ESET: Stuxnet - история продолжается

ПредыдущаяСледующая
1174

Компания ESET проанализировала доступные сведения с конференции VB’2010, которая совсем недавно прошла в Ванкувере, и представила объедененный с Symantec материал.

Какова цель атаки Stuxnet? На этот вопрос никто не может ответить до сих пор, потому что, несмотря на все статистические индикаторы, не понятно, какой объект мог являться истинной целью злоумышленников, а, быть может, этих целей было несколько, или задачей было поразить как можно больше объектов использующих системы SCADA от Siemens. Обсуждая функциональные возможности Win32/Stuxnet, стоит учитывать следующие факторы:

  • Наличие функциональности, позволяющей ему отправлять интересующие злоумышленников параметры системы на удаленный сервер;
  • Возможность обновлять себя и расширять свою функциональность с удаленного сервера.

Учитывая эти факты, цели злоумышленников могли изменяться, как от каждой конкретной пораженной червем системы, так и в зависимости от временного периода развития атаки. Такие выводы сильно затрудняют поиск истинных мотивов создателей Win32/Stuxnet. Также стоит учесть, что внимание к себе этот червь привлек только в конце июня 2010. Но существует информация, указывающая на то, что эта атака уже имеет свое развитие на протяжении длительного времени (примерно около года). Например, специалистами Symantec был обнаружен экземпляр червя, датированный июнем 2009 года, причем по своим возможностям он более скромен.

Теперь давайте обратимся к статистическим данным. На сегодняшний день наиболее насыщенным регионом, с точки зрения числа инцидентов, являются азиатские страны. По нашим статистическим данным, распределение с начала обнаружения и до конца сентября выглядит следующим образом:


Статистика других антивирусных компаний также указывает на то, что Иран, является наиболее активной зоной. Стоит, конечно, учитывать, что все эти данные сделаны лишь на основе количества рабочих станций с установленным тем или иным антивирусным продуктом. Но, тем не менее, статистическая выборка сделана за достаточно длительный временной период, что снижает возможность ошибки.

На основе этих данных некоторые пытаются делать выводы о том, что Иран является основной целью вирусописателей. На самом деле, эти данные не говорят о целях ровным счетом ничего. Но по цифрам можно сделать предположение о том, что, возможно, первые экземпляры червя были активированы именно в Азии, а мошенники не могли контролировать число заражений. Дело в том, что в последней версии Win32/Stuxnet уже имеется в наличии функциональность позволяющая, контролировать количество заражений. Может быть, именно эта версия распространялась в других регионах, что позволило злоумышленникам начать контролировать его распространение.

Вредоносная программа Win32/Stuxnet реализована на высоком техническом уровне во многих случаях со знанием того, как обходятся современные защитные средства. Тщательно продуманная объектно-ориентированная архитектура, модульная система и большой объем кода, позволяет сделать выводы о том, что над этой разработкой работала целая группа профессионалов (примерно около 5-7 человек). В качестве основного механизма распространения применялась уязвимость нулевого дня MS10-046. Эта уязвимость в LNK/PIF файлах позволяющая выполнить произвольный код. Использовалась червем для распространения через внешние носители.

Также присутствовал второй эшелон из уязвимостей, который эксплуатировался при распространении уже внутри локального сетевого сегмента:

  • MS10-061 – уязвимость в сервисе Print Spooler, которая позволяет выполнить удаленно произвольный код;
  • MS08-067 – уязвимость в RPC, которая уже давно закрыта и использовалась для своего распространения червем Conficker. В данном случае, этот вектор распространения использовался как дополнительный;
  • (отсутствует Vendor-ID) уязвимость в win32k.sys, позволяющая повысить локальные привилегии на системах Win2000/WinXP. Использовалась червем при недостаточных привилегиях в процессе инсталляции.
  • (отсутствует Vendor-ID) уязвимость в Task Scheduler, позволяющая повысить локальные привилегии на системах Vista/Win7.

Еще одной интересной уязвимостью нулевого дня является CVE-2010-2772. На этот раз она была найдена в системах Siemens Simatic WinCC и PCS 7 SCADA. Заключается она в жестко прошитом пароле для доступа к базе данных Microsoft SQL из программы WinCC.

Учитывая все это, только стоимость технической реализации Win32/Stuxnet достигает суммы превышающей 500.000 Евро. Это очень большие вложения, и, учитывая тот факт, что прямой схемы монетизации данная вредоносная программа не имеет, вероятнее всего, злонамеренное ПО было создано какой-то влиятельной или правительственной организацией. Истинные мотивы и цели создания Win32/Stuxnet могут раскрыть только самим авторы этой атаки, но, судя по всему, их так никто и не поймает.

5 октября 2010 Г.

00:25

Ctrl
ПредыдущаяСледующая

Все новости за сегодня

Блок питания FSP FSP2000-A0AGPBI мощностью 2000 Вт имеет сертификат 80 Plus Platinum: Кабельная система FSP2000-A0AGPBI — полностью модульная10

Представлена системная плата Gigabyte X299 Aorus Gaming 7 Pro: Цену новинки производитель не называет7

Asus готовит ноутбук-трансформер TP370QL на платформе Snapdragon и под управлением Windows 10: Asus TP370QL получит 13-дюймовый дисплей6

В базе данных ЕЭК замечены камеры Canon EOS 2000D, 3000D, 4000D и M50: Выпуск камер Canon EOS 2000D, 3000D, 4000D и M50 можно ожидать в начале будущего года2

Смартфоны Google Pixel научились более точно прогнозировать время работы без подзарядки: Прогноз по времени работы вы найдете в соответствующем разделе настроек смартфона6

Цена грузовика Tesla Semi приятно удивила специалистов: В продажу Tesla Semi поступит в 2019 году62

Назван срок «ожидаемой доступности» объектива Sony FE 400mm F2.8 GM OSS: К сожалению, цена новинки пока остается неизвестной8

Обновление BIOS для системных плат ASUS подтвердило скорый выход процессоров Raven Ridge и Pinnacle Ridge: Выход этих процессоров ожидается не позднее февраля 2018 года3

Агроэлектрификация: в Германии представлен электрический трактор Fendt e100 Vario: Массовое производство Fendt e100 Vario начнется только через год57

Samsung Electronics создаст центр разработки искусственного интеллекта: Где будет расположен новый исследовательский центр — пока неизвестно24

Беззеркальная камера Leica CL оснащена электронным видоискателем и поддерживает запись видео 4K: Leica CL на родине оценена в 2500 евро12

В Бразилии цена iPhone X начинается с отметки $2170: Столь высокая цена в Бразилии, в частности, объясняется 60-процентным налогом на импортированные товары стоимостью до $3000 27

Экран смартфона Samsung Galaxy S9 будет занимать 90% лицевой панели: Автор слуха утверждает, что нижняя рамка дисплея смартфона практически полностью исчезнет71

Цены на оперативную память увеличатся на 10-15% в текущем квартале: Компании Nanya Technology и Winbond Electronics благодаря росту цен на оперативную памяти смогли попасть в пятерку лучших поставщиков DRAM13

Consumer Report поставила максимальные 100 баллов кухонным плитам Samsung: Обозреватели, в частности, выделили светодиодную систему виртуального пламени, которая имитирует горение газовой конфорки59

Работа камеры OnePlus 5T будет улучшена при помощи обновления ПО: К сожалению, сроки выпуска обновления пока не сообщаются3

Бюджетный смартфон Uhans i8 получил систему распознавания лиц пользователей: Цена Uhans I8 составляет 130 долларов2

Экшн-камера MGCool Explorer 3 будет поддерживать запись видео разрешением 4К при 30 к/с: При помощи специального чехла камера сможет выдерживать погружения на глубину до 30 м2

Eluga C — первый «полноэкранный» смартфон Panasonic: Над дисплеем находится только вырез громкоговорителя, а фронтальная камера переместилась на нижнюю панель7

Смартфон 360 N6 Pro может получить второй экран и два дактилоскопических датчика: Анонс новинки состоится 28 ноября4

Производитель называет Vernee Active лучшим защищенным смартфоном на рынке: Vernee Active оснащен аккумулятором емкостью 4200 мА•ч, разъемом USB-С, модулем NFC, поддерживается 18-ваттная быстрая зарядка6

997
1318

iXBT TV

  • Робот-гимнаст, неудачи Microsoft, переносы Apple, электрический трактор

  • Обзор проекционного документ-сканера Doko BS16

  • Обзор материнской платы Z370 Aorus Gaming 7 под процессоры Coffee Lake

  • Обзор аккумуляторной дрели-шуруповерта Bosch GSR 12V-15 FC Professional

  • Заводские экзоскелеты, обновление Firefox, слишком умные наушники

  • Репортаж с конференции Supercomputing 2017 (SC17), день 3: стенд группы компаний РСК

  • Репортаж с конференции Supercomputing 2017 (SC17), день 2: стенд Intel

  • Репортаж с конференции Supercomputing 2017 (SC17), день 1: рейтинг Top500

  • Обзор кинотеатрального DLP-проектора LG PF1000U со встроенным ТВ-тюнером

  • Камера Panasonic G9, унитазный робот, игровой смартфон, кепка для водителей

  • Обзор портативной беспроводной колонки Sven PS-460

  • Обзор напольного пылесоса Tefal Silence Force 4A TW6477 с одноразовыми мешками для сбора мусора

1212

Календарь

октябрь
Пн
Вт
Ср
Чт
Пт
Сб
Вс

Рекомендуем почитать