La autoría de Duqu y Stuxnet enfrenta a la industria
Aunque algunos investigadores aseguran que Duqu y Stuxnet comparten creador, otros lo ponen en duda aun reconociendo que comparten parte del código.
Aunque desde que se desveló la existencia de Duqu son muchos los investigadores que aseguran que ambos malware son del mismo creador, hay quienes creen que un equipo diferente adaptó el código de Stuxnet para crear Duqu.
Ha sido el hecho de que Duqu tenga partes del código de Stuxnet lo que ha llevado a muchos investigadores de seguridad a hablar de Stuxnet 2.0 y asegurar que ha sido la misma persona o equipo el creador de ambos.
Aunque Duqu y Stuxnet son sorprendentemente parecidos, hay algunas diferencias que hacen pensar que los autores no son los mismos, asegura Bogdan Botezatu, investigador de BitDefender, en su blog.
La reutilización de código es una mala práctica entre los desarrolladores de malware porque es más fácil para los fabricantes de antivirus detectarlos. Y esto es lo que Mikko Hypponen, investigador de F-Secure, cree que ha ocurrido con Duqu después de que su empresa lo detectara como una variante de Stuxnet.
Desde Kaspersky Labs aseguran que Duqu es actualmente una combinación de al menos dos programas maliciosos. El módulo principal, que es el que inyecta un archivo DLL en un sistema comprometido, funciona con un servidor de comando y control remoto y cuenta con un archivo de configuración, lo que es similar a Stuxnet en estructura y conducta. El segundo programa, escribe Alex Gostev, experto de malware de Kaspersky en Securelist, “es lo que le diferencia de Stuxnet”.
Gostev asegura que los autores de Duqu han sido muy cuidadosos durante el desarrollo del software porque fueron capaces de cambiar el código y superar las detecciones de los programas antivirus. Al mismo tiempo, es probable que Duqu sea capaz de funcionar como una aplicación independiente, sin necesidad del módulo principal.
Stuxnet también tiene dos partes, el gusano está más centrado en la infección y replicación y su objetivo son los sistemas de control industrial. Gostev conviene en la similitud entre ambos malware, pero explica también que Duqu no tiene otras capacidades más allá de recopilar la información de los sistemas comprometidos.
Por el momento, por cierto, no se tiene información del tipo de organizaciones que se han visto comprometidas por Duqu. Symantec no ha desvelado la información de su análisis, mientras que los investigadores de McAfee afirman que varias autoridades de certificación de todo el mundo se han visto afectadas por el malware.
