マカフィー、新発見のマルウェア「Duqu」を解説

2011.10.25 13:13配信

マカフィーは、Stuxnetによく似たソースコードをもった新発見のマルウェア「Duqu」(デュークー)について、自社ブログで解説している。同社は、DuquがStuxnetの作成者、あるいは密接に関係する人間によるものと確認し、調査を続けている。

StuxnetとDuquとの大きな違いは、Stuxnetが主に産業用システムを狙ったものであるのに対し、Duquは標的型攻撃の一種であること。これまでの調査によれば、Duquのコードの攻撃対象は、これまではごくわずかなサイトに限られている。Duquのコードには、StuxnetのようなPLC機能こそ搭載していないものの、代わりに原型のStuxnetに似た機能をもつドライバや暗号化されたDLLをインストールする。

また、実行可能な日数があらかじめ決まっており、それ以降は実行しないこと、暗号化された拡張構成ファイルで制御されていること、通信先はインドにあるコマンドサーバーで、該当するIPアドレスはすでにISPのブラックリストに記載されていて機能していない、といった事実が明らかになっている。

一方で、Duquは標的に新しいコードをインストールするリモートコントロール機能を備え、なたプロセス実行やウィンドウメッセージなど、システムのあらゆるアクションを監視するキーロガーを含んでいる。さらに、キーロガーコンポーネントには、ユーザーモードルートキットを用いてファイルを隠す機能をもっている。

いま人気の動画

     

人気記事ランキング