C'est au sein du laboratoire de cryptographie et de la sécurité des systèmes (CrySyS) de l'université de technologie de Budapest que des chercheurs ont découvert que le programme d'installation du ver Duqu utilisait une faille zero day dans le noyau de Windows. Ils ont également été les premiers à découvrir les différents composants de Duqu, comme le malware installé et la DLL qui infecte les ordinateurs.

« Notre laboratoire, en poursuivant l'analyse du malware Duqu, a identifié un fichier avec une faille zero day à l'intérieur du noyau de Windows » ont annoncé les chercheurs et d'ajouter « nous avons immédiatement fourni aux organisations compétentes les informations nécessaires, pour qu'elles puissent prendre des mesures appropriées afin de protéger les utilisateurs ».

Selon Symantec, dont les experts ont analysé les échantillons fournis par CrySyS, Duqu infecte des ordinateurs via l'ouverture d'un document Microsoft Word (. Doc) qui exploite une vulnérabilité zero-day de Windows. Les chercheurs de l'éditeur expliquent que « le document Word est conçu de telle manière qu'il cible parfaitement l'entreprise attaquée ». Les chercheurs de Symantec ont également fait d'autres découvertes intéressantes liées à la menace. Duqu est capable d'infecter les ordinateurs qui ne sont pas connectés à Internet en se copiant dans les dossiers partagés sur le réseau.

Microsoft a été alerté sur cette vulnérabilité et travaille actuellement sur un correctif. Cependant, les spécialistes de la sécurité sont sceptiques sur le fait que la faille soit corrigée lors du prochain Patch Tuesday. La firme de Redmond rappelle simplement aux utilisateurs de ne pas ouvrir des documents provenant de sources inconnues.

Un malware qui s'adapte et trouve refuge en Belgique

Le malware dispose d'un mécanisme de secours qui se déclenche quand il ne détecte pas une connexion Internet active, et télécharge des fichiers de mises à jour de configuration via d'autres ordinateurs infectés sur le réseau. « Duqu crée un pont entre les serveurs des entreprises et le serveur de commandes et contrôle (C&C). Cela donne aux pirates les moyens d'infecter des zones sécurisées à l'aide d'ordinateurs situés en dehors de cette zone et utilisés comme proxy », précise Symantec.

Autre découverte importante, un serveur C&C a été localisé en Belgique. C'est la première fois qu'un serveur a été identifié après la fermeture de celui en Inde. Cela confirme les soupçons que celui qui est derrière ce malware suit les évolutions des enquêtes et s'adapte en fonction.

Jusqu'à présent, Symantec confirme des infections en France, Pays-Bas, Suisse, Ukraine, Inde, Iran, Soudan et Vietnam, tandis que d'autres éditeurs ont signalé des incidents en Autriche, Hongrie, Indonésie et Royaume-Uni. Duqu opère donc à l'échelle mondiale.