دوكو

دوكو عبارة عن مجموعة من البرامج الخبيثة الحاسوبية التي تم اكتشافها في 1 سبتمبر 2011، ويعتقد مختبر كاسبرسكي أنها مرتبطة بدودة ستوكسنت ^{[ 1 ]} وأنها من صنع الوحدة 8200. ^{[ 2 ] [ 3 ]} اكتشف مختبر التشفير وأمن الأنظمة ( مختبر CrySyS ) ^{[ 4 ]} التابع لجامعة بودابست للتكنولوجيا والاقتصاد في المجر هذا التهديد، وحلل البرنامج الخبيث، وكتب تقريرًا من 60 صفحة ^{[ 5 ]} أطلق فيه على التهديد اسم دوكو. ^{[ 6 ]} استمد دوكو اسمه من البادئة "~DQ" التي يضيفها إلى أسماء الملفات التي ينشئها. ^{[ 7 ]}

في أبريل 2011، أعلنت السلطات الإيرانية عن تعرض أجهزة الكمبيوتر هناك لهجوم إلكتروني ثانٍ في أعقاب هجوم ستوكسنت ، وأطلقت على هذا الهجوم الجديد اسم فيروس ستارز . ^{[ 8 ] [ 9 ]} ولم تُصدر إيران أي عينات من البرمجيات الخبيثة ليتمكن الباحثون الخارجيون من فحصها.

أثناء تحليل برمجية دوكو الخبيثة، توصل الباحثون إلى الاعتقاد بأن فيروس ستارز الذي اكتشفه متخصصون إيرانيون في مجال الحاسوب هو فيروس دوكو. كان برنامج تسجيل ضغطات المفاتيح الخاص بفيروس دوكو مُدمجًا في ملف JPEG . ولأن البرنامج استولى على معظم الملف ، لم يتبقَّ سوى جزء من الصورة. اتضح لاحقًا أنها صورة التقطها تلسكوب هابل تُظهر عنقودًا نجميًا، وهو أثر اصطدام مجرتين. خلص باحثو سيمانتك وكاسبرسكي وكريسيس إلى الاعتقاد بأن دوكو وستارز هما الفيروس نفسه. ^{[ 10 ] [ 11 ]}

يُستخدم مصطلح "دوكو" بطرق متنوعة:

• برنامج Duqu الخبيث عبارة عن مجموعة متنوعة من مكونات البرمجيات التي تُقدّم خدمات للمهاجمين. تشمل هذه الخدمات قدرات سرقة المعلومات، بالإضافة إلى برامج تشغيل النواة وأدوات الحقن التي تعمل في الخلفية. على الرغم من أن معظم البرنامج الخبيث مكتوب بلغة C++ ، إلا أن جزءًا من حمولة مكتبة الارتباط الديناميكي (DLL) الخاصة به مكتوب باستخدام إطار عمل C مخصص موجه للكائنات ، وتم تجميعه في Microsoft Visual Studio 2008. ^{[ 12 ] [ 13 ] [ 14 ]}
• ثغرة Duqu هي ثغرة في نظام التشغيل Microsoft Windows يتم استخدامها في الملفات الضارة لتنفيذ مكونات البرامج الضارة Duqu، وهي مشكلة متعلقة بخط TrueType في win32k.sys .
• عملية دوكو هي عملية استخدام دوكو فقط لأهداف غير معروفة. قد تكون هذه العملية مرتبطة بعملية ستوكسنت.

واصلت شركة سيمانتك ، استنادًا إلى تقرير فريق CrySyS بقيادة الدكتور تيبو غينش، تحليل التهديد، الذي وصفته بأنه "مطابق تقريبًا لـ Stuxnet، ولكن لغرض مختلف تمامًا"، ونشرت ورقة تقنية مفصلة عنه مع نسخة مختصرة من تقرير المختبر الأصلي كمُلحق. ^{[ 7 ] [ 15 ]} تعتقد سيمانتك أن Duqu قد تم إنشاؤه بواسطة نفس مؤلفي Stuxnet ، أو أن المؤلفين كان لديهم إمكانية الوصول إلى شفرة المصدر الخاصة بـ Stuxnet. وقد أُطلق على المنصة الأساسية التي بُني عليها كل من Stuxnet وDuqu اسم Tilde-d نظرًا لأن كليهما استخدم ملفات تبدأ بـ ~D. ^{[ 16 ]} يمتلك هذا الفيروس، مثل Stuxnet، توقيعًا رقميًا صالحًا، ولكنه مُستغل ، ويجمع معلومات للتحضير لهجمات مستقبلية. ^{[ 7 ] [ 17 ]}

صرح ميكو هيبونين ، كبير مسؤولي الأبحاث في شركة F-Secure ، بأن برنامج تشغيل نواة نظام Duqu، المسمى JMINET7.SYS ، كان شديد الشبه ببرنامج تشغيل Stuxnet، المسمى MRXCLS.SYS، لدرجة أن نظام F-Secure الخلفي اعتبره Stuxnet. وأضاف هيبونين أن المفتاح المستخدم لإنشاء التوقيع الرقمي الخاص بـ Duqu (والذي لوحظ في حالة واحدة فقط) سُرق من شركة C-Media ، ومقرها تايبيه، تايوان. وكان من المقرر أن تنتهي صلاحية الشهادات في 2 أغسطس 2012، ولكن تم إلغاؤها في 14 أكتوبر 2011، وفقًا لشركة Symantec. ^{[ 15 ]}

ويشير مصدر آخر، وهو Dell SecureWorks ، إلى أن Duqu قد لا يكون مرتبطًا بـ Stuxnet. ^{[ 18 ]} ومع ذلك، هناك أدلة كثيرة ومتزايدة على أن Duqu مرتبط ارتباطًا وثيقًا بـ Stuxnet.

قارن الخبراء أوجه التشابه ووجدوا ثلاث نقاط مثيرة للاهتمام:

• يستغل برنامج التثبيت ثغرات أمنية غير معروفة في نواة نظام التشغيل ويندوز.
• يتم توقيع المكونات باستخدام مفاتيح رقمية مسروقة.
• يُعد كل من Duqu وStuxnet من البرامج المستهدفة للغاية ويرتبطان بالبرنامج النووي الإيراني.

على غرار ستوكسنت ، يهاجم برنامج Duqu أنظمة مايكروسوفت ويندوز مستغلًا ثغرة أمنية غير معروفة . يستخدم أول ملف تثبيت معروف (يُعرف أيضًا باسم "البرنامج المُثبِّت")، والذي تم استعادته والكشف عنه بواسطة مختبر CrySyS، مستند مايكروسوفت وورد يستغل محرك تحليل خطوط TrueType الخاص بنظام التشغيل Win32k ، مما يسمح بتنفيذه. ^{[ 19 ]} يرتبط برنامج Duqu المُثبِّت بتضمين الخطوط، وبالتالي يرتبط بالحل البديل لتقييد الوصول إلى ملف T2EMBED.DLL ، وهو محرك تحليل خطوط TrueType، في حال عدم تثبيت التحديث الذي أصدرته مايكروسوفت في ديسمبر 2011. ^{[ 20 ]} مُعرِّف مايكروسوفت لهذا التهديد هو MS11-087 (صدر أول تنبيه في 13 نوفمبر 2011). ^{[ 21 ]}

يبحث برنامج Duqu عن معلومات قد تكون مفيدة في مهاجمة أنظمة التحكم الصناعية . ليس هدفه التخريب، بل تسعى مكوناته المعروفة إلى جمع المعلومات. ^{[ 22 ]} مع ذلك، ونظرًا لبنيته المعيارية، يمكن استخدام حمولة خاصة لمهاجمة أي نوع من أنظمة الحاسوب بأي وسيلة، ما يجعل الهجمات السيبرانية الفيزيائية القائمة على Duqu ممكنة. وقد وُجد أن استخدام أنظمة الحاسوب الشخصي يؤدي إلى حذف جميع المعلومات المُدخلة حديثًا على النظام، وفي بعض الحالات إلى حذف القرص الصلب للحاسوب بالكامل. وقد حللت شركة Symantec الاتصالات الداخلية لبرنامج Duqu، ^{[ 7 ]} لكن الطريقة الفعلية والدقيقة التي يتكاثر بها داخل الشبكة المُهاجمة لا تزال غير معروفة تمامًا.

بحسب شركة مكافي ، يتمثل أحد أساليب برنامج Duqu الخبيث في سرقة الشهادات الرقمية (ومفاتيحها الخاصة، كما هو مستخدم في التشفير بالمفتاح العام ) من أجهزة الكمبيوتر المُستهدفة، وذلك لمساعدة الفيروسات المستقبلية على الظهور كبرامج آمنة. ^{[ 23 ]} يستخدم Duqu ملف JPEG بحجم 54×54 بكسل وملفات وهمية مُشفّرة كحاويات لتهريب البيانات إلى مركز القيادة والتحكم الخاص به. لا يزال خبراء الأمن يحللون الشفرة لتحديد المعلومات التي تحتويها هذه الاتصالات. تشير الأبحاث الأولية إلى أن عينة البرنامج الخبيث الأصلية تُزيل نفسها تلقائيًا بعد 36 يومًا (يخزن البرنامج الخبيث هذا الإعداد في ملفات التكوين)، مما يحد من إمكانية اكتشافها. ^{[ 15 ]}

النقاط الرئيسية هي:

• الملفات التنفيذية التي تم تطويرها بعد Stuxnet باستخدام شفرة المصدر الخاصة بـ Stuxnet والتي تم اكتشافها.
• تم تصميم الملفات التنفيذية لالتقاط معلومات مثل ضغطات المفاتيح ومعلومات النظام.
• لا يُظهر التحليل الحالي أي شفرة برمجية متعلقة بأنظمة التحكم الصناعية، أو الثغرات الأمنية، أو التكرار الذاتي.
• تم العثور على الملفات التنفيذية في عدد محدود من المنظمات، بما في ذلك تلك التي تعمل في مجال تصنيع أنظمة التحكم الصناعية.
• قد تُستخدم البيانات المسربة لتمكين هجوم مستقبلي شبيه بهجوم ستوكسنت، أو ربما تم استخدامها بالفعل كأساس لهجوم ستوكسنت.

تم تحليل بعض خوادم التحكم والسيطرة الخاصة ببرنامج Duqu الخبيث. ويبدو أن منفذي الهجوم كانوا يفضلون خوادم CentOS 5.x، مما دفع بعض الباحثين للاعتقاد بوجود ثغرة أمنية غير معروفة (Zero-day exploit) [24]. وتنتشر هذه الخوادم في العديد من الدول، بما في ذلك ألمانيا وبلجيكا والفلبين والهند والصين . ^{وقد نشرت شركة} كاسبرسكي عدة مقالات على مدونتها حول خوادم التحكم والسيطرة . ^{[ 25 ]}