Stuxnet był pierwszą cyberbronią atakującą obiekty przemysłowe. W wyniku tego, że Stuxnet infekował również komputery PC zwykłych użytkowników na całym świecie, został wykryty w czerwcu 2010 r., mimo że najwcześniejsza znana wersja tego szkodliwego oprogramowania została stworzona rok wcześniej. Kolejny przykład cyberbroni, znany jako Duqu, został wykryty we wrześniu 2011 r. W przeciwieństwie do Stuxneta, trojan Duqu pełnił głównie funkcję “tylnych drzwi” do zainfekowanego systemu i kradł prywatne informacje (cyberszpiegostwo).
Podczas analizy Duqu odkryto wyraźne podobieństwa między tym szkodnikiem a Stuxnetem, które świadczą o tym, że te dwie cyberbronie zostały stworzone przy użyciu tej samej platformy ataków o nazwie “Tilded”. Flame, który został wykryty w maju 2012 r. przez Kaspersky Lab podczas analizy podejrzanego kodu przeprowadzonej na prośbę Międzynarodowego Związku Telekomunikacyjnego (ITU), na pierwszy rzut oka wydawał się całkowicie odmiennym programem. Niektóre jego cechy, takie jak rozmiar szkodliwego oprogramowania, wykorzystanie języka programowania LUA oraz różnorodna funkcjonalność, sugerowały, że Flame nie miał nic wspólnego z twórcami Duqu czy Stuxneta. Jednak nowe fakty całkowicie zmieniły historię Stuxneta i dowiodły ponad wszelką wątpliwość, że istnieją związki między platformą “Tilded” a platformą Flame’a.
Najwcześniejsza znana wersja Stuxneta, stworzona prawdopodobnie w czerwcu 2009 r., zawiera specjalny moduł o nazwie “Resource 207”. W kolejnej wersji Stuxneta z 2010 r. moduł ten został całkowicie usunięty. Moduł “Resource 207” to zaszyfrowany plik DLL, który zawiera plik wykonalny o rozmiarze 351 768 bajtów o nazwie “atmpsvcn.ocx”. Plik ten, jak wykazało badanie Kaspersky Lab, ma wiele wspólnego z kodem wykorzystanym we Flamie. Lista uderzających podobieństw obejmuje nazwy wzajemnie wykluczających się obiektów, algorytm służący do deszyfracji oraz podobne podejścia do nazewnictwa plików.
Ponadto, większość sekcji kodu w odpowiednich modułach Stuxneta i Flame’a wydaje się być identyczna lub podobna, na podstawie czego można wnioskować, że współpraca między zespołami odpowiedzialnymi za Flame’a i Duqu/Stuxneta miała formę wymiany kodu źródłowego (nie binarnego). Główna funkcjonalność modułu “Resource 207” Stuxneta obejmowała przenoszenie infekcji z jednej maszyny na drugą przy użyciu wymiennych urządzeń USB oraz z wykorzystaniem luki w zabezpieczeniu jądra Windowsa umożliwiającej zwiększenie przywilejów w systemie. Kod odpowiedzialny za dystrybucję szkodliwego oprogramowania za pośrednictwem urządzeń USB jest identyczny jak ten wykorzystany w robaku Flame.
Aleksander Gostiew, główny ekspert ds. bezpieczeństwa w Kaspersky Lab, powiedział:
“Niezależnie od nowych faktów jesteśmy przekonani, że Flame i Tilded to całkowicie różne platformy, wykorzystywane do rozwoju wielu cyberbroni. Każda z nich ma inną architekturę i wykorzystuje unikatowe sztuczki do infekowania systemów i realizowania podstawowych zadań. Były to bez wątpienia oddzielne i niezależne od siebie projekty. Jednak nowe ustalenia, zgodnie z którymi oba zespoły współdzieliły kod źródłowy co najmniej jednego modułu na wczesnych etapach rozwoju szkodników, potwierdzają, że obie grupy współpracowały ze sobą przynajmniej jeden raz. Odkryliśmy bardzo mocny dowód istnienia związków między cyberbronią Stuxnet/Duqu a Flame”.