Eset ontdekt tweede variatie van Stuxnet-worm

Onderzoekers van Eset hebben een tweede variant van de Stuxnet-worm ontdekt die een recentelijk beschreven kwetsbaarheid van Windows gebruikt om industriële Siemens-machines aan te vallen.

De tweede variant, die Eset "jmidebs.sys" noemt, kan zich verspreiden via USB-stations, misbruik van een niet-gepatched probleem in Windows waarbij een kwaadaardig snelkoppelingsbestand met de extensie ".lnk" is betrokken.

Net als de oorspronkelijke Stuxnet-worm is de tweede variant ook ondertekend met een certificaat, dat wordt gebruikt om de integriteit van een toepassing te controleren wanneer deze is geïnstalleerd. Het certificaat is gekocht van VeriSign door JMicron Technology Corp., een bedrijf gevestigd in Taiwan, schreef Pierre-Marc Bureau, een senior onderzoeker bij Eset, op een blog.

[Lees meer: ​​Hoe malware van uw Windows-pc te verwijderen]

Het eerste Stuxnet-wormcertificaat was afkomstig van Realtek Semiconductor Corp., hoewel VeriSign het nu heeft ingetrokken, zei David Harley, senior onderzoeker van Eset. Interessant is dat beide bedrijven beursgenoteerd zijn op dezelfde locatie, het Hsinchu Science Park in Taiwan.

"We zien dergelijke professionele operaties zelden", schreef Bureau. "Ze stalen de certificaten van minstens twee bedrijven of kochten ze bij iemand die ze had gestolen. Het is nu niet duidelijk of de aanvallers hun certificaat wijzigen omdat de eerste is blootgesteld of als ze verschillende certificaten gebruiken in verschillende aanvallen, maar dit toont aan dat ze over aanzienlijke middelen beschikken. "

Hoewel analisten van Eset nog steeds de tweede variant bestuderen, is deze nauw verwant aan Stuxnet, zei Harley. Het kan ook worden ontworpen voor het bewaken van activiteiten op Siemens WinCC-systemen voor toezichtcontrole en gegevensverwerving (SCADA), die worden gebruikt voor het beheer van industriële machines die worden gebruikt voor productie en elektriciteitscentrales. De code voor de tweede variant is opgesteld op 14 juli, zei Harley.

Hoewel de code voor de tweede variant geavanceerd lijkt, was de manier waarop deze werd vrijgegeven waarschijnlijk niet ideaal. Het vrijgeven van een worm in plaats van een Trojaans paard maakt het waarschijnlijker dat beveiligingsonderzoekers er eerder een voorbeeld van zullen zien als het zich snel verspreidt, wat de doeltreffendheid ervan ondermijnt, zei Harley.

"Dat beweert mij misschien dat waar we naar kijken is iemand buiten het malware-veld die de implicaties niet begreep, "zei Harley. "Als ze van plan waren hun interesse in SCADA-installaties te verbergen, is dat duidelijk niet gelukt."

Stuxnet wordt beschouwd als het eerste stukje malware dat op Siemens SCADA is gericht. Als de worm een ​​Siemens SCADA-systeem vindt, gebruikt het een standaardwachtwoord om in het systeem te komen en kopieert het projectbestanden naar een externe website. Siemens adviseert dat klanten het wachtwoord niet wijzigen, omdat dit het systeem kan verstoren. Siemens is van plan een website te lanceren waarop het probleem wordt aangepakt en hoe de malware kan worden verwijderd. Microsoft heeft een advies uitgebracht met een oplossing voor het beveiligingslek totdat een patch gereed is. Alle versies van Windows zijn kwetsbaar.

Stuur nieuwstips en opmerkingen naar [email protected]