Eset Menemukan Variasi Kedua Cacing Stuxnet

Para peneliti di Eset telah menemukan varian kedua dari worm Stuxnet yang menggunakan kerentanan Windows yang baru-baru ini diungkapkan untuk menyerang mesin industri Siemens.

Varian kedua, yang Eset sebut "jmidebs.sys," dapat menyebar melalui drive USB, mengeksploitasi kelemahan unpatched di Windows yang melibatkan file shortcut berbahaya dengan ekstensi ".lnk".

Seperti cacing Stuxnet asli, varian kedua juga ditandatangani dengan sertifikat, digunakan untuk memverifikasi integritas aplikasi ketika diinstal. Sertifikat itu dibeli dari VeriSign oleh JMicron Technology Corp, sebuah perusahaan yang berbasis di Taiwan, menulis Pierre-Marc Bureau, peneliti senior di Eset, di sebuah blog.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Sertifikat cacing Stuxnet pertama berasal dari Realtek Semiconductor Corp, meskipun VeriSign sekarang telah mencabutnya, kata David Harley, peneliti senior Eset. Yang menarik, kedua perusahaan itu terdaftar memiliki kantor di tempat yang sama, Taman Sains Hsinchu di Taiwan.

"Kami jarang melihat operasi profesional semacam itu," tulis Biro. "Mereka mencuri sertifikat dari setidaknya dua perusahaan atau membelinya dari seseorang yang mencurinya. Pada titik ini, tidak jelas apakah penyerang mengganti sertifikat mereka karena yang pertama terkena atau jika mereka menggunakan sertifikat yang berbeda di serangan yang berbeda, tetapi ini menunjukkan bahwa mereka memiliki sumber daya yang signifikan. "

Meskipun analis Eset masih mempelajari varian kedua, itu terkait erat dengan Stuxnet, Harley mengatakan. Ini juga dapat dirancang untuk memantau aktivitas pada sistem kontrol dan akuisisi data Siemens WinCC (SCADA), yang digunakan untuk mengelola mesin industri yang digunakan untuk manufaktur dan pembangkit listrik. Kode untuk varian kedua dikompilasi pada 14 Juli, Harley mengatakan.

Sementara kode untuk varian kedua tampaknya canggih, cara itu telah dirilis mungkin tidak ideal. Melepaskan cacing daripada Trojan membuatnya lebih mungkin bahwa peneliti keamanan akan melihat sampel lebih cepat jika itu menyebar dengan cepat, yang merusak keefektifannya, Harley berkata.

"Itu berpendapat kepada saya bahwa mungkin apa yang kita lihat adalah seseorang di luar bidang malware yang tidak memahami implikasinya, "kata Harley. "Jika mereka bermaksud untuk menyembunyikan minat mereka dalam instalasi SCADA, mereka jelas tidak berhasil."

Stuxnet diyakini menjadi bagian pertama malware yang menargetkan Siemens SCADA. Jika cacing menemukan sistem SCADA Siemens, ia menggunakan kata sandi default untuk masuk ke dalam sistem dan kemudian menyalin file proyek ke situs Web eksternal.

Siemens menyarankan agar pelanggannya tidak mengubah kata sandi karena itu dapat mengganggu sistem. Siemens berencana untuk meluncurkan situs Web yang membahas masalah ini dan cara menghapus malware.

Microsoft telah mengeluarkan saran dengan solusi untuk kerentanan tersebut sampai patch siap. Semua versi Windows rentan.

Kirim kiat dan komentar berita ke [email protected]