Potężne wirusy Stuxnet i Flame to dzieło tej samej grupy?
Wraz z wykryciem Flame’a w maju 2012 r. świat dowiedział się o najbardziej złożonej cyberbroni, jaka kiedykolwiek istniała. W momencie zidentyfikowania tego szkodliwego oprogramowania nie było mocnych dowodów świadczących o tym, że był on wynikiem pracy tego samego zespołu, który odpowiada za Stuxneta i Duqu. Również podejście do tworzenia Flame’a i Duqu/Stuxneta było różne, co pozwalało sądzić, że za tymi projektami stały dwa niezależne zespoły. Jednak najnowsze badanie przeprowadzone przez ekspertów z Kaspersky Lab pokazuje, że oba zespoły współpracowały ze sobą przynajmniej na wczesnych etapach rozwoju tych szkodliwych programów.
Najważniejsze fakty w skrócie:
• Eksperci odkryli, że moduł wchodzący w skład wczesnej wersji Stuxneta z 200. r., znany jako „Resource 207”, w rzeczywistości był wtyczką do Flame’a.
• To oznacza, że gdy robak Stuxnet został stworzony na początku 200. r., platforma Flame już istniała, a w 2009 r. źródło kodu co najmniej jednego modułu Flame’a zostało wykorzystane w Stuxnecie.
• Moduł ten służył do rozprzestrzeniania infekcji za pośrednictwem urządzeń USB. Kod mechanizmu infekcji przy pomocy urządzenia USB jest identyczny z kodem Flame’a i Stuxneta.
• Moduł Flame’a w Stuxnecie wykorzystywał również lukę w zabezpieczeniach, która nie była znana w tym czasie i umożliwiała zwiększenie przywilejów w atakowanym systemie (prawdopodobnie była to luka MS09-025).
• Następnie, w 201. r. moduł wtyczki do Flame’a został usunięty ze Stuxneta i zastąpiony kilkoma innymi komponentami, które wykorzystywały nowe luki.
• Od 201. r. te dwa zespoły twórców szkodliwego oprogramowania działały niezależnie, a jedyny obszar współpracy dotyczył wymiany wiedzy na temat nowych luk „zero-day”.
*Tło historyczne *
Stuxnet był pierwszą cyberbronią atakującą obiekty przemysłowe. W wyniku tego, że Stuxnet infekował również komputery PC zwykłych użytkowników na całym świecie, został wykryty w czerwcu 201. r., mimo że najwcześniejsza znana wersja tego szkodliwego oprogramowania została stworzona rok wcześniej. Kolejny przykład cyberbroni, znany jako Duqu, został wykryty we wrześniu 2011 r. W przeciwieństwie do Stuxneta, trojan Duqu pełnił głównie funkcję „tylnych drzwi” do zainfekowanego systemu i kradł prywatne informacje (cyberszpiegostwo).
Podczas analizy Duqu odkryto wyraźne podobieństwa między tym szkodnikiem a Stuxnetem, które świadczą o tym, że te dwie cyberbronie zostały stworzone przy użyciu tej samej platformy ataków o nazwie „Tilded”. Flame, który został wykryty w maju 201. r. przez Kaspersky Lab podczas analizy podejrzanego kodu przeprowadzonej na prośbę Międzynarodowego Związku Telekomunikacyjnego (ITU), na pierwszy rzut oka wydawał się całkowicie odmiennym programem. Niektóre jego cechy, takie jak rozmiar szkodliwego oprogramowania, wykorzystanie języka programowania LUA oraz różnorodna funkcjonalność, sugerowały, że Flame nie miał nic wspólnego z twórcami Duqu czy Stuxneta. Jednak nowe fakty całkowicie zmieniły historię Stuxneta i dowiodły ponad wszelką wątpliwość, że istnieją związki między platformą „Tilded” a platformą Flame’a.
*Nowe ustalenia * Najwcześniejsza znana wersja Stuxneta, stworzona prawdopodobnie w czerwcu 200. r., zawiera specjalny moduł o nazwie „Resource 207”. W kolejnej wersji Stuxneta z 2010 r. moduł ten został całkowicie usunięty. Moduł „Resource 207” to zaszyfrowany plik DLL, który zawiera plik wykonalny o rozmiarze 351 768 bajtów o nazwie „atmpsvcn.ocx”. Plik ten, jak wykazało badanie Kaspersky Lab, ma wiele wspólnego z kodem wykorzystanym we Flamie. Lista uderzających podobieństw obejmuje nazwy wzajemnie wykluczających się obiektów, algorytm służący do deszyfracji oraz podobne podejścia do nazewnictwa plików.
Ponadto, większość sekcji kodu w odpowiednich modułach Stuxneta i Flame’a wydaje się być identyczna lub podobna, na podstawie czego można wnioskować, że współpraca między zespołami odpowiedzialnymi za Flame’a i Duqu/Stuxneta miała formę wymiany kodu źródłowego (nie binarnego). Główna funkcjonalność modułu „Resource 207”. Stuxneta obejmowała przenoszenie infekcji z jednej maszyny na drugą przy użyciu wymiennych urządzeń USB oraz z wykorzystaniem luki w zabezpieczeniu jądra Windowsa umożliwiającej zwiększenie przywilejów w systemie. Kod odpowiedzialny za dystrybucję szkodliwego oprogramowania za pośrednictwem urządzeń USB jest identyczny jak ten wykorzystany w robaku Flame.
Aleksander Gostiew, główny ekspert ds. bezpieczeństwa w Kaspersky Lab, powiedział: „Niezależnie od nowych faktów jesteśmy przekonani, że Flame i Tilded to całkowicie różne platformy, wykorzystywane do rozwoju wielu cyberbroni. Każda z nich ma inną architekturę i wykorzystuje unikatowe sztuczki do infekowania systemów i realizowania podstawowych zadań. Były to bez wątpienia oddzielne i niezależne od siebie projekty. Jednak nowe ustalenia, zgodnie z którymi oba zespoły współdzieliły kod źródłowy co najmniej jednego modułu na wczesnych etapach rozwoju szkodników, potwierdzają, że obie grupy współpracowały ze sobą przynajmniej jeden raz. Odkryliśmy bardzo mocny dowód istnienia związków między cyberbronią Stuxnet/Duqu a Flame”.