NSS Labs публикует исходники сканера, обнаруживающего драйверы червя Duqu

NSS Labs публикует исходники сканера, обнаруживающего драйверы червя Duqu

Специалисты по ИТ-безопасности из компании NSS Labs открыли исходные коды программного сканера, способного детектировать все известные версии драйверов, используемые новым опасным вредоносным кодом Duqu. Однако другие антивирусные вендоры сомневаются в эффективности данного шага, заявляя, что его можно обойти в любое время без значительных усилий. Согласно данным NSS Labs, ее сканер использует продвинутую систему распознавания и может стать базой для дальнейших инструментов, борющихся с Duqu.



Многие эксперты полагают, что вредоносный код Duqu близко связан с промышленным червем Stuxnet для саботажа промышленных объектов. Червь Stuxnet был изначально создан для атаки на иранские ядерные объекты, но в прошлом и первой половине текущего года активно распространился и на другие промышленные объекты по всему миру, передает cybersecurity.

На сегодня антивирусные компании установили, что существующие версии Duqu распространяются, используя уязвимость в ОС Windows, а само распространение червя производится через специально сконструированный файл в формате Word. На сегодня известно о двух модификациях Duqu. Костин Раию, директор по глобальным исследованиям "Лаборатории Касперского" говорит, что выпуск исходников инструмента обнаружения Duqu - это полезный шаг, но в виду новизны кода, эвристические правила сейчас слишком узки и эффективность инструмента может быть очень низкой. Также он отметил, что эвристические механизмы, обнаруживающие Duqu, также должны обнаруживать и Stuxnet из-за похожести двух кодов.

""Лаборатория Касперского" пока не предлагает утилиту для удаления Duqu ввиду сложности кода. Простого удаления здесь недостаточно. Каждый случай заражения может быть очень серьезным и мы рекомендуем обращаться пострадавшим напрямую к нам для проведения полного расследования", - говорит он.

Подобное мнение разделяет и Микко Хиппонен, директор по исследованиям антивирусной компании F-Secure. "Создатели Duqu - это профессионалы мирового класса. У них не будет проблем с уходом от обнаружения любого сканера, если это им потребуется", - уверен он.

Напомним, что ранее компания Symantec провела первый широкий анализ кода Duqu, заметив, что данный вредоносный код предназначен для атаки промышленных объектов, причем за написанием Duqu и нашумевшего червя Stuxnet, скорее всего, стоят одни и те же люди. В то же время, в подразделении Dell SecureWorks говорят, что также провели анализ работы Duqu и полагают, что коды Stuxnet и Duqu имеют мало что общего, более того, за реальным написанием последнего могут стоять совершенно другие люди, которые, впрочем, также ориентированы на получение промышленных данных. В компании Dell говорят, что Duqu представляет собой вредонос, состоящий из двух частей, созданных по аналогии с тем, как работают многие руткиты. При попадании в систему он пытается подгрузить набор зашифрованных DLL-файлов, которые работают как драйвер уровня ядра. Для установки в систему драйверы используют краденные сертификаты тайваньской компании JMicron.

После полного развертывания в системе, Duqu уже не использует каких-либо уязвимостей и просто работает как системный компонент. Опасность заключается в том, что антивирусные компании пока не могут вычислить основную цель Duqu и типы атакуемого оборудования. В случае со Stuxnet было понятно, что червь атакует оборудование Siemens на атомных станциях в Иране, США, России и Израиле.

"Базовые цели Duqu и его происхождение пока остаются загадкой, странно также и то, что он зачастую используется в массовых рассылках, хотя предназначен для таргетированных атак", - говорят в Dell SecureWorks.

Ранее "Лаборатория Касперского" опубликовала данные, согласно которым первые следы Duqu были обнаружены в Венгрии в начале октября. Позже появились данные, что Duqu в первую очередь начал атаковать промышленные объекты в Судане и Иране, хотя антивирусная компания заявляет, что это еще не говорит об ориентированности Duqu именно на эти страны.

Recall в Windows 11 может записывать пароли и банковские данные

Переход на Windows 11 долго считался вопросом времени. Рано или поздно, дескать, всё равно придётся. Однако теперь специалисты по защите данных всё чаще говорят обратное: если вам важна конфиденциальность, с обновлением лучше повременить.

Поводом для тревоги стала ИИ-функция Recall, о которой пишет PCWorld. Она способна автоматически сохранять скриншоты экрана и, по мнению экспертов, может фиксировать важные данные: пароли, банковскую информацию, медицинские сведения и другую информацию.

Организация Centre for Digital Rights and Democracy прямо рекомендует пользователям, работающим с конфиденциальными данными, избегать Windows 11 вообще. Причина простая: даже если Recall отключён, он остаётся частью операционной системы.

Microsoft утверждает, что функция доступна только на Copilot+ PC, но, как отмечают эксперты, Recall обнаружен на всех компьютерах с Windows 11 версии 24H2. А значит, теоретически его можно активировать через обновления и без согласия пользователя.

Пока Recall встроен в систему, он рассматривается как потенциальный риск, а постоянная запись экранного контента, по мнению правозащитников, может даже нарушать требования GDPR.

Специалисты по защите данных выделяют несколько сценариев — с разной степенью риска:

  • Остаться на Windows 10, пока она получает патчи.
    Самый надёжный вариант, но только до октября 2026 года, когда закончится программа расширенной поддержки.
  • Перейти на Windows 11 и отключить Recall.
    Частично снижает риски, но не решает проблему полностью: функция остаётся в системе.
  • Перейти на Windows 11 и довериться Microsoft.
    Эксперты оценивают этот вариант как наименее безопасный — политика компании может измениться в любой момент.

С учётом того, что у Windows 10 есть чёткая дата окончания поддержки, правозащитники всё чаще советуют заранее рассматривать альтернативы, в первую очередь — Linux, как более прозрачную и контролируемую платформу.

«Ситуация вокруг Windows 11 наглядно показывает, к каким последствиям может привести поспешное внедрение новых технологий. Стремясь как можно быстрее вывести на рынок ИИ-функции, Microsoft сталкивается с серьёзными вопросами безопасности. Для коммерческих организаций — особенно в финансовом секторе, государственных структурах и на объектах критической информационной инфраструктуры — такие риски недопустимы.

Операционная система Astra Linux изначально разрабатывалась с фокусом на защиту корпоративных данных: безопасность здесь не дополнительная надстройка, а базовый элемент архитектуры. В платформе реализованы развитые механизмы защиты, включая мандатный контроль целостности (МКЦ), который обеспечивает комплексный подход — предотвращает несанкционированный доступ к данным, контролирует целостность системных файлов и блокирует их модификацию, разграничивает доступ на уровне процессов и надёжно защищает от утечек информации.

Эти механизмы проверены временем и позволяют нашим заказчикам быть уверенными в сохранности критически важной информации», — прокомментировал Роман Мылицын, руководитель отдела перспективных исследований «Группы Астра».

RSS: Новости на портале Anti-Malware.ru