Прошло еще совсем немного времени с момента обнаружения и обезвреживания вируса Flame, который зверствовал на Ближнем Востоке. Однако никто не мог предположить тот факт, что прошлый удар вируса — лишь только начало. Согласно последним исследованиям, его разработка продолжается до сих пор.
Об этом на днях сообщили сразу несколько лидеров в области информационной безопасности. Исследование проводилось «Лабораторией Касперского» совместно с МСЭ-ИМПАКТ, CERT-Bund/BSI и компанией Symantec.
Стоит отметить, что в результате анализа нескольких командных серверов, которые использовались создателями Flame, эксперты обнаружили следы трех других вредоносных программ. Кроме того, они установили, что разработка платформы Flame началась еще в 2006 году.
Мастерству специалистов, проводивших исследование, можно лишь позавидовать. Экспертам удалось извлечь информацию, несмотря на то что инфраструктура управления Flame была отключена немедленно после обнаружения вредоносной программы специалистами «Лаборатории Касперского».
Анализ показал, что все серверы работали на 64-битной версии операционной системы Debian с виртуализацией на базе контейнеров Open VZ. Серверный код был по большей части написан на языке программирования PHP. Создателям Flame также удалось настроить интерфейс командного сервера так, чтобы он был максимально похож на обычную систему управления контентом (CMS). Так преступникам удалось избежать подозрений со стороны хостинг-провайдера.
Для того чтобы никто, кроме злоумышленников, не мог получить данные, загружаемые с зараженных компьютеров, были применены сложные методы шифрования. Анализ скриптов, которые использовались для управления передачей данных на компьютеры жертв, выявил наличие четырех коммуникационных протоколов, только один из которых был совместим с Flame. Это означает, что данные командные серверы использовались по крайней мере еще тремя вредоносными программами. Кроме того, есть достаточно доказательств в пользу того, что как минимум одна родственная с Flame вредоносная программа продолжает активно распространяться.
Еще один важный результат анализа — вывод о том, что работа над платформой командных серверов Flame началась еще в декабре 2006 года. Есть признаки того, что платформа по-прежнему находится в процессе разработки: на серверах были обнаружены упоминания нового, еще не реализованного «Красного протокола» (Red Protocol). Последнее изменение серверного кода было внесено 18 мая 2012 года.
«Нам было сложно оценить объем данных, украденных Flame, даже после анализа его командных серверов. Создатели Flame умеют заметать следы. Однако благодаря ошибке киберпреступников нам удалось обнаружить на одном из серверов данные, которые позволили нам сделать вывод, что за неделю на этот сервер загружалось более 5 Гб данных с более чем 5 тыс. зараженных компьютеров. Эта информация дает все основания судить о масштабе всей кибершпионской кампании», — комментирует Александр Гостев, главный антивирусный эксперт «Лаборатории Касперского».