Nowe zagrożenie - mały, bardzo niebezpieczny wirus
Kaspersky Lab wykrył miniFlame’a, małego i bardzo elastycznego szkodliwego programu, przeznaczonego do kradzieży danych i kontrolowania zainfekowanych systemów podczas ukierunkowanych kampanii cyberszpiegowskich.
miniFlame, znany również jako „SPE”, został wykryty przez ekspertów z Kaspersky Lab w lipcu 201. r. i pierwotnie sklasyfikowano go jako jeden z modułów cyberbroni Flame. Jednak, we wrześniu 2012 r. zespół badawczy złożony ze specjalistów z Kaspersky Lab przeprowadził dogłębną analizę serwerów centrum kontroli Flame’a, której wynikiem było odkrycie, że moduł miniFlame był współpracującym narzędziem, które można wykorzystać jako niezależny szkodliwy program, a także jako wtyczkę Flame’a lub Gaussa.
Analiza miniFlame’a wykazała istnienie kilku wersji szkodnika, utworzonych pomiędzy rokiem 201. i 2011, z kilkoma wariantami istniejącymi nadal na wolności. Badanie ujawniło także nowe dowody ścisłej współpracy pomiędzy twórcami Flame’a i Gaussa, ponieważ oba te szkodniki podczas wykonywania swoich cyberprzestępczych działań używały miniFlame’a jako własnej "wtyczki".
Główne ustalenia:
• miniFlame, znany również jako SPE, oparty jest na tej samej platformie co Flame. Może funkcjonować jako niezależne narzędzie cyberszpiegowskie lub jako komponent zaszyty wewnątrz Flame’a i Gaussa.
• Narzędzie cyberszpiegowskie miniFlame działa jako backdoor przeznaczony do kradzieży danych i pozyskiwania bezpośredniego dostępu do zainfekowanych systemów.
• Prace nad miniFlamem prawdopodobnie rozpoczęły się już w roku 2007 i trwały do końca 2011 r. Uważa się, że zostało stworzonych wiele wariantów szkodnika. Na chwilę obecną eksperci z Kaspersky Lab zidentyfikowali sześć odmian miniFlame’a, obejmujących dwie główne generacje: 4.x oraz 5.x.
• W odróżnieniu od Flame’a i Gaussa, w przypadku których liczba infekcji była bardzo duża, ilość infekcji spowodowanych przez miniFlame’a jest stosunkowo niewielka. Zgodnie z danymi Kaspersky Lab, liczba infekcji najnowszym wariantem szkodnika waha się pomiędzy 10 a 20 maszyn. Całkowita liczba infekcji na świecie szacowana jest na 50 - 60 komputerów.
•. Liczba infekcji, w połączeniu z funkcjami kradzieży informacji i elastycznością, jaką dysponuje miniFlame, wskazuje na fakt, że narzędzie było używane do ściśle ukierunkowanych operacji cyberszpiegowskich, i stosowane najprawdopodobniej wewnątrz maszyn, które były już wcześniej zainfekowane przez Flame’a lub Gaussa.
Wykrycie
Wykrycie miniFlame’a zbiegło się w czasie ze szczegółową analizą Flame'a i Gaussa. W lipcu 201. r. eksperci z Kaspersky Lab zidentyfikowali nowy moduł Gaussa o nazwie kodowej "John" i znaleźli odwołania do tego samego modułu w plikach konfiguracyjnych Flame'a. Kolejna analiza serwerów centrum kontroli Flame'a, przeprowadzona we wrześniu 2012 r, pomogła ujawnić fakt, że odkryty moduł jest w istocie osobnym szkodliwym programem, jednak może zostać wykorzystany przez Gaussa i Flame'a jako "wtyczka". W kodzie oryginalnych serwerów centrum kontroli Flame’a, miniFlame posiadał nazwę kodową "SPE".
Eksperci z Kaspersky Lab wykryli sześć różnych wariantów szkodnika miniFlame - wszystkie datowane na okres 2010/201. r. Jednocześnie analiza miniFlame’a wskazuje na jeszcze wcześniejszy termin zapoczątkowania rozwoju tego szkodliwego oprogramowania - nie później niż w roku 2007. Możliwość użycia miniFlame’a jako wtyczki Flame’a lub Gaussa wyraźnie wskazuje na współpracę pomiędzy grupami opracowującymi i rozwijającymi projekty Gauss oraz Flame. Ponieważ związek pomiędzy Flame’m i Stuxnetem / Duqu został już ujawniony, można stwierdzić, że wszystkie te zaawansowane zagrożenia pochodzą z tej samej "cybernetycznej zbrojowni".
Funkcjonalność
Oryginalny wektor infekcji miniFlame’a nie jest jeszcze określony. Zakładając potwierdzony związek pomiędzy miniFlamem, Flamem i Gaussem, miniFlame mógł być instalowany na komputerach zainfekowanych przez Flame’a lub Gaussa. Po zainstalowaniu miniFlame funkcjonuje jako backdoor i umożliwia napastnikom wyciągnięcie z zainfekowanej maszyny dowolnych plików. Dodatkowe funkcje kradzieży danych zawierają możliwość wykonywania zrzutów ekranu zainfekowanej maszyny podczas pracy z określonymi programami lub aplikacjami, takimi jak: przeglądarki internetowe, aplikacje pakietu Microsoft Office, Adobe Reader, usługa komunikatora internetowego lub klienta FTP. miniFlame przesyła skradzione dane łącząc się ze swoim serwerem kontroli (który może być niezależny lub „współdzielony”. z Flamem). Na osobne żądanie operatora do zainfekowanego systemu może zostać dosłany dodatkowy moduł wyspecjalizowany w kradzieży danych, infekujący napędy USB i wykorzystujący je do przechowywania danych, które są pobierane z zainfekowanych
komputerów niedysponujących połączeniem internetowym.
Aleksander Gostiew, główny ekspert ds. bezpieczeństwa, Kaspersky Lab, całą sprawę skomentował następująco: _ "miniFlame to wysoce precyzyjne narzędzie ataku. Najprawdopodobniej jest to ukierunkowana cyberbroń, wykorzystywana w tym, co możemy określać mianem drugiej fali cyberataku. Najpierw Flame lub Gauss stosowane są do zakażenia tak wielu ofiar, jak to możliwe w celu gromadzenia dużych ilości informacji. Po zebraniu i przejrzeniu danych określana i identyfikowana jest potencjalnie interesująca ofiara, a miniFlame jest instalowany na jej komputerze w celu przeprowadzenia bardziej szczegółowego rekonesansu i cyberszpiegostwa. Wykrycie miniFlame’a dodatkowo utwierdza nas w przekonaniu o kooperacji, jaka istniała (i prawdopodobnie nadal istnieje) pomiędzy twórcami najbardziej znanych szkodliwych programów, wykorzystywanych do cybernetycznych operacji bojowych: Stuxneta, Duqu, Flame’a i Gaussa" _.