Обнаружена ранняя версия Stuxnet

Корпорация Symantec объявила об обнаружении ранней версии печально известного вируса Stuxnet. Версия с номером 0.5 была активна с 2007 по 2009 гг. и, в отличие от своего более известного преемника, имела совершенно другой механизм атаки.

Согласно информации, собранной специалистами Symantec, эта версия программы должна была закрывать клапаны, пускающие газообразный гексафторид урана в центрифугу для обогащения урана. Такая атака нанесла бы огромный ущерб как центрифугам, так и всей системе обогащения урана, пояснили CNews в компании. В более поздних же версиях вируса обогащение урана нарушалось за счет постепенного ускорения, а затем замедления центрифуг. Эти, более поздние, варианты вредоносной программы и были обнаружены в июле 2010 г., после того как они стали поражать системы за пределами первоначальной цели — города Натанз в Иране.

«Факт, что атаки поздних версий Stuxnet серьезно нарушили работу заводов по обогащению урана в городе Натанз, считается общепризнанным, но степень успешности ранних версий вируса до сих пор остается под вопросом, — отметили в Symantec. — Полученная информация указывает на то, что работа над проектом Stuxnet могла быть начата еще в 2005 году или раньше».

Эксперты Symantec обнаружили, что версия 0.5 была создана с использованием кода Flamer, сыгравшего немалую роль в становлении Stuxnet, а также включает в себя код, отсутствующий в последующих версиях вируса.

Как удалось выяснить специалистам компании, версия 0.5 перестала обращаться к командным серверам злоумышленников 11 января 2009 г. и окончательно перестала угрожать компьютерам 4 июля того же года, спустя 12 дней после создания Stuxnet версии 1.001. Тем не менее Symantec все же смогла зафиксировать небольшое количество неактивных заражений по всему миру в течение последнего года.

Неактивные заражения Stuxnet 0.5, обнаруженные за последний год

Поздние версии Stuxnet отличаются более высокой скоростью распространения и более активным использованием уязвимостей (в том числе, в программном обеспечении Microsoft). Для сравнения, если Stuxnet 0.5 располагал в своем арсенале только одним эксплойтом, то версия 1.101 вооружена уже 7 эксплойтами. Кроме того, вместо Flamer в основе поздних версий вируса лежит платформа Tilded — это дает основания предположить, что разработкой ранней и поздних версий Stuxnet занимались различные специалисты.

Эволюция Stuxnet в части эксплуатации уязвимостей

Как полагают эксперты Symantec, вполне вероятно существование и других версий Stuxnet — как более ранних, чем 0.5, так и версий, создававшихся в промежутке времени между выходом Stuxnet 0.5 и 1.001. В частности, ряд компонентов Stuxnet, обнаруженного в 2010 г., не имеют аналогов в известных на сегодняшний день версиях вируса.

• Комментарии