Червь Win32/Stuxnet был обнаружен специалистами ESET в начале июля 2010 года. В отличие от большинства вредоносных программ, которые ежедневно появляются в сети Интернет и нацелены на широкий спектр компьютеров, Win32/Stuxnet рассчитан на узкий круг корпоративных систем. Задача данного червя состоит во внедрении вредоносного функционала в промышленные информационные системы класса SCADA.

«Мы впервые столкнулись со столь хорошо спроектированной и продуманной до мелочей вредоносной программой, – говорит Александр Матросов, руководитель Центра вирусных исследований и аналитики российского представительства ESET. – Каждый нюанс работы Win32/Stuxnet преследует определенную цель. Червь располагает механизмами контроля количества заражений и самоликвидации. Атаки с использованием столь сложного ПО готовятся очень длительное время. Без всякого сомнения, Win32/Stuxnet имеет целевую направленность».

Win32/Stuxnet разработан группой высококвалифицированных специалистов, которые хорошо ориентируются в слабых местах современных средств информационной безопасности. Червь сделан таким образом, чтобы оставаться незамеченным как можно дольше. В качестве механизмов распространения вредоносная программа использует несколько серьезных уязвимостей с возможностью удаленного выполнения кода, некоторые из которых остаются незакрытыми и сегодня. Стоимость таких уязвимостей на черным рынке может достигать 10 тысяч евро за каждую. А цена уязвимости в обработке LNK/PIF-файлов (MS10-046), позволяющей червю распространяться через внешние носители, еще выше.

Интересна география распространения Win32/Stuxnet. По состоянию на конец сентября наибольшая доля заражений (52,2%) приходится на Иран. Далее с большим отрывом следуют Индонезия (17,4%) и Индия (11,3%).

«Несмотря на большое количество заражений в Иране, мы не можем делать однозначных выводов о том, что целью злоумышленников была Бушерская АЭС, – говорит Александр Матросов, руководитель Центра вирусных исследований и аналитики российского представительства ESET. – С технической точки зрения мы можем утверждать лишь то, что стоимость этой атаки очень велика, а для обычных киберпреступников не видно мотивов ее осуществления. Вполне вероятно, что за атакой может стоять какая-нибудь влиятельная организация».

Некоторые компоненты Win32/Stuxnet были подписаны легальными цифровыми сертификатами компаний JMicron и Realtek. В результате, вплоть до отзыва сертификатов вредоносное ПО было способно обходить большое количество реализаций технологии защиты от внешних воздействий HIPS (Host Intrusion Prevention System).

«Одной из главных трудностей в процессе анализа стал большой объем кода, – говорит Евгений Родионов, старший специалист по анализу сложных угроз российского представительства ESET. – Только изучив устройство каждого из многочисленных компонентов червя, складывается целостная картина и понимание его возможностей. Наиболее интересной частью работы стало обнаружение незакрытых Microsoft уязвимостей, которые использовались червем в процессе заражения для локального повышения привилегий».

Отчет «Stuxnet Under the Microscope» подготовлен совместными усилиями специалистов из штаб-квартиры ESET в Сан-Диего, вирусной лаборатории в Братиславе и Центра вирусных исследований и аналитики российского представительства ESET. Русскоязычная версия отчета будет опубликована в октябре.

Комментарии: (0)   Рейтинг: