卡巴斯基遭APT攻击长达数月未察觉

        Duqu2.0是现今为止最为复杂的蠕虫，广泛应用于各种APT攻击事件中。卡巴斯基实验室经常会披露各机构遭APT攻击，但是这次却亲身感受了下，且被攻击长达数月未察觉。
       Duqu最早出现在2011年9月，是继Stuxnet蠕虫后最为恶性的一种可窃取信息的蠕虫，大多数Duqu出现在工控系统中。它是一非常复杂的恶意程序，利用了大量的0day漏洞和恶意软件。安全研究员发现Duqu2.0的目标主要是新近P5+1的伊朗核武器谈判和IT安全公司，当然还不止这些，西方国家、亚洲国家、中东国家也在他们的攻击范围之内。
        据卡巴斯基实验室的研究员人员的调查发现Duqu2.0使用的0day主要有以下3种：CNNVD-201506-178、CNNVD-201410-308、CNNVD-201411-318。
       卡巴斯基实验室在检测高级持续性攻击（APT）新技术时，无意中发现了Duqu2.0的入侵行为，专家确定Duqu2.0应该已经在公司的网络中潜伏数月了，同时表示卡巴斯基的用户或合作伙伴的信息没有收到威胁。此次攻击应该是以钓鱼攻击开始的，攻击者先从亚太地区一小公司职员入手的，通过钓鱼攻击层层地入侵，直至入侵卡巴斯基实验室的内网。
        检测到Duqu2.0的入侵之后，卡巴斯基实验室就开始了大规模的内部审计，并且一直还在持续审计中。之所以做出了规格如此高的审核，就是因为他们也认为Duqu2.0是极其复杂的恶意程序，稍有不慎就有可能被趁机而入了。新型的Duqu和2011年出现的变种很像，还有一个比较有趣的现象是Duqu2.0的幕后黑手似乎只在周六的时候不工作。
        Duqu2.0不会建立任何on-desk文件，也不会生成注册表目录，它是一种基于内存的应用程序，因此很难检测到；另外它与控制服务器通信时所使用的系统也很复杂，它不会直接与C&C服务器进行通信，而是会先在网关和防火墙处安装恶意驱动，然后将所有流经内部网络的流量发送到攻击者C&C服务器上。这样一经混合，就很难被检测到了。