Program Flame nadal aktywny

Przeczytaj także: Nowy szkodliwy program Gauss

Podczas badania, przeprowadzonego przez firmę Kaspersky Lab we współpracy z organizacjami IMPACT Alliance Telecommunication Union, CERT-Bund/BSI oraz Symantec, szczegółowo przeanalizowano wiele serwerów kontroli wykorzystywanych przez twórców Flame’a. Analiza ujawniła nowe, przełomowe fakty na temat tej cyberbroni. W szczególności, znaleziono ślady trzech niezidentyfikowanych jeszcze szkodliwych programów i odkryto, że platforma Flame’a istnieje już od 2006 r.

Główne ustalenia badania:

• Prace nad platformą kontroli Flame’a rozpoczęły się już w grudniu 2006 r.
• W celu ukrycia prawdziwej natury projektu przed dostawcami usług hostingowych i innymi badaczami serwery kontroli przypominały zwykły system zarządzania zawartością (CMS).
• Serwery potrafiły otrzymywać dane z zainfekowanych maszyn przy użyciu czterech różnych protokołów, a komputery zainfekowane Flamem były „obsługiwane” przez tylko jeden z nich.
• Istnienie trzech dodatkowych protokołów niewykorzystywanych przez Flame’a dowodzi, że zostały stworzone co najmniej trzy inne szkodliwe programy związane z Flamem; ich natura nie jest obecnie znana.
• Jeden z tych nieznanych szkodliwych obiektów związanych z Flamem działa obecnie na wolności.
• 
  Pewne oznaki wskazują na to, że platforma nadal jest rozwijana; w kodzie pojawia się wzmianka schemacie komunikacji o nazwie “Red Protocol”, który nie został jeszcze stworzony.
• Nic nie świadczy o tym, że serwery kontroli Flame’a były wykorzystywane do kontrolowania innych znanych szkodliwych programów, takich jak Stuxnet czy Gauss.

Kampania cyberszpiegowska o nazwie Flame została po raz pierwszy wykryta przez Kaspersky Lab w maju 2012 r. podczas dochodzenia zainicjowanego przez International Communication Unit (ICU). Złożoność kodu oraz potwierdzone związki z twórcami Stuxneta sugerują, że Flame jest kolejnym przykładem zaawansowanego, sponsorowanego przez rząd cyberprojektu. Początkowo szacowano, że Flame zaczął działać w 2010 r., jednak po pierwszej analizie infrastruktury przygotowanej przez cyberprzestępców (składającej się z co najmniej 80 znanych nazw domen) datę tę przesunięto o dwa lata wcześniej.

Wyniki ostatniego dochodzenia opierają się na analizie zawartości uzyskanej z kilku serwerów kontroli wykorzystywanych przez Flame’a. Informacje te zdobyto, mimo że infrastruktura Flame’a została wyłączona natychmiast po wykryciu przez Kaspersky Lab istnienia tego szkodliwego oprogramowania. Wszystkie serwery działały pod kontrolą 64-bitowej wersji zwirtualizowanego systemu operacyjnego Debian. Większość kodu serwerów została napisana w języku programowania PHP. W celu odwrócenia uwagi dostawców usług hostingowych twórcy Flame’a postarali się, przy użyciu pewnych metod, aby serwery wyglądały jak zwykłe systemy zarządzania zawartością (CMS).

Zastosowano zaawansowane metody szyfrowania, dzięki czemu nikt poza atakującymi nie mógł uzyskać danych przesłanych z zainfekowanych maszyn. Analiza skryptów wykorzystywanych do obsługi transmisji danych ujawniła cztery protokoły komunikacji, z których tylko jeden był kompatybilny z Flamem. To oznacza, że te serwery kontroli były wykorzystywane przez co najmniej trzy inne rodzaje szkodliwego oprogramowania. Istnieją wystarczające dowody na to, że na wolności działa przynajmniej jeden szkodliwy program związany z Flamem. Te nieznane szkodliwe programy nie zostały jeszcze wykryte.

Kolejnym istotnym ustaleniem analizy jest to, że platforma kontroli Flame’a powstawała już od grudnia 2006 r. Istnieją wskazówki sugerujące, że platforma ta nadal jest rozwijana, ponieważ na serwerach znaleziono nowy protokół o nazwie “Red Protocol”, który nie został jeszcze stworzony. Ostatnia modyfikacja kodu serwerów została dokonana 18 maja 2012 r.

„Nawet po analizie serwerów kontroli oszacowanie ilości danych skradzionych przez Flame’a stanowiło dla nas problem. Twórcy Flame’a są dobrzy w zacieraniu swoich śladów. Jednak błąd osób stojących za tymi atakami pozwolił nam stwierdzić, że na jeden serwer przesyłanych było ponad pięć gigabajtów danych tygodniowo, z ponad 5 000 zainfekowanych maszyn. Bez wątpienia jest to przykład cyberszpiegostwa prowadzonego na skalę masową” – powiedział Aleksander Gostiew, główny ekspert ds. bezpieczeństwa z Kaspersky Lab.