جاسوسی از مذاکرات هسته‌ای با استفاده از Duqu 2.0

نوع جدیدی از بدافزار Duqu که Duqu 2.0 نام‌گرفته است، بعد از خاموشی در سال 2012 دوباره بازگشته است. این‌یکی از پیچیده‌ترین بدافزارهای شناخته‌شده تاکنون است که از چندین آسیب‌پذیری zero-day استفاده می‌کند. بر اساس گزارش محققان امنیتی یکی از هدف‌های این بدافزار جاسوسی از مذاکرات ایران و 5+1 بوده است.

هم‌چنین این بدافزار توانسته در کشورهای غربی، آسیا و خاورمیانه قربانی بگیرد. بر اساس گزارش محققان امنیتی سیمنتک، انواع مختلفی از این بدافزار در هر قاره شناسایی‌شده است.

از آسیب‌پذیری‌های zero-day این بدافزار می‌توان به موارد زیر اشاره کرد:

• CVE-2015-2360;
• CVE-2014-4148;
• CVE-2014-6324;

اما مهم‌ترین اهداف این بدافزار قطعاً جاسوسی از مذاکرات هسته‌ای ایران و 5+1 بوده است. علاوه بر این مذاکرات، حمله‌ای مشابه نیز توسط گروه Duqu 2.0، در هفتادمین سالگرد آزادسازی آشویتس-بیرکناو پیاده‌سازی شده است.

علاوه بر حمله‌های جاسوسی، بدافزار Duqu 2.0 به شرکت کسپرسکی نیز حمله کرده است. هنگام حمله‌ این بدافزار به کسپرسکی، این شرکت در حال آزمایش فناوری جدید خود درباره شناسایی بدافزارها و خطرات سایبری پیشرفته بود که این بدافزار را شناسایی کرد. حمله بدافزار به شرکت کسپرسکی با حمله‌های فیشینگ شروع شد و منطقه آسیایی – اقیانوسیه آن را هدف گرفته بود.

در حمله کسپرسکی این بدافزار از آسیب‌پذیری CVE-2015-2360 استفاده کرده است. این حمله مربوط به کرنل ویندوز مایکروسافت می‌شود که در روز 9  ماه ژوئن 2015 وصله شده بود. این بدافزار هم‌چنین از دو آسیب‌پذیری دیگر که نام برده شد، استفاده کرده است که در زمان حمله وصله نشده بودند.

پس از شناسایی بدافزار، کسپرسکی اعلام کرد، این پیچیده‌ترین بدافزاری است که تاکنون دیده‌است، حتی از حمله‌های گروه معادله نیز خطرناک‌تر است.

Duqu 2.0 در حافظه قرار می‌گیرد و از یک سامانه پیچیده به‌منظور ارتباط با سرور C&C استفاده می‌کند. این بدافزار مستقیماً با سرور ارتباط برقرار نمی‌کند تا دستورهای لازم را دریافت کند، بلکه هکرها گذرگاه‌های خروجی شبکه (gateway) و دیواره آتش (firewall) را با نصب درایور مخرب آلوده کرده و تمامی ترافیک را از شبکه داخلی به سرور C&C ارسال می‌کنند. به منظور دریافت آدرس proxy، بدافزار از URLهای مایکروسافت استفاده می‌کند. این روش به مانند شکل زیر دقیقا در بدافزار نسخه قبلی نیز وجود داشت.

بدافزار جدید Duqu 2.0 با نسخه قبلی خود که در سال 2011 شناسایی شد، شباهت‌های فراوانی دارد. هم‌چنین براساس لاگ‌های بدافزار، در روزهای تعطیل شنبه بر روی بدافزار کار نشده است و در روزهای جمعه کمتر کارشده است و کار اصلی همیشه از یکشنبه شروع می‌شود! این یعنی یک گروه به طور مستمر و تامین شده از نظر مالی، به صورت کارمند، بر روی توسعه بدافزار کار می‌کردند.

کسپرسکی عقیده دارد این بدافزار توسط اسرائیل توسعه یافته است و خاص جاسوسی و جمع‌آوری اطلاعات است.

گزارش کسپراسکی را از این لینک می‌توانید دریافت کنید.