04.06.2012, 17:02

Hans-Christian Dirscherl

Spionage-Programm

Malware-Analyse zeigt langfristige Planung von Flame

Malware-Analyse zeigt langfristige Planung von Flame ©Kaspersky Lab

Experten von Kaspersky Lab haben eine detaillierte Analyse zur C&C-Infrastruktur von Flame veröffentlicht. Sie zeigt, wie langfristig Flame geplant wurde.
Der spektakuläre Spionage-Wurm Flame ließ den Experten des russischen Sicherheitsunternehmens Kaspersky Lab keine Ruhe. Sie untersuchten den Quellcode gründlich und veröffentlichten jetzt die Ergebnisse ihrer Analyse.
 
Flame wurde von Kaspersky-Lab-Experten während einer Untersuchung entdeckt, die von der zur UNO gehörenden Internationalen Fernmeldeunion (International Telecommunication Union – ITU) in Auftrag gegeben wurde. Die Analyse des Schadprogramms zeigt nun laut Kaspersky, dass es sich bei Flame um das bis dato größte und komplexeste Toolkit zum gezielten Angriff auf Organisationen handelt. Flame wurde also zur Cyberspionage eingesetzt. Infizierte Computer können Daten und sensible Informationen stehlen, um sie dann an einen von Flames Comand-and-Controll-Server (C&C) zu schicken.
 
In Zusammenarbeit mit GoDaddy und OpenDNS konnte Kaspersky Lab die meisten der infizierten Domains, die von der Flame-Infrastruktur genutzt wurden, in einer so genannten Sinkholing-Operation untergraben. Die folgenden Details fassen die Analyseergebnisse zusammen:
• Die bereits seit einigen Jahren genutzte C&C-Infrastruktur von Flame wurde kurz nach der Enthüllung der Malware-Existenz durch Kaspersky Lab offline genommen.
• Aktuell gibt es mehr als 80 bekannte Domains, die von Flame für C&C-Server und mit ihnen verbundenen Domains genutzt wurden und die zwischen 2008 und 2012 registriert wurden.
• Während der vergangenen vier Jahre haben Server, die die Flame-C&C-Infrastruktur stellten, zwischen verschiedenen Orten gewechselt, darunter Hongkong, Türkei, Deutschland, Polen, Malaysia, Lettland, Großbritannien und die Schweiz.
• Die Flame C&C Domains wurden mit einer beeindruckenden Liste von falschen Identitäten und einer Vielzahl von Einträgen registriert. Die Einträge reichen bis ins Jahr 2008 zurück.
• Gemäß der Sinkholing-Operation von Kaspersky Lab stammten die infizierten Computer aus verschiedenen Regionen im Mittleren Osten, Europa, Nordamerika und dem asiatisch-pazifischen Raum.
• Die Angreifer hinter Flame scheinen ein hohes Interesse an PDF-, Office- und AutoCad-Plänen - gehabt zu haben.
• Die Daten, die auf die Flame-C&C-Server hochgeladen wurden, nutzten relativ simple Verschlüsselungsalgorithmen. Gestohlenen Dokumente wurden mit der Open-Source-Software Zlib und einer modifizierten PPDM-Komprimierung komprimiert.
• Von allen Windows-Systemen scheinen Rechner mit Windows 7 64 Bit am effektivsten vor Flame zu schützen.
Diskutieren Sie mit anderen Lesern über dieses Thema:
Windows 8: Alle Informationen
Windows 8
Alle Details

Alle Informationen und Updates zum neuen Betriebssystem Windows 8 von Microsoft. mehr

- Anzeige -
PC-WELT Specials
1485181
Content Management by InterRed