Загадка фреймворка Duqu

Vala?

Do:
Print "Я самый умный криминалист во всех Раменках":
Print "Умнее меня нет никого на этом свете, по крайней мере, в ЦСТ НТЦ ФСБ":
Loop:

Compile
Make
Run

Enjoy

Мы пойдем в лукошко - два кота и кошка!
Отказ от назначения генералом грозит разжалованием в рядовые.
Клизма перед операцией назначается почти всегда, если операция плановая и нет противопоказаний.
На копейку уже ничего не купишь.
А хочешь, мы прямо сейчас полетим в Лилль? Ты был в Лилле, Серый?

Пробовали выделить части которые можно назвать стандартными (списки, хэши) и поискать бинарные сигнатуры в большой выборке?

Странный код Duqu

первоисточник тут:
http://contagiodump.blogspot.com/2011/10/duqu-rat-trojan-precursor-to-next.html

1)
def ror(byte, count):
while count > 0:
byte = (byte >> 1 | byte << 7) 0xFF
count -= 1
return byte

2)
def decode (key, data):
keyxform = key ^ 0x8471122
decoded=''
for x in data:
decoded+= chr(ord(x)^(keyxform 0xff))

keymorph=ror(keyxform,3)
keyxform = ((((keymorph * keymorph) * 0x1e2d6da3) >> 0xc) + (0x4747293 * keymorph) + 1) ^ keymorph
return decoded
the ror is needed

Интересно что будут делать наши тайнохранители из Касперского когда в следующей версии весь код будет таким? ))) Ребята вы реально хотите разобраться с эти в одиночку?

Единственный аналог для примера ?1 (но это все же не то) это разложение полинома в двоичном поле Галуа (что жесть).

ОПИСАНИЕ:
Рассмотрим теперь программную процедуру, реализующую деление
на примитивный неприводимый многочлен х**3+х+1 в поле Галуа
GF(8), представленную короткой программой на языке Бейсик.
Переменные в ней рассматриваются как целые числа.

'программа деления на многочлен х**З+х+1
DEFINT A-Z
n = 1
DO
m = О

'-----------расчет бита переноса
IF n AND 2^2 THEN m = m+1
IF n AND 2^0 THEN m = m + 1
n = 2 * (n AND (2^2-1)) OR (m AND 1)
LOOP UNTIL n = 1
END

исправлено: Bazuzu, 13 мар 2012, 14:48

to Игорь Суменков

(continue of previous post)
duqu mystery == http://i44.tinypic.com/34htic3.png

Код на Dutu framework

Если вы действительно хотите чтобы вам помогли, открыли бы для начала код Dutu написанный на неизвестном языке. По крайней мере можно будет сделать попытку восстановления конструкций языка по коду.

При худшем сценарии, если это действительно новый специализированный компилятор, то код сгенерированный его следующей версией продолжит "креативные" идеи с разным форматом вызова функций и плавающей таблицей виртуальных функций. Ой тут много чего интересного можно сделать )) Не зря они именно протокол обмена подсадили на эту хреновину.

исправлено: Bazuzu, 13 мар 2012, 00:00

Может быть код был смешан. В смысле к примеру С++ + asm и может быть ещё "поковырялись" в дизассемблере. Такое смешание точно будет трудно распознать. Скорее невозможно.
Причина смешения кода можно объяснить как угодно. К примеру может быть создателей вируса было несколько и вирус разрабатывался по частям на разных языках программирования, а потом всё было скомпилировано в одну программу.
Удачи.

to Игорь Суменков

unknown framework :D

sample code from Payload DLL
http://i42.tinypic.com/2637ptg.png

sample code from other DLL
http://i43.tinypic.com/242iqkp.png

А теперь давайте все смешаем...

имхо, публикуем новость вознаграждение в 1кк валюты создателю, Duqu. Создатель найдется, а там может и поделится с вами знаниями, и пойдет работать в Скуп.

с ув.

Бесперспективно

Бесперспективное, во всех отношениях, для вас занятие. Но из "уважения" к дяде Жене и Микро посоветовал бы, для полноты картины, покопать сети ЗАО АСЭ февралем 2010 и ОАО НИАЭП мартом 2012. Удачи.

Искать надо среди языков у которых корутины first-class citizens. OnCallbackFunc - типичный корутин, а система в целом написана в соответствии async pattern. Те объекты которые корутины принимаю в качестве this - это не объекты, это замыкания, они автоматически генерятся средой, отсюда и их колличество, и их мутная структура. Я работаю с Vala, мне это хорошо знакомо, но у вас не Vala. Vala завязан на GLib, и это сразу было бы видно, было бы много текстовых строк с именами классов, методов и т.д. Спросите у этих ребят: http://live.gnome.org/Vala они в этом настоящие звери.

?

Простите, вы смотрели в сторону ASM подобных обьектно ориентированных оберток? Просто уж больно код красивый в дизасме... похож очень на то, что видишь после компиляции именно асм-программ. Возможно какая-нить вариация есстественно, типо fasm, nasm. Ведь этот язык в первую очередь и ценится за полную свободу, даже несмотря на рутинность некоторых вещей.

Не смотрели в сторону AngelScript и прочих встраиваемых языков, используемых в геймдеве?

если это и правда очень похоже на LISP, как написали в англоязычных комментах, то у меня есть версия - CLIPS. Компилируется в нативный код, связан с программированием микроконтроллеров...
Удачи!

Попробуйте Gambit Scheme он как раз в С транслирует и у него очень интересный компилятор.

а меня вот интересует вопрос-а зачем было вообще огород городить и делать какой-то там фраймворк на каком то там языке? Нафига!? Все что описано, легко можно было сделать на с/с++, или найти готовую реализацию...

Едиственное, что приходит на ум, так это то, что у авторов дуку уже был готовый фреймворк, реализующий событийно-ориентирванную архитектуру, и они решили его заюзать, чтобы с нуля это не делать. Тут я вижу две альтернативы-

1)Этот фреймворк-какая то академическая разработка, что-то типа курсовой или докторской, и кто-то из членов команды дуку или хорошо знаком с ней, или сам ее писал, пока учился в универе

2)Это внутрикорпоративная разработка, которую кто-то из членов дуку упер со своей бывшей работы. Причем он именно над ней работал, и знал всю ее силу. Тут возможен вариант, что работал над фреймворком не сам член команды дуку, а скажем его знакомый, и знакомый чисто для прикола прделился с другом такой прикольной библиотечкой

3)Это какая то разработка спецслужб или военных. Ну тут говорить не о чем, значит или США или Китай причастны к созданию дуку, а это серьезно...

И вообще, парни, которые комают эту дуку, ведут себя крайне глупо, в блогах пишут под настоящими именами, с фотками даже. По моим полсчетам на стукснет/дуку было потрачено около 10 миллионов баксов, причем не только на разработку, но и на всякие силовые акции, типа закинуть вредоносный код ирану или еще чего. Люди с такими деньгами пойдут на все, чтобы не докопаись до истины. Вот иранских ядерщиков скока поубивали в самом же иране...

SystemC или какие-нибудь трансляторы с "языков описания аппаратуры"

Была вот например такая штука:
http://citforum.ru/programming/application/flora.shtml

В основе идеологии архитектуры Flora/C+ лежит нелинейная структура памяти, организованная в виде дерева объектов (Objects Tree), узлами которого могут быть элементарные типы данных и производные от них, встроенные объекты, пользовательские объекты, программы и задачи.

Управление деревом объектов выполняется объектной машиной (Objects Engine).

Эрланг.Он как раз использует событийно-ориентированную поточную модель.

А какая вообще разница на чём он написан? Специалистам Лаборатории Касперского значит больше заняться нечем? Если любители пишут свои простенькие компиляторы, то и команда программистов которым хорошо платят напишет всё что угодно.
И дайте код посмотреть, а то показали только пару бессмысленных огрызков из IDA и какие-то дурацкие схемки.

исправлено: w8m, 10 мар 2012, 08:48

Есть мысль, что исходный код gcc открыт, а следовательно квалифицированному программисту не является проблемой сделать свой С/С++ компилятор, который будет генерировать немного странный код. При этом изначально это может быть вполне себе чистый С++.

Вопрос в том насколько сложно внутри gcc добавить свой собственный call convention или изменить способ генерации кода для vtable. Почему-то мне кажется, что это не есть глобально сложно... а скорее даже глобально несложно :)

Целью всех этих извращений могло быть простое желание запутать анализаторы антивирусов.

Я конечно понимаю... но скажу

Привет привет всем!
Зовут меня Маша, Лукьянова, я вам вот что скажу.
Вся эта череда статей насчет вируса Duqu напоминает хорошо заезженный ФСБ-щный спектакль. Цель спектакля, по моему мнению, не узнать подробности насчет Duqu\Stuxnet, а выявить сетевых авторов, которые располагают какими-то знаниями насчет подобных вирусных технологий, открыть на них ДОУ и поставить их на контроль.

Зачем это нужно ФСБ?

Потому что программисты тесно общаются между собой, а даже у нас в Москве есть группы программистов, которые пишут по заказу ФСБ подобные вирусные программы. Некоторые из них прицельно встраиваются на личные страницы бесплатных сетевых вирусов типа Mail.ru или Vkontakte, другие реализуются путем подмены целевых сайтов (например, в режиме эмуляции сервера какой-нибудь газеты).

А ФСБ очень не любит, когда, говоря языком их агентов "кто-то палит конторку". Поэтому я бы на месте всех авторов выше приведенных комментариев не писала бы г-ну Гостеву и иже с ним НИЧЕГО.

Не поддерживайте тех, кто не против заниматься нечестными делами.

С уважением, Маша

Поправка
Если объектом считать обычный объект C++, то это называется сервисом. Оно имеет свойства сервера (имеет адрес и ему можно сделать запрос).

Сейчас подобные фреймворки - самый модный тренд, если что.

Событийно ориентированное программирование

Рулез, сами пользуем подобный фреймворк.
Действительно запаритесь реинжинирить, поскольку каждый объект имеет свой тред, а взаимодействие осуществляется евентами.
Т.е. после посылки евента исполнение возвращается в данном потоке, вам придется лазить по другим потокам, чтобы посмотреть, что происходит с евентом далее.

То, что вы описали - очень похоже.

Передача параметров функций

Такой вопрос: вы анализировали методы передачи параметров в функции? Наверняка да.
Всегда ли они одинаковы? Какие варианты присутствуют?

Jass))))

исправлено: Lyulchenko, 09 мар 2012, 01:44

хотелось бы подкинуть идею о том, что чисто теоретически сие может быть luajit'ом ;) На мысль натолкнуло заявление автора об реализации им под это дело нечто с названием DynAssembler ;)
Вполне возможно, что туда залинкована статически libluajit и написано на lua с C'шными FFI.
Собственно на идею о Lua тоже наталкивает похожесть на С.

К слову, может это просто FFI+LLVM, даже без привязки к Lua...

Возможно фрагмент кода в первом блоке принадлежит LabView

Пруф линк:
http://forums.ni.com/t5/LabVIEW/Write-to-Binary-File-Function-Append-to-existing-file/td-p/1554594
Другими словами сочитание методов в одном объекте:
append_to_existing
count
Достаточно уникально само по себе.

Кроме того, применение LabView шикарно подходит по контексту:
+ микроконтроллеры
+ windows программа
+ асинхронный ввод - вывод
+ никто (некто) не разрабатывал свой компилятор, а пользовался чем-то стандартным.
+ не получается найти сам язык в виде текста (в LabView - графическое представление текста программы)

исправлено: ElfkbntVtyzGj;fkeqcnf, 08 мар 2012, 22:16

Создание полноценного компилятора "с нуля", как известно, очень затратно, не очень верится, что сейчас кто-то будет его реализовывать (хотя вероятность всё же есть). Поэтому для начала неплохо бы определить, что именно использовалось для генерации машинного кода. Это может быть компилятор C (msvc, gcc, clang, watcom, borland, Intel C++ и.т.д.), компилятор какого-либо другого языка в машинный код (Delphi разве что вспоминается), общедоступный backend компилятора (их 2 - gcc и llvm).

>>> Однако для классов Фреймворка Duqu этот порядок не фиксирован - параметр может передаваться в любом регистре или в стеке.

Хмм.. вот это отсекает почти все среды генерации кода, разве нет вообще абсолютно никакого соглашения о передаче параметров в функции? Даже в такой гибкой среде, как llvm, используются несколько фиксированных соглашений о передаче параметров (платформонезависимые, как cdecl, либо специфичные для ОС - win32 stdcall, win64 call, и.т.д). Если всё же такого соглашения нет, то похоже, что использовалась сильномодифицированная opensource (скорее всего llvm, ибо там разобраться и что-то переделать на порядок проще, чем в gcc) среда генерации кода, или всё-же что-то самописное - в этом случае frontend компилятора тоже самописный и язык определить будет сложнее.

Если инструмент кодогенерации будет определён, то это заметно облегчит поиск самого языка. Тут надо идти с двух сторон - выявить архитектурные элементы (этим уже занимаются, определили, что используется разновидность ООП, каждый объект содержит таблицу функций, в отличии от всех известных реализаций C++, где используется ссылка на vtable, и.т.д.) и, с другой стороны, собирая информацию о frontend-ах, использующих инструмент кодогенерации, определённый ранее... Наверное, такой подход лучше тупого перебора всех подряд компиляторов=)