Вирус Duqu мог поразить системы Ирана еще в марте

По информации исследователей «Лаборатории Касперского», создатели вируса Duqu, поразившего промышленные объекты, по крайней мере, в восьми странах мира, для каждой отдельной атаки разрабатывали различные файлы, содержащие эксплоиты, а также использовали различные командные сервера.

Некоторые эксперты полагают, что первая кибер-атака с использованием червя Duqu произошла еще в первом квартале 2011 года. В то время представители ядерной промышленности Ирана заявили об обнаружении на своих системах очередного червя Stars. Иранским экспертам удалось локализовать и уничтожить угрозу, и они не предоставили производителям антивирусов никакой информации об этом инциденте.

По мнению сотрудника ЛК Александра Гостева, в случае, если бы власти Ирана предоставили антивирусным компаниям информацию о своей находке, возможно, удалось бы избежать заражения большого количества систем и истории с Duqu в целом. Отметим, что доказательства связи между обнаруженным иранскими IT-специалистами весной этого года вирусом Stars и Duqu, который считается наследником Stuxnet – отсутствуют. Более того, ряд иранских СМИ уже опроверг данную информацию и заявляет, что все подобные заявления являются домыслами на фоне отсутствия фактов.

Специалисты ЛК рассказали о случае заражения иранского предприятия в начале весны этого года. При попытке инфицирования пользователь целевой системы получил два электронных сообщения (одно из них застряло в спам-фильтре), содержащие файл с эксплоитом для известной на тот день уязвимости. Письмо отправлялось с компьютера, расположенного в Южной Корее. Считается, что хозяин системы, с которой отправлялось сообщение, не знал о деятельности злоумышленников, скомпрометировавших его систему и использовавших ее как прокси.

Кибермошенники использовали интересный способ заражения целевой системы. При открытии содержащего эксплоит файла, вредоносный код выгружался в память системы и выполнялся только после прекращения работы с компьютером. При этом содержащий эксплоит файл и почтовый клиент могли быть закрытыми.

Более подробно ознакомиться с публикацией «Лаборатории Касперского» можно здесь.