Duqu-Malware setzt auf Zero-Day-Lücke in Windows

Die Malware-Analysten beim Security-Unternehmen Symantec machen Fortschritte bei der Analyse des eventuellen Stuxnet-Nachfolgers "Duqu". Sie konnten jetzt herausfinden, wie der Schädling ausbreitet und auf welchem Weg es ihm gelingt, ein System zu infizieren. Wie das Unternehmen mitteilte, nutzt Duqu eine bisher unbekannte Zero-Day-Schwachstelle im Windows-Kernel und schleust über ein Microsoft Word-Dokument ausführbaren Code ein, um auf die Rechner in den Zielunternehmen zu gelangen. Damit habe man die bislang unbekannte Installationsroutine aufdecken können, hieß es.

Aber auch zum Verbreitungsweg können die Symantec-Analysten und ihre Partner vom Forschungslabor CrySys neue Erkenntnisse vorlegen: Duqu breitet sich demnach vor allem über das lokale Netzwerk aus und gelangt so auch an Systeme heran, die keinen direkten Zugang zum Internet haben. Diese befallenen Rechner werden dann Peer-to-Peer-Methoden durch Systeme, die eine Verbindung nach außen haben, mit Anweisungen vom Command- & Control (C&C)-Server versorgt. Außerdem fanden die Experten inzwischen eine zweite Duqu-Variante, die über einen weiteren C&C-Server kommuniziert.

Symantec und auch Kaspersky hatten Duqu als Ableitung des Stuxnet-Wurms beschrieben. Allerdings sind sich in dieser Frage nicht alle Experten einig, die an der Analyse arbeiten. So erklärte die SecureWorks-Sparte von Dell, dass beide Schädlinge zwar nach einem ähnlichen Prinzip aufgebaut sind. Dieses komme aber heute bei einer ganzen Reihe von Schädlingen in ähnlicher Form zum Einsatz.

Duqu dient hauptsächlich der Industriespionage. Die Angriffe, die mit der Malware bisher gefahren wurden, zielten jeweils auf konkrete Unternehmen ab. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat Unternehmen daher explizit aufgefordert, sich zu melden, wenn sie betroffen sind.