ENGINEERINGNET -- Flame werd ontdekt door Kaspersky Lab experts tijdens een onderzoek in opdracht van de Internationale Telecommunicatie-unie (ITU).
De analyse van het kwaadaardige programma onthulde dat het om de grootste en meest complexe ‘attack toolkit’ tot nog toe gaat.
Uit Kaspersky Lab's analyse van de malware bleek dat het werd gebruikt voor cyberspionage en het infecteren van computers om zo data en gevoelige informatie te stelen.
De gestolen gegevens werden vervolgens verstuurd naar een van Flame’s Command & Control (C&C)- servers.
Kaspersky Lab heeft de C&C-infrastructuur van Flame nauwlettend gemonitord en heeft vandaag een gedetailleerde post gepubliceerd over de onderzoeksresultaten.
In samenwerking met GoDaddy en OpenDNS is Kaspersky Lab erin geslaagd om het grootste deel van de malafide domeinen, die gebruikt werden door Flame’s C&C's, te ‘sinkholen’.
De volgende details geven een samenvatting van de onderzoeksresultaten:
• De Flame C&C-infrastructuur, die al jaren actief was, ging meteen offline nadat Kaspersky Lab het bestaan van de malware vorige week bekend maakte.
• Momenteel zijn er meer dan 80 bekende domeinen die door Flame gebruikt werden voor C&C-servers en de bijbehorende domeinen, die zijn geregistreerd tussen 2008 en 2012.
• Tijdens de afgelopen 4 jaar werden de servers, die als host dienden voor de C&C-infrastructuur, verplaatst tussen verschillende locaties, inclusief Hong Kong, Turkije, Duitsland, Polen, Maleisië, Letland, het Verenigd Koninkrijk en Zwitserland.
• De Flame C&C-domeinen zijn geregistreerd met een indrukwekkende lijst van valse identiteiten en met een verscheidenheid aan registrars, die teruggaan tot in 2008.
• Volgens Kaspersky Lab’s sinkhole werden geïnfecteerde gebruikers geregistreerd in meerdere regio's, waaronder het Midden-Oosten, Europa, Noord-Amerika en Azië-Pacific.
• Flame-aanvallers lijken een grote interesse te hebben in PDF, Office en AutoCad-tekeningen.
• De gegevens die geüpload zijn naar Flame C&C’s zijn versleuteld met behulp van relatief eenvoudige algoritmes. Gestolen documenten worden gecomprimeerd met behulp van open source Zlib en gemodificeerde PPDM-compressie.
• Windows 7 64 bit, die we eerder als een goede oplossing hebben aanbevolen tegen andere malware-infecties, lijkt doeltreffend te zijn tegen Flame.
Kaspersky Lab wil graag William MacArthur en "GoDaddy Network Abuse Department" bedanken voor hun snelle reactie en uitzonderlijke ondersteuning van dit onderzoek.
Bovendien wil Kaspersky Lab graag de "OpenDNS Security Research Team" bedanken voor hun waardevolle hulp tijdens dit onderzoek.
In de afgelopen week heeft Kaspersky Lab contact opgenomen met CERT's in verschillende landen om hen te informeren over Flame C&C-domeininformatie en IP-adressen van de kwaadaardige servers. Kaspersky Lab wil graag alle deelnemers bedanken voor hun steun aan dit onderzoek.
Bent u werkzaam bij een GovCERT-instelling en u wilt meer informatie over de C2-domeinen, neemt u dan contact op via theflame@kaspersky.com.
Voor de volledige analyse van Flame's C&C-infrastructuur en alle technische details, kunt u terecht op Securelist.com.
(GL)
