Analitykom udało się, we współpracy z organizacjami GoDaddy oraz OpenDNS, odłączyć większość szkodliwych domen wykorzystywanych przez infrastrukturę serwerów kontroli Flame’a. Szczegółowe badanie ujawniło następujące informacje:
- Działająca od kilku lat infrastruktura serwerów kontroli Flame’a została wyłączona natychmiast po tym, jak eksperci z Kaspersky Lab wykryli istnienie zagrożenia w ubiegłym tygodniu.
- Obecnie istnieje ponad 80 znanych domen wykorzystywanych przez serwery kontroli Flame’a. Domeny te zostały zarejestrowane w latach 2008 – 2012.
- W ciągu ubiegłych czterech lat serwery przechowujące infrastrukturę kontrolującą Flame’a były przenoszone między wieloma państwami, łącznie z Polską, Hong Kongiem, Turcją, Niemcami, Malezją, Łotwą, Wielką Brytanią oraz Szwajcarią.
- Do rejestracji domen wykorzystywanych do kontrolowania Flame’a korzystano z ogromnej ilości fałszywych tożsamości.
- Z najnowszych danych Kaspersky Lab wynika, że zainfekowani użytkownicy zostali zidentyfikowani w wielu częściach świata, łącznie z Bliskim Wschodem, Europą, Ameryką Północną oraz Azją.
- Atakujący korzystający z Flame’a wydają się być szczególnie zainteresowani plikami PDF, dokumentami pakietu Office oraz projektami z aplikacji AutoCad.
- Dane przesyłane przez robaka Flame do serwerów kontroli są zaszyfrowane przy użyciu prostych metod. Skradzione dokumenty są kompresowane przy użyciu biblioteki Zlib (open source) oraz zmodyfikowanej kompresji PPDM.
Eksperci z Kaspersky Lab dziękują Willamowi MacArthurowi, GoDaddy Network Abuse Department oraz zespołowi OpenDNS Security Research Team za wsparcie w analizie robaka Flame.
W ubiegłym tygodniu analitycy z Kaspersky Lab kontaktowali się z centrami CERT w wielu krajach i informowali o domenach oraz adresach IP serwerów wykorzystywanych w infrastrukturze kontroli Flame’a. Kaspersky Lab dziękuje wszystkim centrom, które pomagały w prowadzeniu dochodzenia.
Wszystkie osoby reprezentujące organizacje GovCERT, które chcą uzyskać więcej informacji na temat domen C2 wykorzystywanych w infrastrukturze robaka Flame, prosimy o kontakt pod adresem [email protected].
Najnowszą odsłonę analizy robaka Flame zatytułowaną “Dach płonie: walka z serwerami kontroli Flame’a” można znaleźć w Encyklopedii Wirusów VirusList.pl prowadzonej przez Kaspersky Lab: http://www.viruslist.pl/weblog.html?weblogid=794.