- Date : 05 Janvier 2012

- Gravité : Moyenne

- Description :

Les recherches autour de Stuxnet et de Duqu n’en finissent plus.

Cette semaine, Kaspersky revient encore sur le sujet pour présenter les nouvelles découvertes de ses analystes. Entre autres, les deux cyber-armes de pointe auraient été développées à partir d’une plateforme de développement unique baptisée "Tilded", à cause du penchant pour les auteurs de nommer nombre de fichiers déposés sur les postes compromis en débutant par les deux caractères " D". Mais cette plateforme serait toujours d’actualité, puisqu’au moins 3 autres codes d’exploitation non liés aux précédents auraient aussi été développés à partir de celle-ci.

Cependant, comme le rappelle le chercheur Don Jackson (Dell Secureworks), le fait que les différents malwares soient issus du même kit de développement ne signifie pas que leurs auteurs ne forment qu’une seule et même équipe. Cette dernière information vient cependant appuyer l’hypothèse de plusieurs autres chercheurs selon laquelle plusieurs équipes autonomes, chacune responsable du développement d’un seul module, auraient été mises à contribution dans le développement des deux virus.

Autre découverte troublante : le langage utilisé pour développer le serveur de C2 (Command & Control). Celui-ci serait en effet inconnu au jour d’aujourd’hui...

Enfin, une dernière interrogation subsiste, relative à la méthode utilisée par les pirates pour prendre le contrôle des serveurs de C2 compromis. En effet, celle-ci est toujours inconnue alors même que les analystes de Kaspersky ont pu travailler sur des images disque de certains serveurs utilisés par les pirates dans le cadre de l’attaque Duqu...

- Référence :

https://www.securelist.com/en/blog/208193304/The_Mystery_of_Duqu_Part_Seven_Back_to_Stuxnet

https://www.securelist.com/en/analysis/204792208/Stuxnet_Duqu_The_Evolution_of_Drivers

http://www.darkreading.com/advanced-threats/167901091/security/attacks-breaches/232301225/same-toolkit-spawned-stuxnet-duqu-and-other-campaigns.html

http://si-vis.blogspot.com/2012/01/stuxnet-duqu-evidences-et-mysteres.html

- Lien extranet XMCO :

https://cert.xmco.fr/veille/client/index.xmco?nv=CXA-2012-0012