Xác định ngôn ngữ lập trình lạ của trojan Duqu khét tiếng

Các chuyên gia Kaspersky Lab với sự trợ giúp của cộng đồng lập trình thế giới đã nhận dạng được ngôn ngữ lập trình viết nên đoạn code của trojan Duqu vốn được cho là có ngôn ngữ riêng, “bí hiểm”.

Kaspersky Lab tuyên bố đã nhận dạng được “ngôn ngữ lập trình lạ” dùng để viết mẩu code của trojan Duqu khét tiếng từng được sử dụng để tấn công các công trình công nghiệp của Iran. Các chuyên gia của Kaspersky Lab từng thông báo hôm 7/3 về việc khó nhận dạng ngôn ngữ lập trình dùng viết trojan nói trên.

Khó khăn trong nhận dạng liên quan tới mã của cái gọi là Framework Duqu. Mã này chịu trách nhiệm về hoạt động tương tác giữa máy tính nhiễm trojan với máy chủ của tin tặc. Theo thông báo của Công ty, các nghiên cứu về Framework Duqu tại Kaspersky Lab đã kéo dài từ tháng 11/2011. Suốt thời gian này, các chuyên gia của Kaspersky Lab đã mời các chuyên gia ở Microsoft cùng tiến hành đối chiếu gần 30 ngôn ngữ lập trình, bao gồm các ngôn ngữ kì lạ Brainfuck và Haskell. Tuy nhiên, họ đã không tìm ra ngôn ngữ dùng để tạo nên đoạn code tựa như Framework Duqu.

Sau vài tháng nghiên cứu, các chuyên gia Kaspersky Lab đã kêu gọi cộng đồng lập trình giúp đỡ. Những giả thuyết phổ biến nhất do các phóng viên gợi ý với Kaspersky Lab là các ngôn ngữ như LISP, Forth, rlang, Google Go, Delphi, OO C và các trình biên dịch cổ như C và một số ngôn ngữ khác.

Kaspersky Lab kết luận rằng Framework Duqu có nhiều khả năng được viết bằng C. Tuy nhiên, khi phát triển, các tác giả đã sử dụng phần mở rộng riêng nên có thể coi đó là một biến thể hiếm của C. Trình biên dịch có lẽ là MSVC 2008.

Trojan Duqu được sử dụng để tấn công theo mục tiêu là các công trình công nghiệp của Iran…

Lưu ý cách tiếp cận khác với thói thường của các tác giả Duqu, chuyên gia về vi rút của Kaspersky Lab Igor Sumenkov nhận định việc sử dụng biến thể của C thay vì C của các tác giả Duqu có thể gây mất lòng tin vào trình biên dịch C vốn đặc trưng cho các nhà phát triển với nhiều năm kinh nghiệm…

“Hai yếu tố này cho thấy rằng mã đã được viết bởi một nhóm nhà phát triển giàu kinh nghiệm của “trường phái cũ”, những người muốn tạo ra một nền tảng di động và dễ dàng thay đổi cho các cuộc tấn công”, các chuyên gia cho biết.

Chuyên gia chính về vi rút của Kaspersky Lab, Alexander Gostev lưu ý rằng các tác giả Duqu không chỉ là các nhà lập trình có thâm niên mà còn là những người có cả núi thời gian rỗi. Theo ý ông Gostev, các nhà phát triển đoạn mã đã bỏ ra rất nhiều thời gian mặc dù công việc có thể được làm nhanh và đơn giản hơn. “Họ không có nhiệm vụ phải làm nhanh việc này. Chúng tôi từng tưởng tượng hài hước rằng họ đang ngồi trong tù và làm việc này”, Gostev nói.

Việc hiểu bản chất của đoạn mã Duqu giúp sẽ bổ ích cho việc tìm tòi, khám phá, các chuyên gia giải thích. Ngoài ra, không loại trừ trường hợp có thể tìm được các phần mềm hợp pháp sử dụng cùng phương pháp này. Cần biết rằng nguồn gốc của việc trojan Duqu và sâu Stuxnet gần gũi với nó tấn công các công trình hạt nhân của Irancho đến nay vẫn là bí ẩn.

Trojan Duqu nổi tiếng từ 1/9/2011. Theo các chuyên gia, trojan này được tạo ra để tấn công nhằm vào máy tính của các công trình công nghiệp và các tổ chức chính phủ, thương mại của Iran. Duqu đã được tạo nên trên nền tảng phần mềm chung với sâu máy tính nổi tiếng khác là Stuxnet. Năm 2011, Stuxnet đã lây nhiễm đến các trạm phát điện nguyên tử của Iran đồng thời thâm nhập vào mạng của hàng loạt xí nghiệp trên toàn thế giới.

Theo các chuyên gia Kaspersky Lab, cả hai trojan có cùng một nhóm tác giả. Khác với Stuxnet, Duqu không gây tác hại cho hệ thống bị lây nhiễm đến mức tổ chức phân phối và thiết lập các mô-đun trojan bổ sung vào hệ thống. Do Duqu dùng cho việc tấn công theo mục tiêu cụ thể, số máy tính bị nhiễm không lớn. Kaspersky Lab đang đánh giá số sự cố gắn liền với Duqu.

“Không nghi ngờ về việc Stuxnet và Duqu được viết với sự quan tâm của một chính phủ nào đó, nhưng chính phủ nào thì không có bằng chứng”, Alexander Gostev tuyên bố. Lưu ý là ngày 4/3, cựu lãnh đạo Cơ quan An ninh Quốc gia Mỹ (NSA) Michael Hayden trả lời phỏng vấn CBS đã cho biết “Stuxnet là ý tưởng tốt”. Tuy nhiên, vị tướng không nói chính phủ nào đứng sau việc tạo nên trojan này mà Duqu là hậu duệ của nó.

Theo ICTnew