Спіймали «Flame»

Спіймали «Flame»

«Лаборатория Касперского» сообщила об обнаружении вредоносной программы, которая по сложности и функционалу превосходит Duqu и Stuxnet, а в настоящий момент активно используется для шпионажа в Иране, Ливане, Сирии, Судане, Израиле и Палестине. Общее количество заражённых машин составляет около тысячи.

Вредоносная программа Flame была обнаружена «Лабораторией Касперского» во время исследования, инициированного Международным союзом электросвязи (ITU) после серии инцидентов с другой, пока ещё неизвестной вредоносной программой под кодовым именем Wiper/Viper, которая уничтожала данные на компьютерах министерства нефти Ирана. Во время анализа инцидентов была выявлена совершенно другая программа, сейчас известная как Flame или Flamer (хотя в ней тоже есть модуль Viper, это просто совпадение). По предварительным данным, Flame активно используется в Иране с марта 2010 года (именно тогда был впервые зарегистрирован файл ~ZFF042.TMP). Из-за своей исключительной сложности и направленности на конкретные цели, до настоящего момента Flame не мог быть обнаружен ни одним защитным продуктом.

По таким характеристикам, как география атак, использование специфичных уязвимостей в ПО и точная таргетированность, Flame относится к той же категории сложного кибероружия, что Duqu и Stuxnet. Для распространения Flame использует ту же уязвимость в службе диспетчера печати и тот же метод заражения через USB-устройства, что и червь Stuxnet. Программа способна инфицировать полностью пропатченную версию Windows 7, но пока исследователи не могут найти в программе код 0day-эксплойта.

Согласно имеющимся данным, основная задача Flame — шпионаж с использованием информации, украденной с заражённых машин. Похищенные данные передаются в сеть командных серверов, размещённых в разных частях света. Отдельные модули программы предназначены для записи разговоров Skype, сканирования Bluetooth-устройств с копированием адресных книг, сохранение скриншотов каждые 15-60 секунд, в зависимости от запущенного приложения, отправка их через защищённое SSL-соединение, сниффер сетевого трафика с перехватом имён пользователей, хэшей паролей и т.д. Это делает её одним из наиболее сложных и полнофункциональных средств проведения кибератак из обнаруженных на сегодняшний день.

Эксперты «Лаборатории Касперского» в настоящее время проводят углубленный анализ Flame. В ближайшие дни планируется публикация серии материалов, раскрывающих подробности о новой угрозе. На данный момент известно, что вредоносная программа насчитывает около 20 мегабайт исполняемого кода со всеми модулями и плагинами, многочисленные библиотеки, базы данных SQLite3, несколько уровней шифрования и фрагменты кода на языке программирования Lua. Анализ кода Flame может занять до десяти лет, считает главный антивирусный эксперт «Лаборатории Касперского» Александр Гостев.

20-мегабайтная программа загружается на компьютер по частям: сначала базовый компонент размером 6 МБ с несколькими основными модулями в архивированном виде, затем подгружаются остальные модули по мере необходимости. Один из самых маленьких модулей Flame состоит из 70000 строк кода на C с более чем 170 зашифрованными строками.

Основные компоненты Flame
Windows\System32\mssecmgr.ocx — основной модуль, в реестре HKEY_LOCAL_MACHINE\CurrentControlSet\Control\Lsa\Authentication Packages
Windows\System32\msglu32.ocx
Windows\System32\nteps32.ocx
Windows\System32\advnetcfg.ocx
Windows\System32\soapr32.ocx
В дальнейшей работе используются файлы с такими названиями:
~dra52.tmp
target.lnk
zff042
urpd.ocx
ccalc32.sys
boot32drv.sys
Pcldrvx.ocx
~KWI
guninst32
~HLV
~DEB93D.tmp
~DEB83C.tmp
~dra53.tmp
cmutlcfg.ocx
~DFL983.tmp
~DF05AC8.tmp
~DFD85D3.tmp
~a29.tmp
dsmgr.ocx
~f28.tmp
~dra51k.tmp
~d43a37b.tmp
~dfc855.tmp
Ef_trace.log
contents.btr
wrm3f0
scrcons.exe
wmiprvse.exe
wlndh32
mprhlp
kbdinai
~ZLM0D1.ocx
~ZLM0D2.ocx
sstab
~rcf0
~rcj0

«Важно понимать, что подобное кибероружие легко может быть обращено против любого государства. Кроме того, в кибервойнах, в отличие от традиционных, развитые страны оказываются наиболее уязвимыми», — прокомментировал обнаружение Flame генеральный директор «Лаборатории Касперского» Евгений **********.

UPD. Иранский центр информирования о киберугрозах опубликовал информацию о Flame/Flamer.

UPD2. Описание Flame первой сделала венгерская лаборатория CrySyS Lab под названием sKyWiper: .

Источник:



Віртуальний шпигун піймався. Російські експерти в галузі комп’ютерної безпеки повідомили, що виявили вірус, який близько п’яти років збирав секретну інформацію з комп’ютерів на Близькому Сході.

Програму-шкідника назвали «Flame». Як кажуть фахівці однієї з популярних антивірусних програм, під час крадіжки, вірус вдавався до найрізноманітніших способів.

Наприклад, робив скріншоти з моніторів, вмикав мікрофони й записував розмови, копіював переписку в чатах.

Flame збирав інформацію як з приватних комп’ютерів, так із комерційних і державних систем в Ірані, Ізраїлі, Судані, Сирії, Лівані, Саудівській Аравії та Єгипті. Загалом постраждало близько п’яти тисяч комп’ютерів.

Розмір і структура вірусу наводять спеціалістів на думку, що до його розроблення причетна влада якоїсь країни. Програма значно складніша за своїх попередників – віруси «Stuxnet» і «Duqu».

Хоча принцип дії нового шкідника повністю не з’ясовано, є докази, що його розробила та сама країна чи країни, що і два інші віруси.
«А чого панове експерти не простежили, куди інфа тікає?», - цікавиться читач.
«Дядько Сем спалився», - здогадується інший.

Источник:

хуясе простыня

Гиря сказав(ла):

хуясе простыня

Натисніть, щоб розгорнути...

Если получится прочесть, поймёте, оно достойно Вашего внимания.

ознакомилсо-цикаво...

предыстория джонни мнемоника

А че в иране до сих пор в учреждениях пользуются продуктами Билли? Интересная ситуация - сами делают систему а потом еще службу сбора информации.

romal333 сказав(ла):

Если получится прочесть, поймёте, оно достойно Вашего внимания.

Натисніть, щоб розгорнути...

информационный бюллетень касперского обновляется иногда по нескольку раз на день. Инфа про ещё один вирус, который к тому же имеет узкую целевую функцию, которая на Украине не встречается в принципе - что тут может быть достойно моего внимания?

Кстати,кроме "Кашпировского" этим шпиеном еще кто-нибудь занимается?И почему российская компания так заботится за иранские компы?

oz.freeman сказав(ла):

информационный бюллетень касперского обновляется иногда по нескольку раз на день. Инфа про ещё один вирус, который к тому же имеет узкую целевую функцию, которая на Украине не встречается в принципе - что тут может быть достойно моего внимания?

Натисніть, щоб розгорнути...

Узкую целевую? Вы всё прочли? Или только политчасть? Ну так прочтите ещё раз, особенно по "узкому", как Вы выразились, функционалу.

это всё бараки обамики запустили заразу....

Законы бизнеса. Фирма борющаяся с вирусами, сама эти вирусы и распространяет.
Или просто пугает. Месяц просидел без антивирусника и не хера, все работает.

romal333 сказав(ла):

Один из самых маленьких модулей Flame состоит из 70000 строк кода на C с более чем 170 зашифрованными строками.

Натисніть, щоб розгорнути...

Интересно, а откуда у касперских исходники?.....

valekhmel сказав(ла):

Законы бизнеса. Фирма борющаяся с вирусами, сама эти вирусы и распространяет.
Или просто пугает. Месяц просидел без антивирусника и не хера, все работает.

Натисніть, щоб розгорнути...

Вы уверены?
Что кроме превычного Вам, через Вас, ещё что-нибуть не работает?
И зачем вирусописателю что-то Вам разрушать? Зачем палиться, если можно отъюзать...



Вирус Flame воровал секреты с компьютеров в Израиле и Иране

Вирус под названием Flame (англ. пламя, огонь) работал с августа 2010 года. Компания считает, что масштабная кибератака была проведена при правительственной финансовой поддержке, так как ее целью стали не банковские счета, за которыми обычно охотятся хакеры-преступники. Помимо этого, код Flame слишком сложен, чтобы предполагать, что ее создателями является группа активистов. Однако в какой стране программа была разработана, пока не установлено. Flame рассматривается экспертами как "одна из наиболее сложных угроз из когда-либо обнаруженных".
Как сообщил главный специалист по вредоносным программам "Лаборатории Касперского" Виталий Камлюк, вирус не наносит ущерба данным. Вместо этого он проводит "комплексный набор операций, включающий считывание сетевого трафика, снятие скриншотов, запись аудиобесед, перехват ввода с клавиатуры и так далее".
Flame поразил уже более 600 целей, включая индивидуальных предпринимателей, научные учреждения и правительственные системы. В частности, Национальная команда по борьбе с компьютерными атаками Ирана уже опубликовала сообщение о том, что авторы Flame несут ответственность за "недавние случаи массовой утечки данных", произошедшие за последние месяцы.
Помимо Ирана, вирус попал в Израиль, Судан, Сирия, Ливан, Саудовскую Аравию и Египет.
Источник:


А теперь, взгляд на червя глазами CNN. Надеюсь английский подтянули, чтоб не позориться?

NEW YORK (CNNMoney) -- The "Flame" virus, the most complex computer bug ever discovered, has been lurking for years inside Iranian government computers, spying on the country's officials.
Publicly unveiled this week, the bug is one of the most potent cyber weapons ever spotted in the wild. Security professionals say it marks a new milestone in the escalating digital espionage battle.
Flame's complexity and power "exceed those of all other cyber menaces known to date," research firm ********* Lab wrote in a dispatch about its investigation into Flame.
In a statement posted on its website on Monday, the Iranian National Computer Emergency Response Team (CERT) said it discovered Flame after "multiple investigations" over the past few months.
The stealthy malware has been in the wild for at least two years, the CERT team said, evading detection by security software.
It's a spy bug that's capable of, among other things, capturing what's on a user's screen, turning on a computer's microphone to record conversations, detecting who and what is on a network, collecting lists of vulnerable passwords, and transferring a user's computer files to another server.
The attack worked. Flame was likely responsible for recent incidents of "mass data loss" in the government, Iran's CERT team said in its terse announcement.
Patrik Runald, director of research at Websense Security Labs, said Flame is "potentially the most advanced malware to date, at least in terms of functionality combined with ability to stay hidden over a long period of time."
Flame is an unusually giant piece of malware: At 20 megabytes, it's about 20 to 30 times larger than typical computer bugs.
Yet it remained undetected in Iran's government computer systems dating back to at least 2010, and it was not discovered by any of the 43 antivirus programs the CERT team tested on it.
Now that Flame has been exposed, Iran is taking defensive measures. Iran's CERT said it developed a Flame detector over the past few weeks and it is spreading around a removal tool to rid the government's systems of the virus.
Computer viruses don't stay where you put them, and Iran probably isn't the only victim.
A Hungarian research lab that has been doing its own analysis said it has found traces of the bug in Europe and the United Arab Emirates. The lab, which began studying the virus this month, estimates that it may have been active "for as long as five to eight years."

So if Flame was spying, who was it spying for?

The Iranian CERT team said it believes there is a "close relation" between Flame two previous cyber attacks on Iran, known as the Stuxnet and Duqu computer worms.
"Stuxnet" is a word that sends a shiver of fear through cybersecurity pros.
In an extensive feature on the virus, Vanity Fair calls it "one of the great technical blockbusters in malware history." The bug targets "industrial control systems" -- that's jargon for critical national infrastructure -- and it had the unprecedented ability to sabotage its target and then cover its tracks.
Stuxnet was used to attack Iran's nuclear program in 2010. The virus caused centrifuges in a targeted facility to spin out of control, ultimately destroying it.
A related bug, Duqu, also targeted Iran's nuclear program. It was discovered last year and shows evidence of having been developed by engineers with access to Stuxnet's source code.
Who are those engineers? The widespread industry belief is that Stuxnet was created by the United States, Israel, or through the collaboration of both.
"Israel is blessed to be a nation possessing superior technology," Moshe Yaalon, Israel's minister of strategic affairs, said Tuesday in an interview with Israeli Army radio. "In that respect our achievements open up all sorts of opportunities for us."
But cyber war isn't a one-sided affair. If Flame was a targeted cyber attack carried out by United States or Israel, the same code could be reverse-engineered by Iran and sent back our way.
"It's important to understand that such cyber weapons can easily be used against any country," ********* said about Flame. "Unlike with conventional warfare, the more developed countries are actually the most vulnerable in this case."
This isn't traditional war. The Internet has leveled the playing field, allowing governments that would never launch military attacks on one another to target one another in cyberspace.
"In warfare, when a bomb goes off it detonates; in cyberwarfare, malware keeps going and gets proliferated," said Roger Cressey, senior vice president at security consultancy Booz Allen Hamilton, at a Bloomberg cybersecurity conference held in New York last month.
"Once a piece of malware is launched in wild, what happens to that code and its capability?" he added. "Things like Stuxnet are being reverse-engineered."
Once it's out there, the code get also get into the hands of citizens or terrorists with a sophisticated knowledge of software coding. That's why some cybersecurity advocates are calling on the U.S. government to better protect itself against an all-out "code war" that some see as inevitable.
"The terrifying thing is that governments no longer have a monopoly on this capability," said Tom Kellerman, former commissioner of President Obama's cyber security council, at the Bloomberg conference. "There is code out there that puts it in anyone's hands."

Источник:

Тільки зареєстровані користувачі бачать весь контент у цьому розділі