摘要: 【赛迪网-IT技术讯】据赛门铁克的分析，这个病毒文件的部分代码与STUXNET(震网病毒)非常类似，它可能是由同一个网络犯罪团伙编写。但是，与STUXNET(震网病毒)不同的是，从DUQU的代码来看,它的目的并不是为了访问和攻击SCADA，而是倾向于盗窃感染系...
【赛迪网-IT技术讯】据赛门铁克的分析，这个病毒文件的部分代码与STUXNET(震网病毒)非常类似，它可能是由同一个网络犯罪团伙编写。但是，与STUXNET(震网病毒)不同的是，从DUQU的代码来看,它的目的并不是为了访问和攻击SCADA，而是倾向于盗窃感染系统中的相关信息。
DUQU是由几个部分组成。其中的SYS文件(目前被检测为RTKT_DUQU.A)，主要负责激活恶意程序并且触发执行其他例程。经过分析，我们发现该文件存在的主要目的是建立自身与其C&C服务器的连接。也就是说，DUQU将会通过此连接将窃取信息的病毒(目前被检测为TROJ_SHADOW.AF)放入受感染电脑。经过确认该病毒(TROJ_SHADOW.AF)的恶意代码与STUXNET(震网病毒)的相关代码非常相似.
一旦TROJ_SHADOW.AF被运行，他将枚举系统中所有目前正在运行的进程。确认是否有以下安全相关的进程：
· avp.exe(Kaspersky卡巴斯基)
· Mcshield.exe(McAfee麦克菲)
· avguard.exe(Avira小红伞)
· bdagent.exe(Bitdefender比特梵德)
· UmxCfg.exe (CA)
· fsdfwd.exe(F-Secure)
· rtvscan.exe andccSvcHst.exe (Symantec赛门铁克)
· ekrn.exe (ESET)
· RavMonD.exe(Rising瑞星)
如果发现这些进程，TROJ_SHADOW.AF会加载一个处于暂停状态的相同进程，将恶意代码注入该进程后恢复执行。这样系统中将会有两个杀毒软件进程，第一个是原始进程，而后面一个就是被病毒修改过的。
TROJ_SHADOW.AF需要使用命令行来正确执行。可用的命令包括：收集感染系统的信息，终止恶意软件进程，删除自身。它能够收集感染系统中的许多类型信息，例如：
1．驱动器信息：磁盘空间、驱动设备名称；
2．桌面截图；
3．正在运行的进程所属用户名；
4．网络信息：
IP地址
路由表
TCP/UDP表
DNS缓存表
本地共享
5．本地共享目录和已连接用户；
6．可移动存储设备序列号；
7．窗口名称；
8．使用NetFileEnum获取到的系统中打开的文件的信息。
如果有关于该病毒进一步发现，我们将继续更新此信息。目前，趋势科技防毒产品可以防护来自于这种新病毒的供给。趋势科技SPN智能防护网显示，尚未有趋势科技用户感染此病毒。趋势科技技术部门也尚未接到有关于该病毒的案件。
