Stuxnetvariant misbruikt bug in Windows

Een van de manieren waarop het Duquvirus computers besmet, is met een kwaadaardig Word-document dat een voorheen onbekende bug in de Windowskernel uitbuit.

Beveiligingsbedrijf Symantec ontdekte dat een infectie met de variant op het Stuxnetvirus, die bij bedrijven in minstens acht landen is aangetroffen, gebeurt via een Word-document. Het bestand misbruikt een onbekende fout, een zogenaamde zerodaybug, in de Windowskernel. Die kan op afstand misbruikt worden.

Opgepast met Word-bestanden
Volgens Symantec is het niet uitgesloten dat nog niet ontdekte varianten van het Duquvirus een andere infectiemethode hanteren. Hoewel de meeste antivirusprogramma’s de belangrijkste onderdelen van het Duquvirus herkennen en blokkeren, raadt Symantec toch aan om voorzichtig om te springen met onbekende Word-bestanden.

[related_article id=”158578″]

Het kwaadaardige Word-document waarin het Duqu-installatiebestand verstopt zat, werd ontworpen om één specifieke organisatie te treffen, weet Symantec nog. Ook zou het installatiebestand alleen actief zijn geweest gedurende acht dagen in augustus.

Het is nog niet duidelijk hoe ver het Duquvirus, dat code deelt met de beruchte Stuxnetworm, zich heeft kunnen verspreiden en wat de doelwitten zijn. Symantec stelde infecties vast bij zes bedrijven in acht landen: Frankrijk, Nederland, Zwitserland, Oekraïne, India, Iran, Soedan en Vietnam. Andere beveiligers spreken ook over Oostenrijk, Hongarije, Indonesië en het Verenigd Koninkrijk.

Server in België
In tegenstelling tot Stuxnet, dat systemen met de industriële systeemcontrole-software SCADA zoals centrifuges om uranium te verrijken op de korrel nam, richt Duqu geen schade aan op besmette computers. De Stuxnetvariant sluist wel informatie door. Daarvoor zou onder andere een server in België ingezet worden.