Sicherheit
Duqu und die mysteriöse Programmiersprache
von
Thorsten
Eggeling - 24.03.2012
Woher der Trojaner Duqu stammt, ist immer noch nicht geklärt. Eine Analyse des Programm-Codes liefert aber weitere Indizien für die Herkunft. Zudem ist eine neue Variante des Trojaners aufgetaucht.
Bei der genauen Untersuchung des Duqu-Trojaners hatte Kaspersky Labs Bestandteile entdeckt, bei denen die verwendete Programmiersprache zunächst nicht zu identifizieren war. Der größte Teil des Trojaners ist in C++ geschrieben und wurde mit Microsoft Visual Studio 2008 erstellt. Eine kleinere Komponente, die für die Kommunikation mit dem Command-and-Control-Server (C&C) des Trojaners zuständig ist (Payload DLL), wurde jedoch in einer bisher unbekannten Programmiersprache verfasst. Kaspersky Labs hat diesen unbekannten Bereich als „Duqu Framework“ bezeichnet. Kaspersky Labs hatte Anfang März 2012 Entwickler weltweit aufgerufen, bei der Identifizierung der verwendeten Programmiersprache mitzuhelfen.
Mit Hilfe der Informationen aus der Programmierer-Community konnten die Experten von Kaspersky Lab nun mit ziemlicher Sicherheit herausfinden, dass das Duqu-Framework in der Programmiersprache „C“ mit einer speziell angepassten objektorientierten Erweiterung (OO C) geschrieben wurde. Warum die Entwickler von Duqu OO C statt C++ wählten, dafür haben die Sicherheitsexperten zwei mögliche Erklärungen:
- Die Duqu-Programmierer vertrauen C++-Compilern nicht, weil ihnen die Speicherverwaltung und andere Sprachfunktionen zu instabil erscheinen. Das deutet auf Programmierer „alter Schule“ hin, die eher mit Assembler und C etwas anfangen können als mit C++.
- Zum anderen könnte der Grund darin liegen, dass vor etwa 10 bis 12 Jahren C++ noch kaum standardisiert und daher nicht mit jedem Compiler kompatibel war. C ermöglicht hingegen eine sehr hohe Übertragbarkeit auf alle existierenden Plattformen.
Nach diesen Analysen gehen die Sicherheitsexperten davon aus, dass es sich höchstwahrscheinlich um Entwickler handelt, die ihr Handwerk bereits vor etlichen Jahren erlernt haben. Der Aufwand bei der Programmierung und die Verwendung nicht standardmäßiger Werkzeuge deuten auf Entwickler hin, denen viel Geld und Personal zur Verfügung steht. Laut Igor Soumenkov, dem Malware-Experten von Kaspersky Lab, werden diese Technologien normalerweise von elitären Software-Entwicklern eingesetzt und sind fast nie in aktuell verbreiteter Malware zu finden.
Neue Duqu-Variante im Umlauf
Offenbar wird weiter an der Entwicklung von Duqu gearbeitet. Symantec hat vor kurzem eine Variante des Duqu-Trojaners entdeckt, die am 23. Februar 2012 erstellt wurde. Diese enthält unter anderem neue Verschlüsselungs-Funktionen. Damit will sich der Trojaner offenbar besser vor Schutzsoftware wie dem von Crysis erstellten Duqu Detector verstecken.
