Пламя (вредоносное ПО)
 | Эту статью необходимо обновить . ( июнь 2016 г. ) |
| Пламя | |
|---|---|
| Псевдоним | Огнемет, Скайвайпер, Скайвайпер |
| Тип | Вредоносное ПО |
| Авторы | Группа уравнений |
| Технические детали | |
| Платформа | Окна |
| Размер | 20 МБ |
| Написано в | С++ , Луа |
Пламя , [ а ] также известный как Flamer , sKyWIper , [ б ] и Скайвайпер , [ 2 ] модульное компьютерное вредоносное ПО , обнаруженное в 2012 году [ 3 ] [ 4 ] который атакует компьютеры под управлением операционной системы Microsoft Windows . [ 5 ] Программа используется для целевого кибершпионажа в странах Ближнего Востока . [ 1 ] [ 5 ] [ 6 ]
О его открытии было объявлено 28 мая 2012 года Центром MAHER Иранской национальной группы реагирования на компьютерные чрезвычайные ситуации (CERT). [ 5 ] Лаборатория Касперского [ 6 ] и CrySyS Lab Будапештского университета технологии и экономики . [ 1 ] Последний из них заявил в своем отчете, что Flame «определенно является самым сложным вредоносным ПО, с которым мы столкнулись в нашей практике; возможно, это самое сложное вредоносное ПО, когда-либо найденное». [ 1 ] Пламя может распространиться на другие системы по локальной сети (LAN). Он может записывать звук, снимки экрана , активность клавиатуры и сетевой трафик . [ 6 ] Программа также записывает разговоры Skype и может превращать зараженные компьютеры в Bluetooth -маяки, которые пытаются загрузить контактную информацию с находящихся поблизости устройств с поддержкой Bluetooth. [ 7 ] Эти данные вместе с локально хранящимися документами отправляются на один из нескольких серверов управления и контроля, разбросанных по всему миру. Затем программа ожидает дальнейших инструкций от этих серверов. [ 6 ]
По оценкам Касперского, в мае 2012 года Flame первоначально заразил около 1000 компьютеров. [ 7 ] с жертвами, включая правительственные организации, образовательные учреждения и частных лиц. [ 6 ] Тогда 65% случаев заражения произошли в Иране, Израиле, Палестине, Судане, Сирии, Ливане, Саудовской Аравии и Египте. [ 3 ] [ 6 ] с «огромным большинством целей» внутри Ирана. [ 8 ] Пламя также сообщалось в Европе и Северной Америке. [ 9 ] Flame поддерживает команду «kill», которая стирает все следы вредоносного ПО с компьютера. Первоначальное заражение Flame прекратилось после его публичного разоблачения, и была отправлена команда «уничтожить». [ 10 ]
Flame связан с Equation Group Лабораторией Касперского. Однако Костин Райу, директор глобальной исследовательской и аналитической группы «Лаборатории Касперского», считает, что группа сотрудничает с создателями Flame и Stuxnet только с позиции превосходства: «Equation Group определенно являются хозяевами, и они дают остальным, может быть, , хлебные крошки. Время от времени им дают какие-нибудь вкусности для интеграции в Stuxnet и Flame». [ 11 ]
Недавние исследования показали, что Flame запомнится как один из самых значимых и сложных инструментов кибершпионажа в истории. Используя сложную стратегию, Flame удалось проникнуть на многочисленные компьютеры по всему Ближнему Востоку, подделав подлинный сертификат безопасности Microsoft. [ 12 ]
В 2019 году исследователи Хуан Андрес Герреро-Сааде и Сайлас Катлер объявили о своем открытии возрождения Пламени. [ 13 ] [ 14 ] Злоумышленники использовали «таймстомп» [ нужны разъяснения ] чтобы новые образцы выглядели так, как будто они были созданы до команды «самоубийство». Однако ошибка компиляции включала реальную дату компиляции ( около 2014 года ). Новая версия (названная исследователями «Flame 2.0») включает в себя новые механизмы шифрования и запутывания, позволяющие скрыть ее функциональность. [ 15 ]
История
[ редактировать ]Flame (также известный как Da Flame) был идентифицирован в мае 2012 года Центром MAHER Иранского национального CERT, Лабораторией Касперского и CrySyS Lab (Лабораторией криптографии и системной безопасности) Будапештского университета технологии и экономики, когда Лабораторию Касперского попросили Соединенные Штаты. Наций Международный союз электросвязи расследует сообщения о вирусе, поразившем компьютеры Министерства нефти Ирана . [ 7 ] В ходе расследования «Лаборатории Касперского» они обнаружили MD5 хэш и имя файла, которые появлялись только на компьютерах клиентов из стран Ближнего Востока. Обнаружив еще несколько частей, исследователи назвали программу «Пламя» в честь одного из основных модулей в наборе инструментов. [FROG.DefaultAttacks.A-InstallFlame] . [ 7 ]
По словам Касперского, Flame действовал как минимум с февраля 2010 года. [ 6 ] CrySyS Lab сообщила, что имя файла основного компонента было обнаружено еще в декабре 2007 года. [ 1 ] Однако дату его создания напрямую определить не удалось, так как датами создания модулей вредоносного ПО ошибочно считаются уже 1994 год. [ 7 ]
Компьютерные эксперты считают это причиной атаки в апреле 2012 года, в результате которой иранские чиновники отключили свои нефтяные терминалы от Интернета. [ 16 ] В то время иранское студенческое информационное агентство назвало вредоносную программу, вызвавшую атаку, «Wiper» — имя, данное ей создателем вредоносной программы. [ 17 ] Однако в «Лаборатории Касперского» считают, что Flame может быть «полностью отдельной инфекцией» от вредоносного ПО Wiper. [ 7 ] Из-за размера и сложности программы, которую описывают как «в двадцать раз» более сложную, чем Stuxnet , в лаборатории заявили, что полный анализ может занять до десяти лет. [ 7 ]
28 мая иранский CERT объявил, что разработал программу обнаружения и инструмент удаления Flame и в течение нескольких недель распространял их среди «избранных организаций». [ 7 ] После разоблачения Flame в средствах массовой информации Symantec сообщила 8 июня, что некоторые компьютеры управления Flame (C&C) отправили зараженным компьютерам «самоубийственную» команду, чтобы удалить все следы Flame. [ 10 ]
По оценкам Касперского на май 2012 года, первоначально Flame заразил около 1000 машин. [ 7 ] с жертвами, включая правительственные организации, образовательные учреждения и частных лиц. [ 6 ] В то время наиболее пострадавшими странами были Иран, Израиль, Палестинские территории, Судан, Сирия, Ливан, Саудовская Аравия и Египет. [ 3 ] [ 6 ] Образец вредоносного ПО Flame доступен на GitHub .
Операция
[ редактировать ]| Имя | Описание |
|---|---|
| Пламя | Модули, выполняющие функции атаки |
| Способствовать росту | Модули сбора информации |
| Колба | Тип атакующего модуля |
| Джимми | Тип атакующего модуля |
| Жевать | Модули установки и распространения |
| Закуска | Модули локального распространения |
| Корректировщик | Сканирующие модули |
| Транспорт | Модули репликации |
| Эйфория | Модули утечки файлов |
| Головная боль | Параметры или свойства атаки |
Flame — это нетипично большая для вредоносного ПО программа размером 20 мегабайт . Он частично написан на языке сценариев Lua со связанным скомпилированным кодом C++ и позволяет загружать другие модули атаки после первоначального заражения. [ 6 ] [ 18 ] Вредоносная программа использует пять различных методов шифрования и базу данных SQLite для хранения структурированной информации. [ 1 ] Метод, используемый для внедрения кода в различные процессы, является скрытным: модули вредоносного ПО не отображаются в списке модулей, загруженных в процесс, а страницы памяти вредоносного ПО защищены разрешениями READ, WRITE и EXECUTE , что делает их недоступными для пользователя. режим приложений. [ 1 ] Внутренний код мало похож на другие вредоносные программы, но использует две те же уязвимости безопасности, которые ранее использовались Stuxnet для заражения систем. [ с ] [ 1 ] Вредоносная программа определяет, какое антивирусное программное обеспечение установлено, а затем настраивает свое поведение (например, изменяя расширения имен файлов ), чтобы снизить вероятность обнаружения этим программным обеспечением. [ 1 ] Дополнительные индикаторы компрометации включают мьютекс и активность реестра , например, установку поддельного аудиодрайвера , который вредоносное ПО использует для сохранения работоспособности в скомпрометированной системе. [ 18 ]
Flame не предназначен для автоматической деактивации, но поддерживает функцию «уничтожения», которая позволяет удалить все следы своих файлов и работы из системы при получении модуля от ее контроллеров. [ 7 ]
Flame был подписан поддельным сертификатом, предположительно выданным центром сертификации Microsoft Enforced Licensing Intermediate PCA. [ 19 ] Авторы вредоносного ПО обнаружили сертификат службы лицензирования терминального сервера Microsoft , который был случайно включен для подписи кода и в котором все еще использовался слабый MD5 алгоритм хеширования , а затем создали поддельную копию сертификата, который они использовали для подписи некоторых компонентов вредоносного ПО, чтобы они выглядели исходить от Microsoft. [ 19 ] Успешная коллизионная атака на сертификат была ранее продемонстрирована в 2008 году. [ 20 ] но Flame реализовал новый вариант атаки столкновения с выбранным префиксом. [ 21 ]
| Свойство | Ценить |
|---|
Развертывание
[ редактировать ]Подобно ранее известному кибероружию Stuxnet и Duqu , оно применяется целенаправленно и может обходить современное программное обеспечение безопасности с помощью руткитов . После заражения системы Flame может распространиться на другие системы по локальной сети или через USB-накопитель. Он может записывать звук, снимки экрана, активность клавиатуры и сетевой трафик . [ 6 ] Программа также записывает разговоры Skype и может превратить зараженные компьютеры в Bluetooth-маяки, которые пытаются загрузить контактную информацию с близлежащих устройств с поддержкой Bluetooth. [ 7 ] Эти данные вместе с локально хранящимися документами отправляются на один из нескольких серверов управления и контроля, разбросанных по всему миру. Затем программа ожидает дальнейших инструкций от этих серверов. [ 6 ]
В отличие от Stuxnet, который был разработан для саботажа промышленного процесса, Flame, похоже, был написан исключительно для шпионажа . [ 22 ] Похоже, что он не нацелен на конкретную отрасль, а скорее представляет собой «полный набор инструментов для атак, предназначенный для общих целей кибершпионажа». [ 23 ]
Используя технику, известную как «синкхолинг» , «Касперский» продемонстрировал, что «огромное большинство целей» находится на территории Ирана, причем злоумышленники в основном искали AutoCAD чертежи , PDF-файлы и текстовые файлы . [ 8 ] Эксперты по вычислительной технике заявили, что программа, похоже, собирает технические схемы в разведывательных целях. [ 8 ]
Сеть из 80 серверов в Азии, Европе и Северной Америке использовалась для удаленного доступа к зараженным машинам. [ 24 ]
Источник
[ редактировать ]19 июня 2012 года газета The Washington Post опубликовала статью, в которой утверждалось, что Flame был разработан совместно Агентством национальной безопасности США , ЦРУ и военными Израиля как минимум пять лет назад. Сообщается, что этот проект является частью секретной программы под кодовым названием « Олимпийские игры» , цель которой заключалась в сборе разведданных в рамках подготовки к кампании кибердиверсий, направленной на замедление иранских ядерных усилий. [ 25 ]
По словам главного эксперта по вредоносным программам «Лаборатории Касперского», «география целей, а также сложность угрозы не оставляют сомнений в том, что исследование спонсировало национальное государство». [ 3 ] Первоначально Касперский заявил, что вредоносное ПО не имеет никакого сходства со Stuxnet, хотя, возможно, это был параллельный проект, заказанный теми же злоумышленниками. [ 26 ] После дальнейшего анализа кода Касперский позже сказал, что между Flame и Stuxnet существует тесная связь; ранняя версия Stuxnet содержала код для распространения через USB-накопители, который почти идентичен модулю Flame, использующему ту же уязвимость нулевого дня . [ 27 ]
Иранский CERT описал шифрование вредоносного ПО как имеющее «особый шаблон, который можно увидеть только в Израиле». [ 28 ] Газета Daily Telegraph сообщила, что из-за очевидных целей Флейма, в число которых входили Иран, Сирия и Западный Берег , Израиль стал «главным подозреваемым многих комментаторов». Другие комментаторы назвали США возможными виновниками. [ 26 ] Ричард Сильверстайн , комментатор, критикующий политику Израиля, заявил, что он подтвердил «высокопоставленному израильскому источнику», что вредоносное ПО было создано израильскими компьютерными экспертами. [ 26 ] Газета «Джерузалем Пост» написала, что вице-премьер-министр Израиля Моше Яалон, судя по всему, намекнул, что ответственность несет его правительство. [ 26 ] но представитель Израиля позже отрицал, что это подразумевалось. [ 29 ] Неназванные представители израильской службы безопасности предположили, что зараженные машины, обнаруженные в Израиле, могут означать, что вирус может быть прослежен до США или других западных стран. [ 30 ] США официально отрицают ответственность. [ 31 ]
В просочившемся документе АНБ упоминается, что борьба с обнаружением Ираном FLAME является АНБ и GCHQ . совместным мероприятием [ 32 ] снятие с израильской армии всей вины.
См. также
[ редактировать ]- Киберпреступность
- Кибервойна
- Стандарты кибербезопасности
- Кибертерроризм
- Цифровая конфиденциальность
- Операция Хайроллер
Примечания
[ редактировать ]Ссылки
[ редактировать ]- ^ Перейти обратно: а б с д и ж г час я дж к «sKyWIper: сложное вредоносное ПО для целевых атак» (PDF) . Будапештский университет технологии и экономики . 28 мая 2012 г. Архивировано из оригинала (PDF) 28 мая 2012 г. . Проверено 29 мая 2012 г.
- ^ «Огнемет: очень сложная и скрытная угроза, нацеленная на Ближний Восток» . Симантек. Архивировано из оригинала 31 мая 2012 года . Проверено 30 мая 2012 г.
- ^ Перейти обратно: а б с д Ли, Дэйв (28 мая 2012 г.). «Пламя: обнаружена масштабная кибератака, говорят исследователи» . Новости Би-би-си . Архивировано из оригинала 30 мая 2012 года . Проверено 29 мая 2012 г.
- ^ МакЭлрой, Дэмиен; Уильямс, Кристофер (28 мая 2012 г.). «Пламя: раскрыт самый сложный в мире компьютерный вирус» . «Дейли телеграф» . Архивировано из оригинала 30 мая 2012 года . Проверено 29 мая 2012 г.
- ^ Перейти обратно: а б с «Идентификация новой целевой кибератаки» . Иранская группа реагирования на компьютерные чрезвычайные ситуации. 28 мая 2012 года. Архивировано из оригинала 29 мая 2012 года . Проверено 29 мая 2012 г.
- ^ Перейти обратно: а б с д и ж г час я дж к л Гостев, Александр (28 мая 2012 г.). «Пламя: вопросы и ответы» . Список безопасности . Архивировано из оригинала 30 мая 2012 года . Проверено 16 марта 2021 г.
- ^ Перейти обратно: а б с д и ж г час я дж к Зеттер, Ким (28 мая 2012 г.). «Знакомьтесь: Flame, огромная шпионская вредоносная программа, проникающая в иранские компьютеры» . Проводной . Архивировано из оригинала 30 мая 2012 года . Проверено 29 мая 2012 г.
- ^ Перейти обратно: а б с Ли, Дэйв (4 июня 2012 г.). «Flame: Злоумышленники «хотели конфиденциальные данные по Ирану» » . Новости Би-би-си . Архивировано из оригинала 4 июня 2012 года . Проверено 4 июня 2012 г.
- ^ Мерфи, Саманта (5 июня 2012 г.). «Знакомьтесь с Flame, самой опасной компьютерной вредоносной программой» . Mashable.com. Архивировано из оригинала 8 июня 2012 года . Проверено 8 июня 2012 года .
- ^ Перейти обратно: а б «Производители вредоносных программ Flame отправляют «самоубийственный» код» . Новости Би-би-си . 8 июня 2012 года. Архивировано из оригинала 24 августа 2012 года . Проверено 8 июня 2012 года .
- ^ Глобальная группа исследований и анализа «Лаборатории Касперского». «Уравнение: Звезда Смерти галактики вредоносных программ» . SecureList . Архивировано из оригинала 17 февраля 2015 года . Костин Райу (директор глобальной исследовательской и аналитической группы «Лаборатории Касперского»): «Мне кажется, что у Equation Group самые крутые игрушки. Время от времени они делятся ими с группой Stuxnet и группа Flame, но изначально они доступны только для группы Equation. Люди из Equation Group определенно являются мастерами, и они дают остальным, возможно, хлебные крошки. Время от времени они дают им какие-то вкусности для интеграции в Stuxnet и. Пламя."
- ^ Манро, Кейт (1 октября 2012 г.). «Деконструкция пламени: ограничения традиционной защиты». Компьютерное мошенничество и безопасность . 2012 (10): 8–11. дои : 10.1016/S1361-3723(12)70102-1 . ISSN 1361-3723 .
- ^ Зеттер, Ким (9 апреля 2019 г.). «Исследователи обнаружили новую версию печально известной вредоносной программы Flame» . Вайс.com . Вице Медиа . Проверено 6 августа 2020 г.
- ^ Хроника безопасности (12 апреля 2019 г.). «Кто такая СПЛЕТНИЦА?» . Середина . Архивировано из оригинала 22 июля 2020 года . Проверено 15 июля 2020 г.
- ^ Герреро-Сааде, Хуан Андрес; Катлер, Сайлас (9 апреля 2019 г.). Пламя 2.0: Восставшее из пепла (PDF) (Отчет). Хроника безопасности . Архивировано (PDF) из оригинала 1 июня 2023 года . Проверено 17 мая 2024 г.
- ^ Хопкинс, Ник (28 мая 2012 г.). «Компьютерный червь, поразивший нефтяные терминалы Ирана, «на данный момент является самым сложным» » . Хранитель . Архивировано из оригинала 31 мая 2012 года . Проверено 29 мая 2012 г.
- ^ Эрдбринк, Томас (23 апреля 2012 г.). «Столкнувшись с кибератакой, иранские чиновники отключили некоторые нефтяные терминалы от Интернета» . Нью-Йорк Таймс . Архивировано из оригинала 31 мая 2012 года . Проверено 29 мая 2012 г.
- ^ Перейти обратно: а б Киндлунд, Дариен (30 мая 2012 г.). «Вредоносное ПО Flamer/sKyWIper: анализ» . Огненный Глаз . Архивировано из оригинала 2 июня 2012 года . Проверено 31 мая 2012 г.
- ^ Перейти обратно: а б «Microsoft выпускает рекомендации по безопасности 2718704» . Майкрософт . 3 июня 2012 года. Архивировано из оригинала 7 июня 2012 года . Проверено 4 июня 2012 г.
- ^ Сотиров, Александр; Стивенс, Марк; Аппельбаум, Джейкоб; Ленстра, Арьен; Мольнар, Дэвид; Освик, Даг Арне; де Вегер, Бенне (30 декабря 2008 г.). MD5 сегодня считается вредным: создание поддельного сертификата ЦС . 25-й ежегодный конгресс по коммуникациям хаоса в Берлине. Архивировано из оригинала 25 марта 2017 года . Проверено 4 июня 2011 г.
- ^ Стивенс, Марк (7 июня 2012 г.). «Криптоаналитик CWI обнаруживает новый вариант криптографической атаки во вредоносном ПО Flame Spy» . Центр Вискунде и информатики. Архивировано из оригинала 28 февраля 2017 года . Проверено 9 июня 2012 года .
- ^ Коэн, Реувен (28 мая 2012 г.). «Новая массированная кибератака: «Промышленный пылесос для конфиденциальной информации» » . Форбс . Архивировано из оригинала 31 мая 2012 года . Проверено 29 мая 2012 г.
- ^ Альбанесиус, Хлоя (28 мая 2012 г.). «Массовая вредоносная программа Flame, похищающая данные по всему Ближнему Востоку» . Журнал ПК . Архивировано из оригинала 30 мая 2012 года . Проверено 29 мая 2012 г.
- ^ «Вирус пламени: пять фактов, которые следует знать» . Таймс оф Индия . Рейтер. 29 мая 2012 г. Архивировано из оригинала 26 мая 2024 г. . Проверено 30 мая 2012 г.
- ^ Накашима, Эллен (19 июня 2012 г.). «США и Израиль разработали компьютерный вирус Flame, чтобы замедлить ядерные усилия Ирана, - говорят официальные лица» . Вашингтон Пост . Архивировано из оригинала 18 июля 2012 года . Проверено 20 июня 2012 г.
- ^ Перейти обратно: а б с д «Вирус Flame: кто стоит за самым сложным в мире шпионским программным обеспечением?» . «Дейли телеграф» . 29 мая 2012 года. Архивировано из оригинала 31 мая 2012 года . Проверено 29 мая 2012 г.
- ^ «Ресурс 207: Исследования Лаборатории Касперского доказывают, что разработчики Stuxnet и Flame связаны» . Лаборатория Касперского. 11 июня 2012 года. Архивировано из оригинала 16 ноября 2021 года . Проверено 13 июня 2012 г.
- ^ Эрдбринк, Томас (29 мая 2012 г.). «Иран подтверждает атаку вируса, собирающего информацию» . Нью-Йорк Таймс . Архивировано из оригинала 6 июня 2012 года . Проверено 30 мая 2012 г.
- ^ Цукаяма, Хейли (31 мая 2012 г.). «Кибероружие Flame, написанное с использованием игрового кода, говорится в отчете» . Вашингтон Пост . Архивировано из оригинала 2 июня 2012 года . Проверено 31 мая 2012 г.
- ^ Дарейни, Али Акбар; Мерфи, Дэн; Саттер, Рафаэль; Федерман, Йозеф (30 мая 2012 г.). «Иран: Борьба с вирусом «Пламя» началась с нефтяной атаки» . Yahoo! Новости . Ассошиэйтед Пресс.
- ^ «Пламя: Израиль отвергает связь с кибератакой вредоносного ПО» . Новости Би-би-си . 31 мая 2012 года. Архивировано из оригинала 5 июня 2014 года . Проверено 3 июня 2012 г.
- ^ «Посетите краткую информацию: сэр Иэн Лоббан, KCMG, CB; директор штаб-квартиры правительственных коммуникаций (GCHQ) 30 апреля 2013 г. - 1 мая 2013 г.» (PDF) . Архивировано (PDF) из оригинала 2 мая 2014 года . Проверено 1 мая 2014 г.