Flame (компьютерный вирус)

Flame — компьютерный червь, поражающий компьютеры под управлением операционной системы Microsoft Windows версий XP, 7, Vista.

Его обнаружил Роэль Шувенберг, старший научный сотрудник по компьютерной безопасности Лаборатории Касперского во время исследования вируса Wiper, атаковавшего компьютеры в Иране, о чём было объявлено 28 мая 2012 года. Наиболее пострадавшими странами являются Иран, Израиль, Судан, Сирия, Ливан, Саудовская Аравия и Египет.

Вирус способен собирать файлы данных, удалённо менять параметры компьютера, записывать звук, скриншоты и подключаться к чатам, действует, по меньшей мере, с марта 2010 года. Код Flame имеет объём 20 МБ и значительно превосходит в этом отношении вирус Stuxnet. Flame использует библиотеки zlib, libbz2, ppmd для сжатия, встроенную СУБД sqlite3, виртуальную машину Lua.

Некоторые части вируса имели цифровую подпись, полученную с помощью сертификата из иерархии Microsoft.^[1] ^[2] Подобный сертификат мог быть получен любым владельцем сервера Terminal Licensing; однако для Flame дополнительно использовалась новая атака для поиска коллизий в хеше MD5 (Flame использует коллизии в хеше MD5, подменяя обновления Майкрософт — своими^[3]). Благодаря проведенной атаке сертификат можно было использовать для подписывания обновлений Windows Update для ОС Windows XP, Vista, 7^[4]^[5].

Некоторые компоненты вируса впервые посылались на сервер VirusTotal весной-летом 2009 года^[6].

В 2012 году эксперты Лаборатории Касперского обнаружили, что разработчики Flame сотрудничали с разработчиками другого сложного червя Stuxnet^[7].

В июне 2012 года газета Washington Post со ссылкой на неназванных западных чиновников сообщила о том, что шпионский вирус Flame разрабатывался совместно специалистами США и Израиля для получения информации, которая могла бы быть полезна в срыве иранской ядерной программы^[8].

17 сентября 2012 года Лаборатория Касперского в своём официальном блоге опубликовала исследование, согласно которому вирус Flame начал разрабатываться и внедряться в 2006 году, записи командного сервера по управлению заражённых вирусом компьютеров, обнаруженные вирусными аналитиками, датируются 3 декабря 2006 года^[9].

См. такжеПравить

ПримечанияПравить

↑ Microsoft certification authority signing certificates added to the Untrusted Certificate Store (неопр.). Дата обращения: 5 июня 2012. Архивировано 5 июня 2012 года.
↑ Flame malware collision attack explained (неопр.). Дата обращения: 12 июня 2012. Архивировано из оригинала 8 июня 2012 года.
↑ Flame’s MD5 collision is the most worrisome security discovery of 2012 (неопр.). Дата обращения: 28 сентября 2017. Архивировано 10 марта 2016 года.
↑ GitHub - trailofbits/presentations: An archive of presentations by Trail of Bits (неопр.). Дата обращения: 31 июля 2013. Архивировано из оригинала 30 ноября 2012 года.
↑ Flame’s crypto attack may have needed $200,000 worth of compute power | Ars Technica (неопр.). Дата обращения: 28 сентября 2017. Архивировано 18 марта 2017 года.
↑ http://labs.alienvault.com/labs/index.php/2012/how-old-is-flame/ Архивная копия от 6 июня 2012 на Wayback Machine "First seen by VirusTotal 2009-07-29 … First seen by VirusTotal 2009-05-21 "
↑ Back to Stuxnet: the missing link — Securelist (неопр.). Дата обращения: 18 мая 2020. Архивировано 14 августа 2020 года.
↑ U.S., Israel developed Flame computer virus to slow Iranian nuclear efforts, officials say — The Washington Post (неопр.). Дата обращения: 28 сентября 2017. Архивировано 18 июля 2012 года.
↑ Исследовательский центр "Лаборатории Касперского" (GReAT). "Полный анализ командных серверов Flame" (рус.), SecureList (17 сентября 2012). Архивировано 20 сентября 2020 года. Дата обращения: 18 мая 2020.

СсылкиПравить

Новый вирус поражает компьютеры на Ближнем Востоке MIGnews.com
Лаборатория Касперского: программа Flame атаковала Иран и Израиль NEWSru.co.il
Александр Гостев, Kaspersky Lab. "The Flame: Questions and Answers" (англ.), SecureList (28 May 2012). Архивировано 12 июня 2012 года. Дата обращения: 18 сентября 2012.
Технический анализ, Будапештский университет технологий и экономики.
Flamer: Highly Sophisticated and Discreet Threat Targets the Middle East Symantec
Flame removal tool, CERTCC (MAHER) Security Operations Center

[1] Microsoft certification authority signing certificates added to the Untrusted Certificate Store (неопр.). Дата обращения: 5 июня 2012. Архивировано 5 июня 2012 года.

[2] Flame malware collision attack explained (неопр.). Дата обращения: 12 июня 2012. Архивировано из оригинала 8 июня 2012 года.

[3] Flame’s MD5 collision is the most worrisome security discovery of 2012 (неопр.). Дата обращения: 28 сентября 2017. Архивировано 10 марта 2016 года.

[4] GitHub - trailofbits/presentations: An archive of presentations by Trail of Bits (неопр.). Дата обращения: 31 июля 2013. Архивировано из оригинала 30 ноября 2012 года.

[5] Flame’s crypto attack may have needed $200,000 worth of compute power | Ars Technica (неопр.). Дата обращения: 28 сентября 2017. Архивировано 18 марта 2017 года.

[6] ttp://labs.alienvault.com/labs/index.php/2012/how-old-is-flame/ Архивная копия от 6 июня 2012 на Wayback Machine "First seen by VirusTotal 2009-07-29 … First seen by VirusTotal 2009-05-21 "

[7] Back to Stuxnet: the missing link — Securelist (неопр.). Дата обращения: 18 мая 2020. Архивировано 14 августа 2020 года.

[8] U.S., Israel developed Flame computer virus to slow Iranian nuclear efforts, officials say — The Washington Post (неопр.). Дата обращения: 28 сентября 2017. Архивировано 18 июля 2012 года.

[9] Исследовательский центр "Лаборатории Касперского" (GReAT). "Полный анализ командных серверов Flame" (рус.), SecureList (17 сентября 2012). Архивировано 20 сентября 2020 года. Дата обращения: 18 мая 2020.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]