Kaspersky: „Duqu ist ein Meisterstück“ – Programmiersprache hinter dem Schädling identifiziert

Duqu: Strukturvergleich mit Stuxnet (Foto: Kaspersky)

Moskau (pte001/20.03.2012/06:00) – Sicherheitssoftware-Hersteller Kaspersky Labs http://kaspersky.com hat gestern, Montag, im Rahmen einer Onlinekonferenz neue Erkenntnisse zum Duqu-Wurm präsentiert. Nach langem Rätseln war es den Experten nach Hinweisen aus der Community gelungen, die Programmiersprache zu identifizieren, in der die Malware verfasst wurde. Vitaly Kamluk, Chief Malware Experte, bezeichnete den Schädling dabei als einzigartiges „Meisterstück“.Eine Basis, zwei Familien

Sehr früh konnten die russischen Fachleute starke, strukturelle Ähnlichkeiten zwischen Duqu und dem Industriespionagetool Stuxnet feststellen. Trotzdem erwies es sich als schwierig, den Schädling weiter zu zerpflücken, denn trotz des ähnlichen Aufbaus finden sich im Code selbst laut Kamluk „bedeutende Unterschiede“. Beide scheinen zwar auf dem gleichen, hochspezialisierten Framework zu basieren, werden aber unterschiedlichen Schädlingsfamilien zugerechnet.

Die technische Basis ist aber ein Hinweis darauf, dass beide von den selben Erfindern stammen könnten. Der Kaspersky-Experte geht davon aus, dass es sich um ein großes, organisiertes Team mit mehreren Profi-Entwicklern handelt, die verschiedene, schwierige Techniken beherrschen und implementieren können.

Erfolgreicher Aufruf an die Community

Damit handelt es sich um ein Kaliber fernab des durchschnittlichen Cyberkriminellen, der seine Schadsoftware mit Baukästen nach dem Rapid-Developement-Verfahren zusammenstellt. Konkrete Hinweise auf die geografische Herkunft der Hersteller gibt es jedoch kaum. „Die Entwickler haben sich um sprachneutrale Gestaltung des Codes bemüht“, so der Sicherheitsprofi.

Duqu basiert auf einem eigens gebauten Framework und einer um Objektorientierungs-Kapazitäten erweiterten Variante der Programmiersprache C. Letzteres konnte Kaspersky erst nach Hinweisen aus der Community entschlüsseln, um welche das Unternehmen zuvor gebeten hatte. Kompiliert wurde das Framework mit Microsofts Visual C 2008. Der Vorteil der Vorgangsweise liegt dabei laut Kamluk auf der Hand. „Hat man einmal ein solches Gerüst entwickelt, kann man es immer wieder verwenden“, erläutert Kamluk, für den sich der Schädling deutlich von üblicher Schadsoftware abhebt.

Prophylaxe: User in der Pflicht

Die selbst angepasste Progammiersprache sorgt dabei nicht nur für technische Spezialisierungsmöglichkeiten, sondern erschwert auch die Nachvollziehbarkeit. Gerade dies war das Ziel der Nachforschungen von Kaspersky. Laut dem Malwareforscher geht es dem Security-Team darum, „zu verstehen, wer hinter Duqu steckt und welche Ziele die Erschaffer verfolgen“. Man rechnet in Zukunft mit vermehrtem Auftreten hoch spezialisierter Bedrohungen.

Um diesen Gefahren in Zukunft besser begegnen zu können, muss auch der Anwender in die Pflicht genommen werden. So betont Kamluk, dass User etwa seltsame und unbekannte E-Mail-Attachements unter keinen Umständen öffnen, sondern an Sicherheitsexperten in ihrem Unternehmen oder direkt an die Hersteller von Antivirensoftware weiterleiten sollten. „Auch wenn es jeden Tag viele Mio. von Empfängern von derartigen Nachrichten gibt, so besteht doch die Chance, dass man einen Beitrag zur Entdeckung einer neuen Bedrohung leistet“, so der Experte abschließend.