De Duqu "supermalware" die onlangs werd ontdekt gebruikte een zeer ernstig en onbekend lek in de Windows-kernel om computers over te nemen, zo hebben Hongaarse onderzoekers ontdekt. Tot nu toe was het onbekend hoe Duqu zich verspreidde. Symantec kondigde op 18 oktober het bestaan van de malware aan, die volgens het anti-virusbedrijf door dezelfde makers was ontwikkeld die eerder de zeer geavanceerde Stuxnetworm maakten. Stuxnet werd ontwikkeld om het nucleaire programma van Iran te saboteren. Duqu zou informatie verzamelen om Stuxnet-achtige aanvallen mogelijk te maken.

Aangezien het installatieprogramma van Duqu niet was gevonden, bleef het gissen hoe de malware zich verspreidde. Het Hongaarse CrySys heeft een installatieprogramma gevonden. Het gaat om een Microsoft Word document dat een onbekend lek in de Windows-kernel misbruikt, waardoor de aanvallers willekeurige code op het systeem kunnen uitvoeren. Het Word document is op maat gemaakt voor de aangevallen organisatie. Verder blijkt dat de gebruikte shell-code ervoor zorgt dat Duqu alleen maar tijdens een periode van acht dagen in augustus op systemen wordt geïnstalleerd.

Patch
Symantec merkt op dat dit het enige installatieprogramma is dat tot nu toe gevonden is. Het kan dus zijn dat de aanvallers ook andere manieren gebruikten om computers over te nemen. Elk exemplaar van Duqu was uniek en op maat gemaakt. Microsoft laat via Twitter weten dat het inmiddels aan een beveiligingsupdate werkt. Tot die tijd adviseert Symantec om documenten van onbekende te vermijden en alternatieve software te gebruiken.

Eenmaal geïnstalleerd kan Duqu andere computers binnen het netwerk infecteren. Er is bewijs gevonden dat Duqu zich via gedeelde SMB-mappen verspreidde. Sommige van de besmette computers waren niet met het internet verbonden. Daarvoor gebruikte Duqu een "file-sharing C&C protocol", waarbij een besmette computer die wel verbinding had, als een proxy werd gebruikt. Daardoor konden de aanvallers toch met computers in beveiligde zones communiceren.

Nederland en België
Inmiddels zijn er Duqu-infecties bij zes organisaties in acht landen aangetroffen. Eén van de aangevallen organisaties bevindt zich in Nederland, maar deze organisatie heeft ook vestigingen in Frankrijk, Zwitserland en de Oekraïne. De overige aangevallen organisaties bevinden zich in India, Sudan, Vietnam en twee keer Iran. Symantec merkt op dat andere anti-virusbedrijven infecties in Oostenrijk, Hongarije, Indonesië, Groot-Brittannië en bij andere Iraanse organisaties hebben waargenomen.

Het was al bekend dat de ontdekte Duqu-infecties met een Indiase server communiceerden, die inmiddels door de Indiase overheid in beslag is genomen. Een andere infectie die Symantec ontdekte blijkt met een Belgische server te communiceren. Deze server is inmiddels offline gehaald.