaner kompiliert wurde. Mit den Schaltern 01 und Ob1 konnten die Entwickler bei Kaspersky einen annähernd ähnlichen Code generieren wie die im Duqu-Trojaner verpackten Payload.

Duqu soll Daten stehlen

Duqu ist für das Stehlen von Daten konzipiert worden. Einer Analyse von Symantec zufolge basiert Duqu auf Stuxnet und das Sicherheitsunternehmen ist sich sicher, dass die Entwickler von Duqu Zugriff auf den Quelltext von Stuxnet hatten, nicht nur auf dessen ausführbare Dateien. Der Windows-Trojaner verhält sich wie ein klassischer Botnet-Trojaner: Dateien werden vom kompromittierten PC verschlüsselt an einen Command-&-Control-Server verschickt, zusätzlich wird andere Malware installiert, die Tastatureingaben abfangen kann.

Als Botnet-Trojaner war Duqu jedoch wohl nicht gedacht, denn das Programm verbreitet sich nicht selbst weiter und deinstalliert sich nach 36 Tagen selbst. Die von Duqu erbeuteten Daten werden unter anderem in Dateien verpackt, die wie JPEG-Bilder aussehen, eine Verschleierungstechnik, die in herkömmlichen Trojanern nicht vorkommt. Duqu installiert mit einem von Symantec gestohlenen und inzwischen widerrufenen Zertifikat einen Treiber, über den weitere Systemkomponenten nachinstalliert werden können.

Verwandtschaft zu Stuxnet

Symantec zufolge soll die Malware unter anderem bei Organisationen gefunden worden sein, die "in Verbindung mit der Herstellung von industriellen Anlagensteuerungen stehen", und damit mit Stuxnet, das gezielt nach Software zur Steuerung von Scada-Industrieanlagen suchte. Stuxnet nutzte zur Verbreitung vier bis dahin unbekannte Windows-Lücken aus.


petra-verheugen 24. Mär 2012

"....Die Programmierung sei ausgeklügelt und in komplexer Malware zu finden, die...

wth 22. Mär 2012

Er meint vermutlich: http://ooc-coding.sourceforge.net/

fool 22. Mär 2012

Och, irgendjemand wird sicher mal eine Sprache namens OOC gebastelt haben. Gibt ja...

fool 22. Mär 2012

Naja, dem "Rest der Welt" würde es vielleicht gar nicht schaden, auch mal mit Assembler...

wth 21. Mär 2012

Nicht unbedingt. Ich kenne solche Überlegungen aus anderen Motiven und tatsächlich macht...

Kommentieren



Anzeige

  1. Datenbank-Administrator (m/w)
    AEB GmbH, Stuttgart
  2. (Wirtschafts-)Mathematiker / Informatiker (m/w) im Firmenkundengeschäft / Öffentliche Versorgungswerke
    Allianz Lebensversicherungs-AG, Stuttgart
  3. Softwareentwickler (m/w)
    Geosecure Informatik GmbH, Bonn
  4. Assistant Vice President, Product Services Analyst (m/w)
    Markit Indices, Frankfurt

 

Detailsuche


Folgen Sie uns
       


  1. Spielebranche

    Crytek verkauft Homefront mitsamt Studio an Koch Media

  2. Anonymisierung

    Projekt bestätigt Angriff auf Tors Hidden Services

  3. Amazon

    Marketplace-Händler verliert Klage gegen schlechte Bewertung

  4. Groupon

    Gnome und die Tücken das Markenrechts

  5. Secusmart/Blackberry

    Krypto-Handys mit vielen Fragezeichen

  6. Selbsttötung

    Wieder ein toter Arbeiter bei Foxconn

  7. Linux

    Opensuse Factory wird Rolling-Release-Distribution

  8. Bau-Simulator 2015

    Schwere Maschinen am PC

  9. Gericht

    Kim Dotcom muss Filmindustrie sein Vermögen offenlegen

  10. Smartphone-Markt wächst

    Samsung verkauft weniger Smartphones



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Google: Youtube und der falsche Zeitstempel
Google
Youtube und der falsche Zeitstempel
  1. Spielevideos Google soll 1 Milliarde Dollar für Twitch.tv zahlen
  2. Videostreaming Youtube-Problem war ein Bug bei Google
  3. Videostreaming Telekom sieht Youtube-Problem erneut bei Google

Liebessimulation Love Plus: "Ich hoffe, du wirst für immer schön bleiben"
Liebessimulation Love Plus
"Ich hoffe, du wirst für immer schön bleiben"
  1. PES 2015 angespielt Neuer Ball auf frischem Rasen
  2. Metal Gear Solid - The Phantom Pain Krabbelnde Kisten und schwebende Schafe

LG 34UM95 im Test: Ultra-Widescreen-Monitor für 3K-Gaming
LG 34UM95 im Test
Ultra-Widescreen-Monitor für 3K-Gaming
  1. Free-Form Display Sharp zeigt LCD mit kurvigem Rahmen
  2. Eizo Foris FS2434 IPS-Display mit schmalem Rahmen für Spieler
  3. Philips 19DP6QJNS Klappmonitor mit zwei IPS-Displays

    •  / 
    Zum Artikel