Flame – najgroźniejsze z zagrożeń?
– Flame jest inny! Rozmiar pliku jest duży, jego złożoność ogromna, a jego możliwości… cóż widzieliśmy je wcześniej. Jednak bardzo trudno będzie i jest określić liczbę zainfekowanych komputerów teraz i w przyszłości, ponieważ skutecznie usuwa się z zainfekowanej maszyny.” – mówi Łukasz Nowatkowski, Dytektor Techniczy w G Data Software.
Po analizie złośliwego oprogramowania potwierdziliśmy niektóre z elementów odkrytych przez CrySyS Lab oraz Kaspersky Labs. W większości informacji prasowych dowiesz się o nowo odkrytym narzędziu. Flame został ochrzczony jako nowe, wyrafinowane zagrożenie w całej historii przemysłu cyberprzestępczego.
Z pewnych względów tak jest:
- Posiada modułowy zestaw narzędzi aby wykonać swoje złośliwe funkcje:
- Tworzy plik na dysku w lokalizacji C:Program filesCommon FilesMicrosoft SharedMssecuritymgrssitable, o nazwie “mscrypr.dat” – to zaszyfrowany plik zawierający kod, dane i parametry konfiguracyjne dla potrzeb ataków.
- Dodatkowy plik o rozmiarze 6 MB – podstawowy plik szkodnika – “mssecmgr.ocx” – trudny do przeprowadzenia operacji debagowania.
- Posiada funkcjonalność backdoora, trojana i robaka, który został stworzony do wykradania danych – kierowany poleceniami swojego twórcy.
- Wstrzykuje swój kod o plików systemowych aby pozostać aktywnym na zinfekowanej maszynie (infekcja plików typu explorer.exe, services.exe oraz winlogon.exe).
- Potrafi być niewykrywalnym dla niektórych antywirusów zainstalowanych w systemie ofiary.
- Aby zapewnić sobie stałą obecność w systemie, modyfikuje rejestr LSA, dodając siebie jako LSA Authentication Package.
- Sprawdza połączenie z Internetem za pomocą funkcji Windows Update zanim wykona jego wykonanie.
- Jako tylne drzwi (backdoor) zajmuje się kolekcjonowaniem danych, używając komunikacji C&C (http over SSL/SSH): Wysyła informacje szczegółowe o zainfekowanej maszynie, może uzyskać informacje dotyczące o dyskach, może uzyskać informacje o dostępnych dokumentach, może zrobić zrzut ekrany, nagrywać za pomocą mikrofonu zdarzenia audio, może kontrolować Bluetooth w celu nawiązywania kontaktów z urządzeniami w pobliżu, może wylistować pliki w żądanych folderach, może właściwie wszystko (podstawowe funkcjonalności) czego zapragnie jego użytkownik – cybernetyczny złodziej – ponieważ posiada pełne uprawnienia do plików i funkcji na zainfekowanej maszynie.
- Posiada własną bazę danych do której zapisuje pozyskane informacje.
- Posiada również możliwość do wykonania zapytań za pomocą skryptów Lua do bazy danych SQLite. To funkcja dość niespotykana w tego typu narzędziach, a umożliwia wykonani skryptów zagnieżdżonych w szybki sposób.
- Może również przechwytywać ruch sieciowy!
- Jednym ze sposobów rozprzestrzeniania się w sieciach lokalnych jest błąd oprogramowania drukarek (CVE-2010-2729), wykonywanie zdalnych zadań i poprzez urządzenia pamięci masowej podłączane do komputerów (pendrive’y, dyski zewnętrzne).
Jednym słowem Flame jest zbyt dużym szkodnikiem aby opisać jego funkcjonalność w krótkim czasie. Ponieważ głównym celem robaka jest kradzież danych na szeroką skalę, analitycy będą musieli zbadać dokładnie, co, gdzie i kiedy oraz do kogo przesyłane są dane pozyskane przez szkodnika. Na razie nie wiadomo, czy program został stworzony dla szpiegowania rządów, graczy, przemysłu w celu przeprowadzenia ukierunkowanego ataku?