Analiza Flameovih C&C infrastruktur

6. Junij 2012 - 2:35

28. maja, 2012 je Kaspersky Lab naznanil odkritje visoko sofisticiranega zlonamernega programa, poznanega pod imenom Flame, ki je bil aktivno uporabljen kot kiber orožje zoper entitete različnih držav. Flame so odkrili strokovnjaki Kaspersky Laba med raziskavo spodbujeno s strani Mednarodnega telekomunikacijskega združenja. Analiza zlonamernega programa je razkrila, da je Flame največje in najbolj kompleksno orodje za napade do sedaj.

Analiza s strani Kaspersky Lab-a je razkrila, da je zlonamerni program trenutno uporabljen za kiber vohunjenje in za krajo datotek in občutljivih informacij okuženih računalnikov. Ukradene datoteke nato posreduje enem izmed Flameovih ukazovalnih&kontrolnih (C&C) strežnikov.
Kaspersky Lab je intenzivno spremljal Flameovo C&C infrastrukturo in objavil izsledke natančne raziskave.

V sodelovanju z GoDaddy in OpenDNS, je Kaspersky Lab uspel potopiti večino zlonamernih domen uporabljenih s strani Flameovih C&C infrastruktur. Sledeča dejstva povzemajo izsledke analize:

• Flameova infrastruktura, ki je delovala že več let, je bila ukinjena s spleta takoj ko je Kaspersky Lab razkril svoje odkritje obstoja zlonamernega programa v prejšnjem tednu.
• Trenutno je znanih več kot 80 Flameovih domen uporabljenih za C&C strežnike in z njim povezanih domen , ki so bile registrirane med letoma 2008 in 2012.
• V zadnjih 4 letih so strežniki, ki so gostili Flameovo C&C infrastrukturo večkrat menjali lokacijo, vključujoč Hong Kong, Turčijo, Nemčijo, Poljsko; Malezijo, Latvijo, Združeno kraljestvo in Švico.
• Flameove C&C domene so bile registrirane preko obsežnega seznama lažnih identitet in preko različnih registratorjev, ki segajo vse do leta 2008. Kaspersky Lab je sporočil, da so prizadeti uporabniki registrirani v številnih regijah Bližnjega vzhoda, Evrope, Severne Amerike, Azije in Tihe Oceanije.
• Flameovi napadalci so imeli visok interese za PDF, Office in AutoCad.
• Podatek naložen na Flameovo infrastrukturo je šifriran z uporabo relativno preprostih algoritmov. Ukradeni dokumenti so stisnjeni z uporabo odprtega vira Zlib in prilagojenega PPDM kompresorja.
• Windows 7 64 bit, katerega so v Kaspersky Labu predlagali kot dobro rešitev za obrambo pred zlonamernimi programi, je očitno učinkovit tudi zoper Flame.