Flame (вредоносное ПО) - Flame (malware)

Не путать с Stoned (компьютерный вирус) § Flame / Stamford, или же Flaming (Интернет).

Пламя,[а] также известный как Flamer, sKyWIper,[b] и Skywiper,[2] модульный компьютер вредоносное ПО открыт в 2012 году[3][4] атакует компьютеры, работающие Майкрософт Виндоус Операционная система.[5] Программа используется для целевых кибершпионаж в Ближневосточный страны.[1][5][6]

Об его открытии 28 мая 2012 г. объявил Центр Ирана МАГЕР. Группа реагирования на компьютерные чрезвычайные ситуации (CERT),[5] Лаборатория Касперского[6] и CrySyS Lab из Будапештский технологический и экономический университет.[1] Последний из них заявил в своем отчете, что Flame «определенно является самым сложным вредоносным ПО, с которым мы сталкивались во время нашей практики; возможно, это самое сложное вредоносное ПО из когда-либо обнаруженных».[1] Пламя может распространиться на другие системы через локальная сеть (ЛВС). Он может записывать аудио, скриншоты, активность клавиатуры и сетевой трафик.[6] Программа также записывает Skype разговоров и может превратить зараженные компьютеры в Bluetooth маяки, которые пытаются загрузить контактную информацию с близлежащих устройств с поддержкой Bluetooth.[7] Эти данные вместе с локально сохраненными документами отправляются в один из нескольких командование и контроль серверы, разбросанные по всему миру. Затем программа ожидает дальнейших инструкций от этих серверов.[6]

По оценкам «Лаборатории Касперского» на май 2012 года, Flame первоначально заразил около 1000 машин,[7] с жертвами, включая правительственные организации, образовательные учреждения и частных лиц.[6] На тот момент 65% заражений приходилось на Иран, Израиль, Палестину, Судан, Сирию, Ливан, Саудовскую Аравию и Египет.[3][6] с «огромным большинством целей» внутри Ирана.[8] О пламени также сообщалось в Европе и Северной Америке.[9] Flame поддерживает команду «kill», которая стирает с компьютера все следы вредоносного ПО. Первоначальные заражения Flame прекратили работу после того, как его опубликовали, и была отправлена ​​команда «убить».[10]

Пламя связано с Группа уравнений Лаборатории Касперского. Однако Костин Райу, директор глобальной исследовательской и аналитической группы «Лаборатории Касперского», считает, что группа сотрудничает только с создателями Flame и Stuxnet с позиции превосходства: «Equation Group определенно являются хозяевами, и они дают другим, может быть, хлебные крошки. Время от времени они дают им некоторые вкусности для интеграции в Stuxnet и Flame».[11]

В 2019 году исследователи Хуан Андрес Герреро-Сааде и Силас Катлер объявили о своем открытии возрождения Пламени.[12][13] Злоумышленники использовали временную метку, чтобы новые образцы выглядели так, как будто они были созданы до команды suicide. Однако ошибка компиляции включала реальную дату компиляции (примерно 2014 г.). Новая версия (названная исследователями «Flame 2.0») включает новые механизмы шифрования и запутывания, чтобы скрыть ее функциональность.[14]

История

Flame (также известный как Da Flame) был идентифицирован в мае 2012 года Центром MAHER Иранского национального CERT, Лабораторией Касперского и CrySyS Lab (Лаборатория криптографии и системной безопасности) Будапештского технологического и экономического университета в ответ на запрос Лаборатории Касперского в Организации Объединенных Наций. Международный союз электросвязи для расследования сообщений о вирусе, поражающем Министерство нефти Ирана компьютеры.[7] В ходе расследования «Лаборатория Касперского» обнаружила MD5 хэш и имя файла, которое появлялось только на машинах клиентов из стран Ближнего Востока. Обнаружив другие части, исследователи назвали программу «Пламя» в честь одного из основных модулей внутри инструментария. [FROG.DefaultAttacks.A-InstallFlame].[7]

По словам Касперского, Flame работал в дикой природе как минимум с февраля 2010 года.[6] CrySyS Lab сообщила, что имя файла основного компонента наблюдалось еще в декабре 2007 года.[1] Однако дату его создания невозможно определить напрямую, поскольку даты создания модулей вредоносной программы ошибочно установлены на даты еще в 1994 году.[7]

Компьютерные эксперты считают это причиной атаки в апреле 2012 года, в результате которой иранские власти отключили свои нефтяные терминалы от Интернета.[15] В то время Агентство новостей иранских студентов назвал вредоносное ПО, вызвавшее атаку, "Wiper" - именем, данным ему создателем вредоносного ПО.[16] Однако «Лаборатория Касперского» считает, что Flame может быть «совершенно отдельной инфекцией» от вредоносного ПО Wiper.[7] Из-за размера и сложности программа описывается как "в двадцать раз" сложнее, чем Stuxnet - Лаборатория заявила, что для полного анализа может потребоваться до десяти лет.[7]

28 мая иранский CERT объявил, что он разработал программу обнаружения и инструмент удаления для Flame и в течение нескольких недель распространял их среди «избранных организаций».[7] После разоблачения Flame в средствах массовой информации, Symantec сообщил 8 июня, что некоторые компьютеры управления и контроля (C&C) Flame отправили на зараженные компьютеры команду «самоубийства», чтобы удалить все следы Flame.[10]

По оценкам «Лаборатории Касперского» в мае 2012 года, изначально Flame заразил около 1000 машин,[7] с жертвами, включая правительственные организации, образовательные учреждения и частных лиц.[6] В то время наиболее пострадавшими странами были Иран, Израиль, Палестинские территории, Судан, Сирия, Ливан, Саудовская Аравия и Египет.[3][6]

Операция

ИмяОписание
Список кодовых имен для различных семейств модули в исходном коде Flame и их возможное назначение[1]
ПламяМодули, выполняющие атакующие функции
Способствовать ростуМодули сбора информации
КолбаТип модуля атаки
ДжиммиТип модуля атаки
жеватьМодули установки и распространения
Легкая закускаМодули местного распространения
КорректировщикМодули сканирования
ТранспортМодули репликации
ЭйфорияМодули утечки файлов
Головная больПараметры или свойства атаки

Пламя - нехарактерно большой программа на вредоносное ПО в 20мегабайты. Частично это написано в Lua язык сценариев с скомпилированным C ++ код, связанный с ним, и позволяет загружать другие модули атаки после первоначального заражения.[6][17] Вредоносная программа использует пять различных методов шифрования и SQLite база данных для хранения структурированной информации.[1] Метод, используемый для внедрения кода в различные процессы, является скрытым, поскольку модули вредоносного ПО не отображаются в списке модулей, загруженных в процесс, и вредоносных программ. страницы памяти защищены READ, WRITE и EXECUTE разрешения что делает их недоступными для приложений пользовательского режима.[1] Внутренний код имеет мало общего с другими вредоносными программами, но использует две из тех же уязвимостей безопасности, которые ранее использовались Stuxnet для заражения систем.[c][1] Вредоносная программа определяет, что антивирусное программное обеспечение установлен, а затем настраивает свое поведение (например, изменяя расширения файлов он использует), чтобы уменьшить вероятность обнаружения этим программным обеспечением.[1] Дополнительные индикаторы компрометации включают: мьютекс и реестр активность, например установка подделки аудио Водитель которые вредоносное ПО использует для сохранения устойчивости к скомпрометированной системе.[17]

Flame не предназначен для автоматического отключения, но поддерживает функцию «уничтожения», которая заставляет его удалять все следы своих файлов и операций из системы при получении модуля от ее контроллеров.[7]

Флейм был подписан мошенническим свидетельство предположительно из центра сертификации Microsoft Enforcement Licensing Intermediate PCA.[18] Авторы вредоносного ПО идентифицировали Microsoft Терминальный сервер Сертификат службы лицензирования, который случайно был включен для подписи кода и все еще использовал слабый MD5 алгоритм хеширования, а затем предоставили поддельную копию сертификата, который они использовали для знак некоторые компоненты вредоносного ПО, чтобы создать впечатление, что они исходят от Microsoft.[18] Успешный столкновение против сертификата было ранее продемонстрировано в 2008 году,[19]но Flame реализовал новую вариацию атаки с выбранным префиксом.[20]

Развертывание

Как и ранее известное кибероружие Stuxnet и Duqu, он используется целенаправленно и может обойти текущее программное обеспечение безопасности с помощью руткит функциональность. После заражения системы Flame может распространяться на другие системы по локальной сети или через USB-накопитель. Он может записывать аудио, скриншоты, действия клавиатуры и сетевой трафик.[6] Программа также записывает разговоры по Skype и может превращать зараженные компьютеры в маяки Bluetooth, которые пытаются загрузить контактную информацию с расположенных поблизости устройств с поддержкой Bluetooth.[7] Эти данные вместе с локально сохраненными документами отправляются на один из нескольких командно-управляющих серверов, разбросанных по всему миру. Затем программа ожидает дальнейших инструкций от этих серверов.[6]

В отличие от Stuxnet, который был разработан для саботаж промышленный процесс, Flame, похоже, был написан исключительно для шпионаж.[21] Похоже, что он не нацелен на конкретную отрасль, а скорее представляет собой «полный набор инструментов атаки, предназначенный для общих целей кибершпионажа».[22]

Используя технику, известную как синяк, Касперский продемонстрировал, что «подавляющее большинство целей» находилось на территории Ирана, и злоумышленники особенно стремились AutoCAD рисунки PDF-файлы, и текстовые файлы.[8] Эксперты по вычислительной технике заявили, что программа собирала технические схемы для разведывательных целей.[8]

Сеть из 80 серверов в Азии, Европе и Северной Америке использовалась для удаленного доступа к зараженным машинам.[23]

Источник

19 июня 2012 г. Вашингтон Пост опубликовал статью, в которой утверждал, что Flame был совместно разработан США. Национальное Агенство Безопасности, ЦРУ и израильские военные, по крайней мере, пятью годами ранее. Сообщается, что этот проект является частью секретных усилий под кодовым названием Олимпийские игры, который был предназначен для сбора разведывательной информации в рамках подготовки к кибер-саботажной кампании, направленной на замедление ядерных усилий Ирана.[24]

По словам главного эксперта по вредоносным программам «Лаборатории Касперского», «география целей, а также сложность угрозы не оставляют сомнений в том, что это национальное государство спонсировало исследование, которое было посвящено этой угрозе».[3] Вначале Касперский сказал, что вредоносная программа не похожа на Stuxnet, хотя, возможно, это был параллельный проект, заказанный теми же злоумышленниками.[25]После дальнейшего анализа кода Касперский позже сказал, что между Flame и Stuxnet существует тесная связь; ранняя версия Stuxnet содержала код для распространения через USB-накопители, который почти идентичен модулю Flame, который использует тот же уязвимость нулевого дня.[26]

Иранский CERT охарактеризовал шифрование вредоносной программы как имеющее «особую схему, которую вы видите только из Израиля».[27] Дейли Телеграф сообщил, что из-за очевидных целей Flame, включая Иран, Сирию и западное побережье - Израиль стал «главным подозреваемым для многих комментаторов». Другие комментаторы назвали Китай и США в качестве возможных преступников.[25] Ричард Сильверстайн комментатор, критикующий политику Израиля, заявил, что он подтвердил «высокопоставленным израильским источникам», что вредоносная программа была создана израильскими компьютерными экспертами.[25] The Jerusalem Post написал, что вице-премьер Израиля Моше Яалон похоже, намекнул, что его правительство несет ответственность,[25] но представитель Израиля позже отрицал, что это подразумевалось.[28] Неназванные представители службы безопасности Израиля предположили, что зараженные машины, обнаруженные в Израиле, могут означать, что вирус может быть отслежен в США или других западных странах.[29] США официально отрицали ответственность.[30]

В просочившемся документе АНБ упоминается, что дело с обнаружением Ирана ПЛАМЕНИ является АНБ и GCHQ совместное мероприятие.[31]

Смотрите также

Примечания

  1. ^ «Пламя» - одна из строк кода, распространенное название атак, скорее всего, эксплойтов.[1]
  2. ^ Название «sKyWIper» происходит от букв «KWI», которые вредоносная программа использует как частичное имя файла.[1]
  3. ^ MS10-061 и MS10-046

Рекомендации

  1. ^ а б c d е ж грамм час я j k «sKyWIper: комплексное вредоносное ПО для целевых атак» (PDF). Будапештский технологический и экономический университет. 28 мая 2012. Архивировано с оригинал (PDF) 30 мая 2012 г.. Получено 29 мая 2012.
  2. ^ «Flamer: очень изощренная и скрытая угроза нацелена на Ближний Восток». Symantec. В архиве с оригинала 30 мая 2012 г.. Получено 30 мая 2012.
  3. ^ а б c d Ли, Дэйв (28 мая 2012 г.). «Пламя: обнаружена масштабная кибератака, говорят исследователи». Новости BBC. В архиве с оригинала 30 мая 2012 г.. Получено 29 мая 2012.
  4. ^ МакЭлрой, Дэмиен; Уильямс, Кристофер (28 мая 2012 г.). "Flame: обнаружен самый сложный компьютерный вирус в мире". Дейли Телеграф. В архиве с оригинала 30 мая 2012 г.. Получено 29 мая 2012.
  5. ^ а б c «Выявление новой целевой кибератаки». Группа реагирования на компьютерные чрезвычайные ситуации в Иране. 28 мая 2012. Архивировано с оригинал 30 мая 2012 г.. Получено 29 мая 2012.
  6. ^ а б c d е ж грамм час я j k л Гостев, Александр (28 мая 2012 г.). «Пламя: вопросы и ответы». Securelist. Архивировано из оригинал 30 мая 2012 г.. Получено 29 мая 2012.
  7. ^ а б c d е ж грамм час я j k Зеттер, Ким (28 мая 2012 г.). "Встречайте" Flame ", массовое шпионское вредоносное ПО, проникающее на иранские компьютеры". Проводной. В архиве с оригинала 30 мая 2012 г.. Получено 29 мая 2012.
  8. ^ а б c Ли, Дэйв (4 июня 2012 г.). "Flame: злоумышленники разыскивают конфиденциальные данные Ирана"'". Новости BBC. Получено 4 июн 2012.
  9. ^ Мерфи, Саманта (5 июня 2012 г.). «Встречайте Flame, самое противное компьютерное вредоносное ПО». Mashable.com. Получено 8 июн 2012.
  10. ^ а б "Создатели вредоносного ПО Flame отправляют" суицидный "код". Новости BBC. 8 июня 2012 г.. Получено 8 июн 2012.
  11. ^ Уравнение: Звезда смерти галактики вредоносных программ В архиве 17 февраля 2015 г. Wayback Machine, SecureList, Костин Райу (директор глобальной группы исследований и анализа «Лаборатории Касперского»): «Мне кажется, Equation Group - это те, у кого самые крутые игрушки. Время от времени они делятся ими с группой Stuxnet и группой Flame, но изначально они доступны только для людей Equation Group. Equation Group определенно являются хозяевами, и они дают остальным, может быть, хлебные крошки. Время от времени они дают им некоторые вкусности для интеграции в Stuxnet и Flame ».
  12. ^ Зеттер, Ким. «Исследователи раскрывают новую версию вредоносного ПО Infamous Flame». www.vice.com. Получено 6 августа 2020.
  13. ^ Хроника (12 апреля 2019). "Кто такая GOSSIPGIRL?". Середина. Получено 15 июля 2020.
  14. ^ Герреро-Сааде, Хуан Андрес; Катлер, Сайлас. «Пламя 2.0: Восставшее из пепла». Цитировать журнал требует | журнал = (помощь)
  15. ^ Хопкинс, Ник (28 мая 2012 г.). "Компьютерный червь, поразивший нефтяные терминалы Ирана, пока что самый сложный"'". Хранитель. В архиве с оригинала 30 мая 2012 г.. Получено 29 мая 2012.
  16. ^ Эрдбринк, Томас (23 апреля 2012 г.). «Перед лицом кибератаки иранские официальные лица отключили некоторые нефтяные терминалы от Интернета». Нью-Йорк Таймс. В архиве из оригинала 31 мая 2012 г.. Получено 29 мая 2012.
  17. ^ а б Киндлунд, Дариен (30 мая 2012 г.). «Вредоносное ПО Flamer / sKyWIper: анализ». FireEye. В архиве из оригинала 31 мая 2012 г.. Получено 31 мая 2012.
  18. ^ а б «Microsoft выпускает совет по безопасности 2718704». Microsoft. 3 июня 2012 г.. Получено 4 июн 2012.
  19. ^ Сотиров Александр; Стивенс, Марк; Аппельбаум, Иаков; Ленстра, Арьен; Мольнар, Дэвид; Освик, Даг Арне; де Вегер, Бенн (30 декабря 2008 г.). «MD5 считается сегодня вредным». Получено 4 июн 2011.
  20. ^ Стивенс, Марк (7 июня 2012 г.). «CWI Cryptanalist обнаруживает новый вариант криптографической атаки в вредоносном ПО Flame Spy». Centrum Wiskunde & Informatica. Архивировано из оригинал 28 февраля 2017 г.. Получено 9 июн 2012.
  21. ^ Коэн, Реувен (28 мая 2012 г.). «Новая массовая кибератака и промышленный пылесос для конфиденциальной информации»'". Forbes. В архиве с оригинала 30 мая 2012 г.. Получено 29 мая 2012.
  22. ^ Альбанезиус, Хлоя (28 мая 2012 г.). «Массовое« пламя »вредоносного ПО, ворующего данные на Ближнем Востоке». Журнал ПК. В архиве с оригинала 30 мая 2012 г.. Получено 29 мая 2012.
  23. ^ «Вирус пламени: пять фактов, которые нужно знать». Таймс оф Индия. Рейтер. 29 мая 2012 г. В архиве с оригинала 30 мая 2012 г.. Получено 30 мая 2012.
  24. ^ Накашима, Эллен (19 июня 2012 г.). «США и Израиль разработали компьютерный вирус Flame, чтобы замедлить ядерные усилия Ирана, - заявляют официальные лица». Вашингтон Пост. Получено 20 июн 2012.
  25. ^ а б c d «Вирус пламени: кто стоит за самым сложным в мире шпионским ПО?». Дейли Телеграф. 29 мая 2012 г. В архиве с оригинала 30 мая 2012 г.. Получено 29 мая 2012.
  26. ^ «Ресурс 207: Исследования Лаборатории Касперского доказывают, что разработчики Stuxnet и Flame связаны». Лаборатория Касперского. 11 июня 2012 г.
  27. ^ Эрдбринк, Томас (29 мая 2012 г.). «Иран подтверждает атаку вируса, собирающего информацию». Нью-Йорк Таймс. В архиве с оригинала 30 мая 2012 г.. Получено 30 мая 2012.
  28. ^ Цукаяма, Хейли (31 мая 2012 г.). «Кибероружие Flame написано с использованием кода игрока, - говорится в отчете». Вашингтон Пост. Получено 31 мая 2012.
  29. ^ "Иран: борьба с вирусом" Flame "началась с нефтяной атаки". Время. Ассошиэйтед Пресс. 31 мая 2012 г. Архивировано с оригинал 3 июня 2012 г.. Получено 31 мая 2012.
  30. ^ «Пламя: Израиль отвергает ссылку на кибератаки вредоносного ПО». Новости BBC. 31 мая 2012 года. Получено 3 июн 2012.
  31. ^ «Посетите Précis: сэр Иэн Лоббан, KCMG, CB; директор, штаб-квартира правительственной связи (GCHQ) 30 апреля 2013 - 1 мая 2013» (PDF).