Duqu - Revision history

Eric.freyssinet: Text replacement - "=Unknown" to "="

2015-08-08T13:45:49Z

Text replacement - "=Unknown" to "="

← Older revision		Revision as of 13:45, 8 August 2015
Line 15:		Line 15:
	Certains serveurs de commande ont pu être analysés par Kaspersky. Malheureusement ils semblent avoir été nettoyés le '''20 octobre 2011'''. Ils étaient toujours équipés du systèmes d'exploitation Linux CentOS 5.2, 5.4, 5.5, semblant indiquer la maîtrise d'une vulnérabilité 0-day qui pourrait concerner la version 4.3 d'OpenSSH sur cet OS. Leur contrôle remonterait jusqu'à novembre 2009, reculant encore la date du début de l'attaque. Les découvertes de Kaspersky confirment qu'ils servaient de proxy.		Certains serveurs de commande ont pu être analysés par Kaspersky. Malheureusement ils semblent avoir été nettoyés le '''20 octobre 2011'''. Ils étaient toujours équipés du systèmes d'exploitation Linux CentOS 5.2, 5.4, 5.5, semblant indiquer la maîtrise d'une vulnérabilité 0-day qui pourrait concerner la version 4.3 d'OpenSSH sur cet OS. Leur contrôle remonterait jusqu'à novembre 2009, reculant encore la date du début de l'attaque. Les découvertes de Kaspersky confirment qu'ils servaient de proxy.
	\|Commercialisation=		\|Commercialisation=
	\|UserAgent=~~Unknown~~		\|UserAgent=
	\|UserAgent2=		\|UserAgent2=
	\|UserAgent3=		\|UserAgent3=
Line 30:		Line 30:
	\|OS3=		\|OS3=
	\|OS4=		\|OS4=
	\|Status=~~Unknown~~		\|Status=
	\|BeginYear=2009		\|BeginYear=2009
	\|EndYear=~~Unknown~~		\|EndYear=
	\|Group=Spying		\|Group=Spying
	\|Groupe2=		\|Groupe2=

Eric.freyssinet: 1 revision imported

2015-02-04T22:02:33Z

1 revision imported

← Older revision		Revision as of 22:02, 4 February 2015
(No difference)

Eric.freyssinet at 07:44, 27 August 2014

2014-08-27T07:44:16Z

New page

{{Botnet
|Introduction=Le nom de ce botnet provient de celui de fichiers créés par un des composants malveillants qui sont à la base de fonctionnements, celui chargé de collecter des données personnelles (ou ''infostealer''). Certains fichiers créés sont de la forme '~DQx.tmp'. L'analyse du comportement du logiciel malveillant utilisé (voir [[Duqu (bot)]]) conduit les spécialistes à estimer que Duqu est exclusivement utilisé pour réaliser des [[attaques ciblée|attaques ciblées]].

Symantec affirme qu'il s'agirait d'obtenir des informations nécessaires à de futures attaques contre des infrastructures industrielles. Toujours selon cette société, les premières attaques liées à Duqu auraient pu avoir lieu aussi tôt que novembre 2010, si l'on en croit les dates de compilation de certains fichiers découverts.
|Fonctionnalités=
|Illustrations=
|Commandes=L'échange d'informations est réalisé par l'envoi ou la réception de fichiers qui semblent être des fichiers .JPG, auxquels ont été associés des données chiffrées. Une forme de stéganographie donc.
|Infrastructure=Il semblerait que chaque système de commande et de contrôle soit dédié à une victime (ou à un nombre restreint de victimes). Les serveurs observés étaient au Vietnam, en Inde, en Allemagne, à Singapour, en Suisse, au Royaume-Uni, aux Pays-Bas, en Belgique et en Corée du Sud.

Plus spécifiquement, '''les systèmes de commande observés étaient certainement des proxys (sur les ports 80 et 443)''' qui relayaient les connexions des bots vers le système de commande réel.

En outre, les machines qui sont infectées via les réseaux locaux (l'infection se propage via les partages réseau, à l'initiative du système de commande), communiquent en pair à pair avec la première machine contaminée qui sert ainsi de relais avec l'extérieur. Les protocoles utilisés sont alors HTTP ou IPC (Inter process communication) par dessus SMB (Server message block).

Certains serveurs de commande ont pu être analysés par Kaspersky. Malheureusement ils semblent avoir été nettoyés le '''20 octobre 2011'''. Ils étaient toujours équipés du systèmes d'exploitation Linux CentOS 5.2, 5.4, 5.5, semblant indiquer la maîtrise d'une vulnérabilité 0-day qui pourrait concerner la version 4.3 d'OpenSSH sur cet OS. Leur contrôle remonterait jusqu'à novembre 2009, reculant encore la date du début de l'attaque. Les découvertes de Kaspersky confirment qu'ils servaient de proxy.
|Commercialisation=
|UserAgent=Unknown
|UserAgent2=
|UserAgent3=
|UserAgent4=
|Language1=
|Language2=
|Language3=
|Language4=
|CCProtocol=HTTP
|CC2=HTTPS
|CC3=SMB named pipes
|Target=Microsoft Windows
|OS2=
|OS3=
|OS4=
|Status=Unknown
|BeginYear=2009
|EndYear=Unknown
|Group=Spying
|Groupe2=
|Alias=
|Vendor1=
|Alias=
|Vendor2=
|Alias=
|Vendor3=
|Alias=
|Vendor4=
|Alias=
|Vendor5=
|Alias=
|Vendor6=
|Alias=
|Vendor7=
|Alias=
|Vendor8=
|Alias=
|Vendor9=
|Alias=
|Vendor10=
|Vector=
|Exploitkit2=
|Exploitkit3=
|Exploitkit4=
|Exploitkit5=
|Victime1=Autorités de certification
|Victime2=Entreprises au Soudan, en Iran
|Victime3=
|Yara rules=
|Victime4=
}}