دوکیو

دوکیو  مجموعه‌ای از بدافزارهای رایانه‌ای است که در ۱ سپتامبر ۲۰۱۱ کشف شد. آزمایشگاه کسپرسکی تصور می‌کرد که مربوط به کرم استاکس‌نت است و توسط یگان ۸۲۰۰ ایجاد شده‌است.دوکیو از آسیب‌پذیری حمله روز صفر مایکروسافت ویندوز استفاده کرده‌است. آزمایشگاه رمزنگاری و امنیت سیستم (CrySyS Lab) دانشگاه فناوری و اقتصاد بوداپست در مجارستان تهدید را کشف کرد و بدافزار را تجزیه و تحلیل و گزارشی ۶۰ صفحه ای دربارهٔ آن نوشت و نام تهدید را دوکیو گذاشت. دوکیو نام خود را از پیشوند نام پرونده‌هایی که ایجاد می‌کند یعنی «~DQ» گرفته‌است.

اصطلاحات 
اصطلاح دوکیو به روش‌های مختلفی استفاده می‌شود:
 بدافزار دوکیو مجموعه‌ای از اجزای نرم‌افزاری است که با هم خدماتی را به مهاجمان ارائه می‌کنند. در حال حاضر این شامل قابلیت‌های سرقت اطلاعات و در پس‌زمینه، درایورهای کرنل (هسته) و ابزارهای تزریق است. بخشی از این بدافزار به زبان برنامه‌نویسی سطح بالا ناشناخته نوشته شده‌است، که «چارچوب دوکیو» نام دارد. درواقع زبان‌های C++, Python, Ada, Lua و بسیاری دیگر از زبان‌های بررسی شده نبودند. با این حال، پیشنهاد شده که دوکیو ممکن است به زبان C با یک چارچوب شی گرا سفارشی نوشته شده باشد و در مایکروسافت ویژوال استودیو ۲۰۰۸ کامپایل شده باشد.
 نقص دوکیو نقصی در ویندوز مایکروسافت است که در فایل‌های مخرب برای اجرای اجزای بدافزار دوکیو استفاده می‌شود. در حال حاضر یک نقص شناخته شده مربوط به فونت تروتایپ در
 عملیات دوکیو تنها فرایند استفاده از دوکیو برای اهداف ناشناخته است. این عملیات ممکن است مربوط به عملیات استاکس‌نت باشد.

ارتباط با استاکس‌نت 
سیمانتک، بر اساس تیم CrySyS که توسط گزارش دکتر تیبو گینچ اداره می‌شود آن را «تقریباً مشابه استاکس‌نت، اما با هدفی کاملاً متفاوت» خوانده و یک مقاله فنی دقیق در مورد آن منتشر کرده‌است. نسخه پایین گزارش آزمایشگاه اصلی به عنوان ضمیمه فنی منتشر شده‌است. سیمانتک معتقد است که دوکیو توسط همان نویسندگان استاکس‌نت ایجاد شده یا نویسندگان به کد منبع استاکس‌نت دسترسی داشته‌اند. این کرم مانند استاکس‌نت دارای امضای دیجیتال معتبر اما مورد سوء استفاده شده قرار گرفته‌است و اطلاعاتی را برای آماده شدن برای حملات آینده جمع‌آوری می‌کند. میکو هیپونن، مدیر ارشد تحقیقات اف‌سکیور گفت که درایور هسته دوکیو  بسیار شبیه هسته  استاکس‌نت است و سیستم بک‌اند اف‌سکیور فکر می‌کرد استاکس‌نت بوده‌است. هیپونن همچنین گفت که کلید مورد استفاده برای ساخت امضای دیجیتال خود دوکیو (فقط در یک مورد مشاهده شد) از سی-مدیا واقع در تایپه، تایوان به سرقت رفته‌است. گواهینامه‌ها قرار بود در ۲ اوت ۲۰۱۲ منقضی شوند اما طبق گفته سیمانتک در ۱۴ اکتبر ۲۰۱۱ لغو شدند.

منبع دیگری مثل سکیورورکز، گزارش می‌دهد که دوکیو ممکن است با استاکس‌نت مرتبط نباشد. با این حال، شواهد قابل توجه و فزاینده ای وجود دارد که نشان می‌دهد دوکیو با استاکس‌نت ارتباط نزدیک داشته‌است.

کارشناسان شباهت‌ها را مقایسه کردند و سه نکته جالب را یافتند:
 نصب کننده از آسیب‌پذیری‌های هسته ویندوز روز صفر سوء استفاده می‌کند.
 اجزا با کلیدهای دیجیتال دزدیده شده امضا می‌شوند.
 دوکیو و استاکس‌نت هر دو بسیار هدفمند و مرتبط با برنامه هسته ای ایران هستند.

بهره‌برداری روز صفر مایکروسافت ورد 
همانند استاکس‌نت، دوکیو با استفاده از یک آسیب‌پذیری روز صفر به سیستم‌های ویندوز مایکروسافت حمله می‌کند. اولین فایل نصب کننده شناخته شده (AKA dropper) که توسط آزمایشگاه CrySyS بازیابی و فاش شده‌است از یک سند ماکروسافت ورد استفاده می‌کند که از موتور تجزیه فونت تروتایپ بهره‌برداری می‌کند و امکان اجرا را به آن می‌دهد. چکاننده دوکیو مربوط به جاسازی فونت است و بنابراین به راه حل محدود کردن دسترسی به  است که اگر پچ منتشر شده توسط مایکروسافت در دسامبر ۲۰۱۱ هنوز نصب نشده باشد یک موتور تجزیه فونت تروتایپ است. شناسه مایکروسافت برای این تهدید MS11-087 است (اولین توصیه در ۱۳ نوامبر ۲۰۱۱ صادر شد).

هدف 
دوکیو به دنبال اطلاعاتی است که می‌تواند در حمله به سیستم‌های کنترل صنعتی مفید باشد. هدف آن مخرب بودن نیست، اجزای شناخته شده سعی در جمع‌آوری اطلاعات دارند. با این حال، بر اساس ساختار مدولار دوکیو، محموله ویژه می‌تواند برای حمله به هر نوع سیستم کامپیوتری به هر وسیله ای مورد استفاده قرار گیرد و در نتیجه ممکن است حملات سایبری-فیزیکی مبتنی بر دوکیو امکان‌پذیر باشد. با این حال، استفاده در سیستم‌های رایانه شخصی برای حذف تمام اطلاعات تازه‌وارد شده در سیستم و در برخی موارد حذف کامل هارد دیسک رایانه مشاهده شده‌است. ارتباطات داخلی دوکیو توسط سیمنتک تجزیه و تحلیل می‌شود، روش واقعی و دقیق نحوه تکثیر آن در داخل شبکه مورد حمله هنوز به‌طور کامل شناخته نشده‌است. به گفته مک‌افی، یکی از اقدامات دوکیو سرقت گواهی‌های دیجیتال (و کلیدهای خصوصی‌ای که در رمزنگاری کلید عمومی استفاده می‌شود) از رایانه‌های مورد حمله برای کمک به ویروس‌های آینده به عنوان نرم‌افزار امن است. دوکیو از یک فایل JPEG 54×۵۴ پیکسل و فایل‌های ساختگی رمزگذاری شده به عنوان کانتینر برای قاچاق داده‌ها به مرکز فرماندهی و کنترل خود استفاده می‌کند. کارشناسان امنیتی هنوز در حال تجزیه و تحلیل کد هستند تا مشخص کنند که ارتباطات حاوی چه اطلاعاتی است. تحقیقات اولیه نشان می‌دهد که نمونه بدافزار اصلی پس از ۳۶ روز به‌طور خودکار خود را حذف می‌کند (بدافزار این تنظیمات را در فایل‌های پیکربندی ذخیره می‌کند) که این موضوع تشخیص آن را محدود می‌کند.

نکات کلیدی عبارتند از:
 برنامه‌های اجرایی پس از استاکس‌نت با استفاده از کد منبع استاکس‌نت که کشف شده‌است توسعه یافته‌اند.
 فایل‌های اجرایی برای گرفتن اطلاعاتی مانند ضربه زدن کلید و اطلاعات سیستم طراحی شده‌اند.
 تجزیه و تحلیل فعلی هیچ کدی مربوط به سیستم‌های کنترل صنعتی، اکسپلویت‌ها یا خود تکراری را نشان نمی‌دهد.
 موارد اجرایی در تعداد محدودی از سازمان‌ها، از جمله سازمان‌هایی که در ساخت سیستم‌های کنترل صنعتی درگیر هستند، یافت شده‌اند.
 داده‌های استخراج‌شده ممکن است برای فعال کردن یک حمله استاکس‌نت مانند آینده استفاده شوند یا ممکن است قبلاً به عنوان مبنایی برای حمله استاکس‌نت استفاده شده باشند.

کارسازهای فرمان و کنترل 
برخی از سرورهای فرمان و کنترل دوکیو مورد تجزیه و تحلیل قرار گرفته‌است. به نظر می‌رسد افرادی که این حمله را انجام می‌دهند، تمایل زیادی به کارسازهای سنت‌اواس ۵.x داشتند، که باعث شد برخی از محققان بر این باور باشند که یک بهره‌بردار روز صفر برای آن دارند. کارسازها در بسیاری از کشورهای مختلف از جمله آلمان، بلژیک، فیلیپین، هند و چین پخش شده‌اند. کسپرسکی چندین پست وبلاگ را در کارسازهای فرمان و کنترل آن منتشر کرده‌است.

جستارهای وابسته 
 استاکس‌نت

منابع 

جنگ سایبری در ایران
جنگ سایبری
حمله‌های سایبری به بخش انرژی
حمله‌های رمزنگاری
روت‌کیت‌ها
علوم رایانه در ۲۰۱۱ (میلادی)
هک کردن در دهه ۲۰۱۰ (میلادی)