A Duqu trójai ellen nincs csodaszer

Az NSS Labs kutatói a múlt héten számoltak be arról az ellenőrzőeszközükről, amelyet kifejezetten a Duqu trójai felismeréséhez alakítottak ki. A szakemberek hangsúlyozták, hogy a fejlesztés során nagy segítségükre voltak azok az információk, melyeket a budapesti CrySyS munkatársai tettek elérhetővé.

Az NSS Labs szerint a python alapú megoldásuk képes a Duqu jelenlegi variánsai által használt összes driver felismerésére. "Ezt az eszközt abban a reményben fejlesztettük ki, hogy további érdekességeket fedeztünk fel, és ezáltal még jobban megismerhetjük a Duqu funkcionalitását, jellemzőit" - vélekedtek a fejlesztők az amúgy nyílt forráskódú megoldásukról. Az eszközben rejlő lehetőségeket nyilvánvalóan célszerű kihasználni, ugyanakkor egyre több biztonsági szakértő hívja fel a figyelmet arra, hogy az NSS Labs kódja hamis biztonságérzetet kelthet.

"Ez egy valóban hasznos eszköz, de úgy gondolom, hogy a heurisztikus képességei meglehetősen korlátozottak" - mondta Costin Raiu, a Kaspersky Lab kutatási igazgatója. A szakember szerint ahhoz, hogy a Duqu megbízhatóan legyen felismerhető, olyan heurisztikára is szükség van, amely képes kimutatni a Stuxnet jelenlétét, ugyanis a két károkozó között nagyon sok a hasonlóság. Raiu úgy véli, hogy ennek a követelménynek az NSS Labs eszköze nem felel meg maradéktalanul.

A Kaspersky Lab - sok más biztonsági vállalathoz hasonlóan - eddig nem adott ki olyan eszközt, amely kifejezetten a Duqu elleni küzdelmet segítené. Ezt a cég azzal indokolja, hogy a trójai olyan komplexitású, hogy egyetlen egyszerű eszközzel nem lehet hatékonyan fellépni ellene. Ehelyett teljes körű forensic vizsgálatok elvégzését javasolja, amik során azok a kiegészítő összetevők is kimutathatóvá válhatnak, melyeket a Duqu telepít, illetve hagy hátra. Raiu arra is felhívta a figyelmet, hogy az NSS Labs megoldását - különösen mivel az nyílt forráskódú - a Duqu készítői a jövőben könnyedén kijátszhatják.

Mikko Hypponen, az F-Secure kutatási vezetője is óvatosságra intett: "A Duqu készítői profik, és nem fog számukra problémát jelenteni a védelmi megoldások megkerülése, legyen szó bármilyen ellenőrzőeszközről".

A Duqu egy Windows kernelben lévő sérülékenységet igyekszik kihasználni, amelyhez egyelőre nem érhető el hibajavítás, de a Microsoft már tett javaslatokat a kockázatok csökkentése érdekében.