23.07.2010 00:10

Шпионские игры Win32/Stuxnet

Новый червь Win32/Stuxnet, предназначенный для кражи информации из корпоративных систем класса SCADA, был обнаружен на ПК в США и Иране. Процент зараженных компьютеров вредоносным ПО для промышленного шпионажа в этих странах составил 58% и 30% случаев заражения. На третьем месте Россия, где зарегистрировано 4% случаев. Начнется ли эпидемия?

Пикантности и без того напряженным отношениям США и Ирана могут добавить новые факты промышленного шпионажа. Как сообщается в блоге компании-разработчика антивирусного ПО, именно в этих двух странах широкое распространение получил новый червь Win32/Stuxnet, предназначенный для кражи информации из корпоративных систем класса SCADA.

Большинство обнаруженных специалистами обстоятельств указывает на то, что вредоносная программа предназначена для промышленного шпионажа. В частности, червь проникает в системы управления и контроля, используемые в промышленности, и передает найденную информацию на удаленный сервер. Интересно, что около 90% зараженных компьютеров находятся на территории США и Ирана.

Читайте также: США наносят Ирану "удар в сердце"

При этом червь не обладает способностью распространяться по сети. "По всей видимости, Win32/Stuxnet имеет целевую направленность, поскольку общеизвестных способов монетизации при анализе данного вредоносного ПО выявлено не было, — говорит Александр Матросов, руководитель Центра вирусных исследований и аналитики российского представительства одного из европейских антивирусных вендоров. — Высокое проникновение угрозы именно в США и Иране, возможно, связано с преднамеренной атакой, задачей которой является промышленный шпионаж".

Не ясно только, кому понадобилась информация из американских и иранских SCADA-систем. Существует версия, что программное обеспечение вышло из-под контроля создателя и начало самостоятельно распространяться. "Win32/Stuxnet" построен таким образом, чтобы привлекать к себе минимум внимания, — продолжает Александр Матросов. — Червь распространяется только через USB-накопители, а для запуска вредоносного кода использует неизвестную ранее уязвимость оболочки Windows".

Существующая разновидность Win32/Stuxnet опасна, прежде всего, для промышленных информационных систем. Вместе с тем эксперты отмечают, что функционал данной программы может быть достаточно легко изменен для осуществления атак на домашние компьютеры пользователей. Кроме того, ожидается, что в ближайшее время появится множество других вредоносных программ, использующих для запуска обнаруженную в Windows-среде уязвимость.

С появлением Win32/Stuxnet связана еще одна история, ставящая под сомнение надежность информационной безопасности отдельных компаний. Дело в том, что червь успешно обходил технологию HIPS (Host Intrusion Prevention System), которая защищает от попыток внешнего воздействия на систему. Подобная технология имеется во многих антивирусных продуктах.

Способность обходить такую защиту предопределил тот факт, что отдельные компоненты Win32/Stuxnet имеют легальную цифровую подпись компании Realtek, в результате чего антивирусы принимали червя за безвредную компанию.

Корпорация Realtek Semiconductor занимается разработкой интегральных микросхем, но не имеет собственных производственных мощностей. Она располагается в Научном Парке в Тайване и имеет неплохую репутацию на рынке. Поэтому вопрос о том, откуда у злоумышленников, создавших Win32/Stuxnet, появилась цифровая подпись Realtek, остается открытым.

"Может быть, подпись из Realtek украл сотрудник компании, — поделился своими мыслями Александр Матросов. — Но, возможно, была задействована отдельная группа мошенников, подписывающих вредоносное программное обеспечение".

Читайте также в "Правде.Ру"