Nakikita ni Eset ang Ikalawang Pagkakaiba ng Stuxnet Worm

Natuklasan ng mga mananaliksik sa Eset ang pangalawang variant ng Stuxnet worm na gumagamit ng kamakailang isiwalat na kahinaan ng Windows upang salakayin ang mga pang-industriya ng Siemens.

Ang ikalawang variant, na tinatawag ng Eset na "jmidebs.sys," ay maaaring kumalat sa pamamagitan ng USB drive, ang paggamit ng isang hindi maayos na depekto sa Windows na may kasamang malisyosong shortcut file sa extension na ".lnk".

Tulad ng orihinal na Stuxnet worm, ang pangalawang variant ay nilagdaan din ng isang sertipiko, na ginagamit upang i-verify ang integridad ng isang application kapag na-install. Ang sertipiko ay binili mula sa VeriSign ng JMicron Technology Corp., isang kumpanya na nakabase sa Taiwan, ay sumulat ng Pierre-Marc Bureau, isang senior researcher sa Eset, sa isang blog.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

Ang unang sertipiko ng Stuxnet worm ay nagmula sa Realtek Semiconductor Corp, bagaman binawi na ngayon ni VeriSign, sinabi ni David Harley, ang senior research fellow ni Eset. Sa kagila-gilalas, ang parehong mga kumpanya ay nakalista upang magkaroon ng mga tanggapan sa parehong lugar, ang Hsinchu Science Park sa Taiwan.

"Bihira naming makita ang ganitong mga propesyonal na operasyon," ayon sa Bureau. "Nakuha nila ang mga sertipiko mula sa hindi bababa sa dalawang mga kumpanya o binili ang mga ito mula sa isang tao na nakaagaw sa kanila. Sa puntong ito, hindi malinaw kung ang mga attacker ay nagbabago ng kanilang sertipiko dahil ang unang isa ay nailantad o kung gumagamit sila ng iba't ibang mga sertipiko sa ibang mga pag-atake, ngunit ito ay nagpapakita na mayroon silang makabuluhang mga mapagkukunan. "

Kahit Eset analysts pa rin ang pag-aaral sa ikalawang variant, ito ay malapit na nauugnay sa Stuxnet, sinabi Harley. Maaari din itong idisenyo upang masubaybayan ang aktibidad sa Siemens Control ng Suportadong Suporta at data acquisition (SCADA), na ginagamit upang pamahalaan ang pang-industriya na makina na ginagamit para sa pagmamanupaktura at halaman ng kuryente. Ang code para sa ikalawang variant ay pinagsama noong Hulyo 14, sinabi ni Harley.

Habang lumilitaw ang sopistikadong code para sa pangalawang variant, ang paraan na ito ay inilabas ay marahil ay hindi perpekto. Ang paglalabas ng worm sa halip na isang Troyano ay mas malamang na ang mga mananaliksik ng seguridad ay makakakita ng isang sample ng ito nang mas maaga kung kumalat ito nang mabilis, na nagpapahina sa pagiging epektibo nito, sinabi ni Harley.

"Iyon ay tumutukoy sa akin na marahil kung ano ang hinahanap natin sa ay isang tao sa labas ng larangan ng malware na hindi nauunawaan ang mga implikasyon, "sabi ni Harley. "Kung sila ay nagbabalak na itago ang kanilang interes sa mga pag-install ng SCADA, maliwanag na hindi sila nagtagumpay."

Ang Stuxnet ay pinaniniwalaan na ang unang piraso ng malware na nagta-target sa Siemens SCADA. Kung ang worm ay nakakahanap ng isang Siemens SCADA system, gumagamit ito ng isang default na password upang makakuha ng loob sa system at pagkatapos ay kopyahin ang mga file ng proyekto sa isang panlabas na Web site.

Siemens ay nagpapayo na ang mga customer nito ay hindi baguhin ang password dahil maaaring makagambala sa system. Ang Siemens ay nagpaplano na maglunsad ng isang Web site na tumutugon sa isyu at kung paano aalisin ang malware.

Nagbigay ang Microsoft ng isang advisory na may isang workaround para sa kahinaan hanggang sa isang patch ay handa na. Ang lahat ng mga bersyon ng Windows ay mahina.

Magpadala ng mga tip sa balita at komento sa [email protected]